CTFshow-Web-RCE任意文件上传

一、靶场：ctfshow web红包题第二弹
二、解题步骤：
步骤一：打开靶场，发现和web12的界面一样，打开源码看看，依然存在 ?cmd= 的提示

步骤二：这里按照web12的方法直接查看当前文件的源码，可以看到源码和web12相比复杂了许多，后面进行代码审计

步骤三：代码审计（主要是看php代码）

<?php

if(isset($_GET['cmd'])){

        $cmd=$_GET['cmd'];

        highlight_file(__FILE__);

        if(preg_match("/[A-Za-oq-z0-9$]+/",$cmd)){

            die("cerror");

    }

    if(preg_match("/|||||||||||||||||||||/",$cmd)){

        die("serror");

    }

    eval($cmd);

}

?>

通过代码审计可以得到以下结论：

1、$cmd=$_GET['cmd']; 这是rce的根源，可以利用这个进行代码执行

2、可以看到两个判断语句，要求cmd不能含有除了p以外的大小写字母和数字，且不能含有特殊字符：$~!@#%^&等等。可以使用的有：p ` ? / + < > =

解题方法：

通过可用的字符构造cmd=?><?=`.+/??p/p?p??????`，由eval（$cmd）来运行临时文件

构造原理：

1、<?= $cmd ?> 等于 <?php echo($cmd) ?>

在php中，<? ?>称为短标签，<?php ?>称为长标签。修改PHP.ini文件配置 short_open_tag = On 才可使用短标签。php5.4.0以后， <?= 总是可代替 <? echo。

例：以下代码在php7.4环境下运行，结果均为2021。

<?php echo(date('Y')) ?>

<?php eval("echo(date('Y'));") ?>

<?= date('Y'); ?>

<?php eval("?><?= date('Y');") ?>

2、反引号``（键盘Tab键上面那个键）

在php中反引号的作用是命令替换，将其中的字符串当成shell命令执行，返回命令的执行结果。反引号包括的字符串必须是能执行的shell命令，否则会出错。如下语句可得系统日期：<?= `date` ?>

3、点 .

点命令等于source命令，用来读取并执行文件内容。

source /home/user/bash 等同于 . /home/user/bash

ls指令写入了文件中，使用 . 文件名 就读取并执行了文件内容

4、加号 +

URL编码中空格为%20，+表示为%2B，=为3D%。然而url中+也可以表示空格，要表示+号必须得用%2B。

5、/??p/p?p??????

5.1：临时文件夹目录

php上传文件后会将文件存储在临时文件夹，然后用move_uploaded_file() 函数将上传的文件移动到新位置；

临时文件夹可通过php.ini的upload_tmp_dir 指定，默认是/tmp目录。

5.2：临时文件命名规则

默认为 php+4或者6位随机数字和大小写字母，在windows下有tmp后缀，linux没有；

比如windows下：phpXXXXXX.tmp linux下：phpXXXXXX。

6、通配符

问号?代表一个任意字符，通配符/??p/p?p??????匹配/tmp/phpxxxxxx

7、第一个 ?> 用于拼接前面的 <? ，后面的那个 <? 用于拼接后面结尾的 ?>

步骤四：抓包，改包bp抓包post先上传一个内容为 ls 的文件，然后执行，看根目录下有些什么文件，发现有一个flag.txt

步骤五：再次上传文件，读取flag.txt的内容

三、注释
数据包添加内容详解：

Content-Type：

Content-Type有两个值：

①application/x-www-form-urlencoded(默认值) ：上传键值对

②multipart/form-data：上传文件

boundary为边界分隔符：

文件开始标记：-----------------------------10242300956292313528205888

文件结束标记：-----------------------------10242300956292313528205888--

其中10242300956292313528205888是浏览器随机生成的，只要足够复杂就可以。

Content-Length下必须空一行，这是数据包规定的格式