攻防世界 ics-07

攻防世界 ics-07

點擊之后發現有個項目管理能進，點進去，點擊看到源碼，如下三段

<?php
    session_start();

    if (!isset($_GET[page])) {
      show_source(__FILE__);
      die();
    }

    if (isset($_GET[page]) && $_GET[page] != 'index.php') {
      include('flag.php');
    }else {
      header('Location: ?page=flag.php');
    }

    ?>

<?php
     if ($_SESSION['admin']) {
       $con = $_POST['con'];
       $file = $_POST['file'];
       $filename = "backup/".$file;

       if(preg_match('/.+\.ph(p[3457]?|t|tml)$/i', $filename)){
          die("Bad file extension");
       }else{
            chdir('uploaded');
           $f = fopen($filename, 'w');
           fwrite($f, $con);
           fclose($f);
       }
     }
     ?>

<?php
      if (isset($_GET[id]) && floatval($_GET[id]) !== '1' && substr($_GET[id], -1) === '9') {
        include 'config.php';
        $id = mysql_real_escape_string($_GET[id]);
        $sql="select * from cetc007.user where id='$id'";
        $result = mysql_query($sql);
        $result = mysql_fetch_object($result);
      } else {
        $result = False;
        die();
      }

      if(!$result)die("<br >something wae wrong ! <br>");
      if($result){
        echo "id: ".$result->id."</br>";
        echo "name:".$result->user."</br>";
        $_SESSION['admin'] = True;
      }
     ?>

大概思路是在id滿足第三段代碼的情況下，使$_SESSION['admin'] = True。然后在以POST方式提供con和file，當file滿足條件時，會將con的內容寫入uploaded /backup /filename中。在在第一段中包含此文件，可以得到flag.php

先在view-source.php?page=flag.php頁面，如下圖，輸入1' or '9'='9，滿足了第三段代碼的條件

構造以下請求

在/uploaded/backup/aaa.txt確實存在，證明攻擊奏效，下面主要是如何繞過第二段代碼。

最終代碼如下

然后菜刀鏈接，找到flag頁面，完畢