搜索

[27518] 2020-04-13_空指针4月内部赛官方WP

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-04-13_空指针4月内部赛官方WP 空 指 针 4 月 内 部 赛 官 方 W P 原 创   N u 1 L   T e a m   N u 1 L   T e a m   2 0 2 0 - 0 4 - 1 3 本 次 内 部 赛 含 W E B 跟 R E 题 目 各 一 道 ， 其 中 R E 题 目 7 人 解 出 ， W E B 题 目 1 人 解 出 ， 恭 喜 以 上 选 手 。 下 面 放 上 本 次 内 部 赛 的 W P 。 R E 题 目 由 于 前 几 次 的 空 指 针 题 目 太 难 了 ， 所 以 这 次 出 了 一 道 较 为 简 单 的 题 （ 要 不 然 每 次 都 0 解 太 难 看 了 / /   向 期 待 高 难 度 赛 题 的 选 手 们 说 一 声 抱 歉 ， 你 们 可 以 期 待 一 下 今 年 的 N 1 C T F ~ 这 个 程 序 实 现 的 功 能 为 从 一 张 图 的 0 结 点 出 发 ， 向 它 的 每 一 个 相 连 的 结 点 进 行 D F S ， 每 到 一 个 新 的 结 点 就 再 开 启 一 个 线 程 继 续 D F S ， 并 记 录 下 当 前 的 路 径 长 度 ， 直 到 走 到 最 后 一 个 结 点 时 判 断 当 前 长 度 是 否 小 于 最 小 长 度 ， 若 是 则 更 新 最 小 长 度 。 不 难 看 出 这 就 是 一 个 典 型 的 使 用 D F S 求 最 短 路 径 问 题 ， 但 是 路 径 数 量 很 多 ， D F S 复 杂 度 较 高 ， 而 且 多 线 程 存 在 竞 争 ， 导 致 原 程 序 几 乎 不 可 能 跑 出 正 确 的 结 果 ， 所 以 把 最 短 路 算 法 重 新 实 现 一 遍 就 行 了 。 此 题 的 图 是 个 D A G ， 所 以 可 以 先 进 行 一 次 拓 扑 排 序 再 按 序 进 行 松 弛 操 作 即 可 求 得 最 短 路 径 。 当 然 用 D i j k s t r a   F l o y d   S P F A 之 类 的 一 把 梭 也 行 解 题 脚 本 : # i n c l u d e   < c s t d i o > # i n c l u d e   < c s t r i n g > # i n c l u d e   < c s t d l i b > # i n c l u d e   " d a t a . h "   / /   提 取 出 的 邻 接 矩 阵 u s i n g   n a m e s p a c e   s t d ; l o n g   l o n g   d [ 1 0 0 2 ] ; i n t   t o p o [ 1 1 1 1 ]   =   { 0 } ; i n t   f l a g [ 1 1 1 1 ]   =   { 0 } ; l o n g   l o n g   m [ 1 0 0 0 ] [ 1 0 0 0 ] ; i n t   m a i n ( )   {     f o r   ( i n t   i   =   0 ;   i   <   1 0 0 0 ;   i + + )   {         f o r   ( i n t   j   =   0 ;   j   <   1 0 0 0 ;   j + + )   {             m [ i ] [ j ]   =   m a p [ i ] [ j ] ;         }     }       i n t   c u r   =   0 ;     w h i l e   ( c u r   <   1 0 0 0 )   {         / /   p r i n t f ( " % d n " ,   c u r ) ;         f o r   ( i n t   i   =   0 ;   i   <   1 0 0 0 ;   i + + )   {             i f   ( ! f l a g [ i ] )   {                 i n t   x   =   0 ;                 f o r   ( i n t   j   =   0 ;   j   <   1 0 0 0 ;   j + + )   {                     i f   ( m [ j ] [ i ] )   {                         x + + ;                     }                 }
W E B 题 目 首 先 观 察 题 目 功 能 ：   1 .   登 陆 2 .   注 册 3 .   填 写 信 息 4 .   上 传 、 裁 剪 头 像 。 经 过 简 单 的 测 试 可 以 发 现 ， 登 陆 、 注 册 、 填 写 信 息 这 几 处 因 为 严 格 的 输 入 限 制 ， 基 本 问 题 不 大 。 那 么 就 要 研 究 一 下 头 像 上 传 处 的 功 能 了 。 通 过 测 试 ， 发 现 上 传 功 能 是 把 头 像 存 到 O S S 云 存 储 里 了 ， O S S 相 当 于 一 个 第 三 方 数 据 库 ， 通 过 A P I 存 取 数 据 。 通 过 查 阅 阿 里 云 O S S 文 档 ， 我 们 了 解 工 作 原 理 就 可 以 排 除 一 些 测 试 项 。 比 如 这 里 就 不 用 考 虑 上 传 w e b s h e l l 了 ， 即 使 上 传 了 也 是 无 法 被 解 析 的 。 