1、首先開啟題目如下：
2、觀察訪問的地址資訊，發現img資訊應該是加密字串，進行嘗試解密，最終得到img名稱：555.png，如下：
3、獲得檔名稱之後，應該想到此處會存在檔案包含漏洞，因為傳輸的引數可控，嘗試將img的引數值修改為：index.php，加密後為：TmprMlpUWTBOalUzT0RKbE56QTJPRGN3，然後訪問結果獲得加密的base64字串進行解密，獲得index.php的原始碼：
4、對程式碼進行審計發現存在命令執行漏洞，但是對命令進行了過濾且進行了md5的碰撞，存在命令執行漏洞的地方如下：
5、觀察過濾的資訊，發現未對dir進行過濾，因此用dir來獲取目錄資訊，md5的碰撞採用fastcoll來進行獲取，通過命令：fastcoll.exe -p init.txt -o 1.txt 2.txt生成兩個檔案資訊，然後讀取下檔案資訊：
6、開始嘗試讀取目錄資訊，因為需要傳遞a和b的值，因此採用post進行請求，結果如下：
7、發現不存在flag的相關的資訊，那嘗試讀取根目錄下的目錄資訊，結果如下：
8、獲取flag資訊，在網上檢視資料，瞭解到未實現對\的過濾，因此採用ca\t%20fl\ag來讀取flag的資訊，如下：
9、index.php的完整原始碼如下：
|
<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd']))
header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
echo '<img src ="./ctf3.jpeg">';
die("xixi～ no flag");
} else {
$txt = base64_encode(file_get_contents($file));
echo "<img src='data:image/gif;base64," . $txt . "'></img>";
echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|
sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
echo("forbid ~");
echo "<br>";
} else {
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
echo `$cmd`;
} else {
echo ("md5 is funny ~");
}
}
?>
<html>
<style>
body{
background:url(./bj.png) no-repeat center center;
background-size:cover;
background-attachment:fixed;
background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>
|