buuctf-web-7

Contents

1. [GXYCTF2019]BabyUpload
2. [GXYCTF2019]禁止套娃
3. [GWCTF 2019]我有一个数据库
4. [BJDCTF2020]The mystery of ip

[GXYCTF2019]BabyUpload

[GXYCTF2019]禁止套娃–无参数RCE

[BJDCTF2020]The mystery of ip–模板注入

[GXYCTF2019]BabyUpload

上传了一个正常jpg图片，居然报错了

接着尝试了png，gif，txt文件，也全都上传失败，上传没有后缀名的也上传失败，这是为毛？？

看了wp，发现别人是可以上传jpg和png的？？？有毒？

上传.htaccess文件试试

啊，这，，，看来是题目坏了，总之做法就是，上传.htaccess文件之后，再上传png文件即可。

注意题目过滤了<?，所以使用<script language="php">eval($_POST['a']);</script>来绕过。

[GXYCTF2019]禁止套娃

页面啥也没有，查看源码和看了http头啥也没有

扫一下网站后台试试

存在.git泄露问题，用工具下载源码

查看源码

<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
    if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

是要传入一个exp参数，

这里有三重过滤

1.preg_match(‘/data://|filter://|php://|phar:///i’, $_GET[‘exp’]) 过滤掉php常用的几个伪协议，这样就不能去读取文件了

2.preg_replace(‘/[a-z,_]+((?R)?\)/‘, NULL, $_GET[‘exp’]) ,用正则来匹配无参数的函数，(?R)?表示递归引用之前的表达式，那么这里只能传入没有参数的函数，像这样的：xxx(xxx(xxx(…)));

3.preg_match(‘/et|na|info|dec|bin|hex|oct|pi|log/i’, $_GET[‘exp’]) 正则匹配掉了et/na/info等关键字，很多函数都用不了

关于无参数RCE，这种时候就需要翻手册了，查找无参数可利用的函数

首先，需要一个浏览目录内的所有文件的函数，这个当然首选：scandir()。当scandir()传入'.'，可以列出当前目录的所有文件

所以如果有函数能够返回'.'的话，就可以利用它作为scandir()的参数