1月内部红蓝

内部红蓝记录

发布于：2021年1月26日

次浏览

1月内部红蓝

代码审计

看到网站直接试admin就进后台了，然后上github找到了PbootCMS项目，尝试默认口令，admin:123456就进后台了。考点肯定不是这个。。。

后来群里有人说有网站备份文件，访问wwwroot.zip下载到网站备份文件。浏览了一下发现有些缓存文件，访问后得到绝对路径。

其实这次的靶场应该是某次CTF的原题，但环境是一开始是php5.4，尝试了一些方法没成功。好在后来环境还是换成php7所以成功shell了。

代码审计部分，某篇先知文章已经写过了，这里简单写写。首先定位eval函数，全站就一处，但严防死守。

$white_fun = array(
    'date',
    'in_array',
    'explode',
    'implode'
);

// 还原可能包含的保留内容，避免判断失效
$matches[1][$i] = $this->restorePreLabel($matches[1][$i]);

// 带有函数的条件语句进行安全校验
if (preg_match_all('/([\w]+)([\x00-\x1F\x7F\/\*\<\>\%\w\s\\\\]+)?\(/i', $matches[1][$i], $matches2)) {
    foreach ($matches2[1] as $value) {
        if (function_exists($value) && ! in_array($value, $white_fun)) {
            $danger = true;
            break;
        }
    }
}

// 过滤特殊字符串
if (preg_match('/(\$_GET\[)|(\$_POST\[)|(\$_REQUEST\[)|(\$_COOKIE\[)|(\$_SESSION\[)|(file_put_contents)|(file_get_contents)|(fwrite)|(phpinfo)|(base64)|(`)|(shell_exec)|(eval)|(assert)|(system)|(exec)|(passthru)|(pcntl_exec)|(popen)|(proc_open)|(print_r)|(print)|(urldecode)|(chr)|(include)|(request)|(__FILE__)|(__DIR__)|(copy)|(call_user_)|(preg_replace)|(array_map)|(array_reverse)|(array_filter)|(getallheaders)|(get_headers)|(decode_string)|(htmlspecialchars)|(session_id)/i', $matches[1][$i])) {
    $danger = true;
}

// 如果有危险函数，则不解析该IF
if ($danger) {
    continue;
}

eval('if(' . $matches[1][$i] . '){$flag="if";}else{$flag="else";}');

首先设置了可以使用函数的白名单，假如使用除白名单以外的函数回被识别为danger。这里限制了调用了函数，在KCon2019大会上的提出的新特性也过滤掉了，导致调用函数基本不成可能。

第二个正则是限制了一些黑名单关键字，其中限制了include，但没有限制require，第一天看代码时眼花，把request看成require了。。。

后台有很多上传点，但都是白名单，绕不过。所以就就可以和这里结合（文件包含+文件上传=shell）。

1	{pboot:if(1)require "static/upload/image/xxxxxxx/1611416284187820.jpg";//)}sdfsd{/pboot:if}

该功能最简单触发的地方就是标题样式这里。

填入之后发现并没有触发。通过调试发现前面还有一些别的处理，导致失败。一个就是pboot:if变成了pboot@if导致标签无法正常触发。

function filter($varname, $condition)
{
...
        if (is_string($data)) {
        $data = trim($data); // 去空格
        $data = preg_replace_r('/(x3c)|(x3e)/', '', $data); // 去十六进制括号
        $data = preg_replace_r('/pboot:if/i', 'pboot@if', $data); // 过滤插入cms条件语句
    }
...
}