OCTF2016--piapiapia

知识点：

php反序列化长度变化尾部字符串逃逸

目录扫描发现www.zip，下载得到源码

源码有index.php，输入账号密码后会进入profile.php，还有register.php、updata.php、class.php和config.php

flag值在config.php中，想办法访问到其内容

通过seay代码审计找到一点线索

看到profile.php中存在任意文件读取漏洞，前面还有反序列化

现在我们有个大体思路了，update.php中有一个$profile数组变量，这个数组里有$phone, $email, $nickname, $photo几个变量，序列化后以profile字段存入数据库，而我们如果能控制photo变量为"config.php"，则能在访问profile.php时获得base64编码之后的config.php源码。

对photo的操作在updata.php

update.php对传入的变量做了简单的检查

前两个变量是没有按照规则匹配到文本就执行die，而第三个变量nickname是如果匹配到非字母数字或者长度大于10就die，这里是我们可操作的，控制nickname为一个数组，这样两个判断条件为false或null，绕过长度的限制，则可以绕过这正则表达式，就不会die。

在class.php中用update_profile()函数对$profile进行处理

filter函数进行了过滤

将select、insert、update、delete、where替换为hacker

整个过程就是：序列化、过滤替换、反序列化、文件读取，就是ctf中反序列化字符逃逸的常见套路。

nickname赋值为一下形式即可：

nickname[]=wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

nickname经过序列化后，长度已经被固定（s的值），在反序列化时，将where替换为hacker，每替换一次就多一个字符，";}s:5:"photo";s:10:"config.php";}一共是34个字符，目的是将这34个字符挤出nickname，继而成功伪装为我们想要的photo值，并闭合序列化字符串，后面原来的photo值就被抛弃了。因为需要挤出34个字符，所以nickname中需要34个where，最后就形成了上面的形式。

操作：

在register.php界面注册一个账号并登陆，登陆后跳转到update.php界面，上传图片并抓包

修改nickname的值，并将其修改为数组

返回profile界面，点击打开

源代码中找到base64值

解码得到flag

OCTF2016--piapiapia相关推荐

[0CTF 2016]piapiapia php反序列化字符串逃逸
一.php反序列化字符串逃逸 <?phpclass user{public $user = 'admin';public $pass = 'passwd'; }$a = new user(); ...
[0CTF 2016]piapiapia WP(详细)
[0CTF 2016]piapiapia WP(详细) 1.打开网站,是个登录框,尝试注入无果.....按道理来说就是注入了啊喂 2.玄学时间到::: 目录扫完啥结果没有.在buuctf做题总是这样, ...
[0CTF 2016] piapiapia
piapiapia 猜测:SQL注入.弱口令,顺便扫一下目录 SQL注入失败,弱口令和目录扫描没有测试(过快扫描网站,返回429),服务器还是挺好的,从网上得知/www.zip 测试过后,发现 ind ...
BUCTF[0CTF 2016]piapiapia
[0CTF 2016]piapiapia 打开环境是个登录框,尝试了一下sql注入,发现并无任何用处. 于是扫描目录,发现了个/www.zip. 开始代码审计: 在config.php中看到了flag ...
BUU [0CTF 2016]piapiapia
BUU [0CTF 2016]piapiapia 进去之后是个登录界面,抓包有一个cookie.感觉是十六进制,但是其实不是这样做,是应该扫描的. buu什么都扫不出来,直接看源码. /registe ...
BUUCTF-WEB 【0CTF 2016】piapiapia 1
考点:php反序列化字符长度逃逸打开题目一般看到登录框,就以为是sql注入题,这道题不是. dirsearch扫网站目录 python3 dirsearch.py -u "http:// ...
[0CTF 2016]piapiapia -php序列化溢出
题目分析上来是一个登录页面:尝试注入无效: 然后扫后台:扫到源码www.zip 发现有注册页,注册登陆后可以填写自己的信息以及上传头像,走过一遍流程之后发现无法SSI也无法上传图片马: 源码分析 u ...
piapiapia(代码审计、反序列化逃逸、函数绕过)
目录 wp 文件内容尝试主要部分反序列化逃逸流程总结 wp 进入题目,一个登录框,F12和源代码没有看到提示,robots.txt也没有东西.于是试一试访问www.zip,没想到有源码,省了 ...
[0CTF 2016]piapiapia总结（PHP序列化长度变化导致尾部字符逃逸）
这道题感觉很难,要是比赛中出这种题我肯定做不来,所以我耐着性子慢慢分析这道题,最后居然自己做了个七七八八,只剩下一点点就完全做出来了. 下面把我做这道题时的思路一步一步记录下来,希望能够彻底巩固. 一 ...
[0CTF 2016]piapiapia（字符逃逸详解）
目录知识点信息收集尝试SQL注入源码目录扫描代码审计 payload生成知识点信息泄露参数传递数组绕过字符串检测反序列化字符逃逸信息收集收集到了一只超可爱的小喵尝试SQL注入 ...

OCTF2016--piapiapia

OCTF2016--piapiapia相关推荐

最新文章

热门文章