刷题[WUSTCTF2020]CV Maker

解题思路

好家伙，打开一看像是cms，又看名字CV Maker。我以为直接要搜cve打了。搜了一会发现没什么啊。那先正常做把。

注册

注册成功后这里报错，猜测可能有注入点。先放在这里，继续登陆。发现是上传头像，那猜测可能有文件上传漏洞了

文件上传

exif_imagetype函数，很常见的了，判断文件头是否是图片。

那我先传入一个图片马，上传成功。但是发现无论是.htaccess，还是各种格式的都无法上传成功，图片马也无法利用。

这时猜测是否能通过web应用程序解析漏洞绕过。报错网页，发现是apache

由于apache在解析文件名的时候是从右向左读，如果遇到不能识别的扩展名则跳过，jpg等扩展名是apache不能识别的，

因此如果一个文件名为1.php.gif。就会直接将类型识别为php，从而达到了注入php代码的目的

但是这里又无法上传成功，很奇怪。这里测试了一会，发现反着利用就可以了，上传1.jpg.php

看图片链接，发现上传路径/uploads。然后最奇特的一点，jpg好像被过滤成空了，直接是php文件了。那就直接利用。蚁剑连接，在根目录下找到flag

代码审计

这里本该是完了，但是我想看看是如何过滤的，找到profile.php，贴下代码

<?php
			function isImage($filename){
			    $image_type = exif_imagetype($filename);
			    switch ($image_type) {
			        case IMAGETYPE_GIF:
			            return "gif";
			            break;
			        case IMAGETYPE_JPEG:
			            return "jpg";
			            break;
			        case IMAGETYPE_PNG:
			            return "png";
			            break;
			        default:
			            return false;
			            break;
			    }
			}
			if (isset($_POST['submit'])) {
				$temp_file = $_FILES['upload_file']['tmp_name'];
				if (isImage($temp_file)) {
					$name = $_FILES['upload_file']['name'];
					$ext = substr(strrchr($name, '.'), 1);
				    $img_path = 'uploads/'.md5($_COOKIE["_Hz"]).'.'.$ext;
				    $fn = "uploads/".md5($_COOKIE["_Hz"]).".*";
				    if (glob($fn)) {
				    	$ffn = glob($fn)[0];
				    	unlink($ffn);
				    }
				    if (move_uploaded_file($temp_file, $img_path)){
				        $is_upload = true;
				    } else {
				        $msg = '上传出错！';
				    }
				    if ($is_upload) {
				    	echo '<div class="cc-profile-image"><a href="#"><img src="'.$img_path.'" alt="Image"/></a></div></br>';
				    }else{
				    	echo '<div class="h2 title">'.$msg.'</div>';
				    }
				}else{
					echo '<div class="h3 title">exif_imagetype not image!</div>';
				}
			}else{
				$fn = "uploads/".md5($_COOKIE["_Hz"]).".*";
				if (glob($fn)) {
					echo '<div class="cc-profile-image"><a href="#"><img src="'.glob($fn)[0].'" alt="Image"/></a></div></br>';
				}else{
					echo '<div class="cc-profile-image"><a href="#"><img src="data:images/anthony.jpg" alt="Image"/></a></div></br>';
				}

			}
		?>

诶，这么看并没有过滤文件名替换为空。我想的那种情况，那是怎么回事呢。我重新上传一个单纯的php文件，这里思考了一下，直接把GIF89a，加在一句话前面，没有换行。。。。。。

成功了，好吧，之前没有把文件头和一句话放在一行中，没想到这导致无法利用。

这题挺简单的啊，就是不要被buu上的分数，还有打开发现可能是cve复现吓到了就行

总结思路

• 文件上传bypass

知识点

• 文件上传