WEB

0x01 ezweb2

访问主页抓包发现存在cookie值，其中uesr为base64加密解密后发现值同为user。

将其值修改为admin的base64加密后的值进行访问，发现页面重定向到了admin.php页面。

重定向

通过访问并抓包发现可以直接输入CMD命令

后台

输入ls发现返回当前目录中的文件，但输入ls /确出现错误。

image.png

无法使用空格，通过cat

替换

在linux中空格可以使用$IFS代替空格。利用ls$IFS/查看/目录下文件发现flag文件。

image.png

通过cat$IFS/ffLAG_404获得flag。

flag1

0x02 easy

file)) 
        {
            $filename = "./{$this->file}";        
            if (file_get_contents($filename))         
            {              
                return file_get_contents($filename); 
            } 
        }     
    }  
}  
if (isset($_GET[‘data‘]))  
{ 
    $data = $_GET[‘data‘];
    preg_match(‘/[oc]:\d+:/i‘,$data,$matches);
    if(count($matches))
    {
        die(‘Hacker!‘);
    }
    else
    {
        $good = unserialize($data);
        echo $good;
    }     
} 
else 
{ 
    highlight_file("./index.php"); 
} 
?>

代码审计的题目：
第一部分，分定义了一个baby的类，$file可以传入一个文件名,将该文件读入一个字符串并返回打印出来。(其中提示了flag位于flag.php文件中)
第二部分，可以利用get的方式传入data参数，对参数进行正则匹配，符合正则显示hacker!，不符合正则可以对baby类进行反序列化。

解题部分：
第一步，对baby类将需要的$file变量参数flag.php传入进行序列化。得到序列化后的字符串O:4:"baby":1:{s:4:"file";s:8:"flag.php";}。

file)) 
        {
            $filename = "./{$this->file}";        
            if (file_get_contents($filename))         
            {              
                return file_get_contents($filename); 
            } 
        }     
    }  

$a = new baby();
print_r(serialize($a));
>

第二步，绕过正则表达式preg_match(‘/[oc]:\d+:/i‘,$data,$matches);正则中写到不能以大小的O/C字符开头后面接：再接正整数。现在我们序列化字符串O:4:"baby":1:{s:4:"file";s:8:"flag.php";}正好符合大写O开头后面为：再后面为正整数4。

在PHP源码var_unserializer.c，对反序列化字符串进行处理，在代码568行对字符进行判断，并调用相应的函数进行处理，当字符为'O'时，调用 yy13 函数，在 yy13 函数中，对‘O‘字符的下一个字符进行判断，如果是':',则调用 yy17 函数,如果不是则调用 yy3 函数,直接return 0，结束反序列化。接着看 yy17 函数。通过观察yybm[]数组可知，第一个if判断是否为数字，如果为数字则跳转到 yy20 函数，第二个判断如果是'+'号则跳转到 yy19 ，在 yy19 中，继续对 +号后面的字符进行判断，如果为数字则跳转到 yy20 ,如果不是则跳转到 yy18 ， y18 最终跳转到 yy3 ，退出反序列化流程。由此，在'O:',后面可以增加'+'，用来绕过正则判断。（摘自红日攻防实验室http://sec-redclub.com/archives/962/）