正 常 上 传 头 像 后 要 求 用 户 裁 剪 ， 这 里 和 正 常 的 裁 剪 功 能 不 同 ， 没 有 传 递 裁 剪 的 坐 标 等 信 息 。 但 是 注 意 到 有 u r l ： h t t p : / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / u s e r - a v a t a r / t e s t ? x - o s s - p r o c e s s = i m a g e / c r o p , x _ 5 1 , y _ 2 1 3 , w _ 2 5 9 , h _ 1 4 6 再 次 查 阅 文 档 ， 了 解 到 O S S 不 仅 提 供 了 存 储 功 能 ， 还 提 供 了 一 定 的 数 据 处 理 功 能 ， 这 里 使 用 的 就 是 o s s 的 图 片 裁 剪 A P I 。 这 里 提 供 的 功 能 是 前 端 把 裁 剪 后 图 片 按 照 o s s 裁 剪 A P I 格 式 拼 接 好 U R L 后 ， 发 送 给 后 端 ， 后 端 上 传 到 O S S 中 后 返 回 用 户 头 像 的 U R L 。 0 x 0 : 猜 想 功 能 逻 辑 首 先 整 体 的 功 能 逻 辑 大 概 就 是 后 端 获 取 传 入 的 u r l ， 请 求 U R L 获 取 裁 剪 后 的 图 片 ， 获 取 到 数 据 后 重 新 上 传 ， 同 时 更 新 用 户 头 像 。 1 . p a r s e _ u r l 首 先 进 行 一 些 测 试 ， 通 过 下 面 两 个 数 据 包 ， 我 们 可 以 发 现 后 端 对 u r l 进 行 了 类 似 如 下 代 码 的 检 查 。 （ 下 面 伪 代 码 ）                 }                 i f   ( ! x )   {                     t o p o [ c u r + + ]   =   i ;                     f l a g [ i ]   =   1 ;                     f o r   ( i n t   j   =   0 ;   j   <   1 0 0 0 ;   j + + )   {                         m [ i ] [ j ]   =   0 ;                     }                 }             }         }     }         f o r   ( i n t   i   =   0 ;   i   <   1 0 0 0 ;   i + + )   {         d [ i ]   =   0 x 3 f 3 f 3 f 3 f 3 f 3 f 3 f 3 f l l ;     }     d [ 0 ]   =   0 ;     f o r   ( i n t   u   =   0 ;   u   <   1 0 0 0 ;   u + + )   {         i n t   u u   =   t o p o [ u ] ;         f o r   ( i n t   v   =   0 ;   v   <   1 0 0 0 ;   v + + )   {             i f   ( m a p [ u u ] [ v ] )   {                 i f   ( d [ v ]   >   d [ u u ]   +   m a p [ u u ] [ v ] )   {                     / /   p r i n t f ( " % d   % d   % l l d n " ,   u u ,   v ,   m a p [ u u ] [ v ] ) ;                     d [ v ]   =   d [ u u ]   +   m a p [ u u ] [ v ] ;                 }             }         }     }       p r i n t f ( " n p o i n t e r { % l l d } n " ,   d [ 9 9 9 ] ) ; } $ h o s t   =   p a r s e _ u r l ( $ u r ) i f (   ’ n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m ’   i n   $ h o s t [ ‘ h o s t ' ]   )         进 行 下 一 步 操 作 e l s e         地 址 有 误 内 容 验 证
这 里 通 过 以 下 两 个 数 据 包 可 以 得 知 后 端 请 求 u r l 后 对 数 据 格 式 进 行 了 验 证 。 输 入 u r l 为 / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d 提 示 格 式 有 误 ， 说 明 请 求 了 ， 但 格 式 错 误 。 输 入 u r l 为 d a t a : / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / i m a g e / p n g ; b a s e 6 4 , i V B O R w 0 K G g o A A A A N S U h E U g A A A A E A A A A B C A Y A A A A f F c S J A A A A C 0 l E Q V Q I H W P 4 D w Q A C f s D / Q y 7 W + c A A A A A S U V O R K 5 C Y I I = 提 示 成 功 ， 验 证 我 们 的 猜 想 ， 后 端 进 行 了 格 式 验 证 。 