-----已搬运-------[BJDCTF 2nd]：文件探测 -- springf()注入漏洞 ---PHP伪协议文件读取 ---ssrf ----PHP代码审计----session密码算法绕过

最新推荐文章于 2025-02-15 20:30:02 发布

原创

最新推荐文章于 2025-02-15 20:30:02 发布 · 305 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#python #php #安全

本文介绍了BJDCTF 2nd中遇到的PHP安全问题，包括PHP伪协议文件读取、SSRF漏洞利用、PHP代码审计和session密码算法绕过。通过分析`sprintf()`注入、PHPSESSIONID伪造等技术，阐述了如何完成挑战。

参考自：
https://www.cnblogs.com/yesec/p/12554957.html
https://www.yuque.com/jxswcy/buuoj-wp/ns11ks

1. 自己做：

勉强做到伪协议读取文件，还没有去读完全。。

2. 学到的&&不足：

伪协议读取文件的时候，多想想，把文件给读取全了，别没读取完全，就开始下一步了。
sprintf()函数的注入漏洞，，
php代码审计，审计一些过滤什么的
PHP代码审计，审计那个密码。密码算法是如何实现的，以及我们怎么样去绕过，
ssrf实现对remote_addr的绕过，之前班长出的那个python反序列化的那个题也是有这个小的考点。
session的内容存储在cookie的PHPSESSIONID中，但是加密解密的方法我们一般不清楚，所以很难去伪造，除非题目给了源码算法，所以我们不要轻易去对PHPSESSIONID下手，
#或者变量都可以除掉 url 后面的无用字符：
访问网页的时候，后面用 #这个定位符可以使得后面的内容失效。
也可以用参数的形式使其失效
比如：
q2必须以http://127.0.0.1/开头，不能包含flag顺序出现的字符，后面会拼接y1ng.txt，我们用#注释掉拼接信息，即传入参数http://127.0.0.1/admin.php#，最后执行http://127.0.0.1/admin.php#.y1ng.txt，或者用http://127.0.0.1/admin.php?，最后执行http://127.0.0.1/admin.php?.y1ng.txt；或者http://127.0.0.1/admin.php?a=，最后执行http://127.0.0.1/admin.php?a=.y1ng.txt。然后最终的最终，都是顺利访问http://127.0.0.1/admin.php。也就完成了对后面无用字符的去除了。

3. 学习WP；

伪协议那里就不写了，

home.php

<?php

setcookie("y1ng", sha1(md5('y1ng')), time() + 3600);
setcookie('your_ip_address', md5($_SERVER['REMOTE_ADDR']), time()+3600);

if(isset($_GET['file'])){
   
   
    if (preg_match("/\^|\~|&|\|/", $_GET['file'])) {
   
   
        die("forbidden");
    }

    if(preg_match("/.?f.?l.?a.?g.?/i", $_GET['file'])){
   
   
        die("not now!");
    }

    if(preg_match("/.?a.?d.?m.?i.?n.?/i", $_GET['file'])){
   
   
        die("You! are! not! my! admin!");
    }

    if(preg_match("/^home$/i", $_GET['file'])){
   
   
        die("禁止套娃");
    }

    else{
   
   
        if(preg_match("/home$/i", $_GET['file']) or preg_match(