SCTF 2016 2个web Writeup - 4uuu Nya HomePage

homework

看到有注册，点击进去看看，一眼就看到了图片上传，脑洞大开猜会不会是ImageMagick，事实证明并没有这么简单，注册好以后各种试了一遍，发现都无果，但是点击登录进去之后的这个链接可以看到

于是构造一发读到了4个文件

看了半天代码没发现什么问题，然后看到上传代码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<?php
if(move_uploaded_file($tmpname,$target_path)) {

}
$im =imagecreatefromjpeg($target_path);
srand(time());
$newfilename = strval(rand()).".png";
$newimagepath = $uploaddir.$newfilename;
imagejpeg($im,$newimagepath);
unlink($target_path);

这个imagecreatefromjpeg很是耐人寻味啊，找到这篇文章http://www.freebuf.com/articles/web/54086.html

根据这篇文章所说的，下载提供的poc后开始修改，但是这里很猥琐啊，禁用了好多东西，结果我以为是代码问题没执行，一直在那儿试了老半天，后来我v师傅才弱弱地告诉我直接eval一句话不就好了。然后又改图片，因为很多地方会被改动，所以又改了一下午的图片，然后终于构造成功一张上传之后GD也不会破坏代码的图片！再然后用index.php中

1
2
3
4
5
6
7
8
<?php
    session_start();
    include('./config.php');  
    @$username=$_POST['username'];
    @$password=$_POST['password'];
    @include($_GET['homework']);  //这个任意文件包含漏洞
    $username=intval($username);
    $password=md5($password);

将这张图片包含进来，成功getshell，在根目录下找到flag

sycshell

打开访问，这个页面真的是整懵逼了，刚开始的时候页面源文件中存在一段"jsfuck"，解不开，总感觉是不是有什么秘密在里面，尝试了很久之后放弃，下面还有个提示：，直接访问也是打不开的，将题目给的那个ip地址和这个绑host就能打开辣

源码又是一大堆JSfuck，console运行弹窗然后undefine，找到了一篇文章,http://joyhuang9473.github.io/post-ctf/2015/07/27/ais3-writeup-web2.html

搞不懂js，于是丢给 @王松_Striker 大傻逼解码去了，过了一会儿，丢给了我一个连接http://sycshell.sycsec.com:61180//W0Ca1N1CaiBuDa0/read.php?f=index

访问可以看到一段代码，代码审计来了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?php
    show_source(__FILE__);
    $pass = @$_GET['pass'];
    $a = "syclover";
    
    strlen($pass) > 15 ? die("Don't Hack me!") : "";
    
    if(!is_numeric($pass) || preg_match('/0(x)?|-|\+|\s|^(\.|\d).*$/i',$pass)){
        die('error');
    }
    
    if($pass == 1 &&  $a[$pass] === "s"){
        $file = isset($_GET['f']) ? $_GET['f'].'.php' : 'index.php';
        @include $file;
    }