2 . e x t 参 数 参 数 通 过 修 改 e x t 参 数 ， 我 们 可 以 发 现 ， 程 序 抛 出 了 异 常 。 这 里 我 们 可 以 推 测 后 端 功 能 的 大 概 伪 代 码 如 下 ： 这 里 貌 似 是 一 个 任 意 文 件 写 的 漏 洞 ， 通 过 简 单 测 试 ， 我 们 发 现 我 们 的 猜 想 是 正 确 的 。 但 尝 试 向 默 认 W e b 目 录 写 s h e l l ， 无 法 成 功 ， 可 能 的 原 因 有 路 径 不 对 或 没 有 权 限 。 无 法 获 取 s h e l l 。 但 至 此 我 们 得 到 了 一 个 有 限 条 件 的 任 意 文 件 写 漏 洞 ！ 3 . 条 件 竞 争 条 件 竞 争 进 一 步 思 考 ， 我 们 可 以 想 到 这 里 大 概 率 会 存 在 条 件 竞 争 （ R a c e   C o n d i t i o n ） 。 我 们 可 以 开 启 三 个 线 程 ： 线 程 1 ： u r l 输 入 / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d 线 程 2 ： u r l 输 入 d a t a : / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / i m a g e / p n g ; b a s e 6 4 , i V B O R w 0 K G g o A A A A N S U h E U g A A A A E A A A A B C A Y A A A A f F c S J A A A A C 0 l E Q V Q I H W P 4 D w Q A C f s D / Q y 7 W + c A A A A A S U V O R K 5 C Y I I = 线 程 3 ： 请 求 自 己 的 头 像 （ h t t p : / / n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m / 2 c 7 4 2 8 d b 4 9 5 8 2 2 1 b 3 d f d c 3 9 d 6 2 d f 6 9 b a % 3 F a v a t a r ） 如 果 存 在 某 个 时 刻 ， 线 程 2 刚 好 运 行 到 $ o s s   - >   u p l o a d ( x x x x ) 处 ， 线 程 1 刚 好 执 行 c o p y ， 把 / e t c / p a s s w d 的 内 容 覆 盖 了 x x x x 文 件 ， 那 么 线 程 2 就 会 把 / e t c / p a s s w d 的 内 容 上 传 至 云 存 储 ！ 测 试 一 下 ： $ h o s t   =   p a r s e _ u r l ( $ u r ) i f (   ’ n u 1 l - a v a t a r . o s s - c n - h a n g z h o u . a l i y u n c s . c o m ’   i n   $ h o s t [ ‘ h o s t ' ]   )     $ t a r g e t   =   x x x x   .   $ _ P O S T [ ' e x t ' ] i f   ( c o p y ( $ u r l ,   $ t a r g e t ) )     i f   ( c h e c k F i l e T y p e ( x x x x )   = =   图 片   )             $ o s s   - >   u p l o a d ( x x x x )     e l s e             d e l e t e   x x x x             格 式 有 误 ！ e l s e 地 址 有 误
至 此 ， 我 们 得 到 了 一 个 任 意 文 件 读 漏 洞 ！ 4 . 获 取 获 取 w e b s h e l l 通 过 竞 争 读 取 源 代 码 、 n g i n x 配 置 文 件 我 们 发 现 ， 目 标 项 目 为 单 入 口 ， 即 使 写 入 s h e l l 也 无 法 访 问 。 这 里 通 过 阅 读 f r a m e w o r k . p h p ， 我 们 可 以 发 现 只 需 向 w e b 的 C o n t r o l l e r 目 录 写 入 一 个 符 合 格 式 的 C o n t r o l l e r 即 可 执 行 ， 这 里 不 再 赘 述 。
0 x 0 2   结 语 对 于 题 目 有 任 何 疑 问 或 更 好 的 想 法 ， 欢 迎 联 系 u n d e f i n e d @ N u 1 L 。 严 肃 的 分 割 线 严 肃 的 分 割 线 空 指 针 5 月 公 开 赛 安 排 ： 5 月 份 我 们 将 开 启 三 场 公 开 赛 ， 分 别 有 M i s c 、 W e b 、 P w n 题 目 各 一 道 ， 没 有 邀 请 码 的 选 手 请 加 油 哦 。 另 外 欢 迎 给 我 们 投 稿 空 指 针 题 目 ， 具 体 可 以 发 邮 件 至 n p o i n t e r @ 1 6 3 . c o m 进 行 咨 询 ， 这 个 圈 子 的 持 续 力 需 要 各 位 C T F e r 一 起 努 力 ~
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理