Alictf web 400 Recruitment[II] Write Up

記錄一下這道比較有意思的題目

首先,首頁是一個登陸頁,其他地方沒有看到明顯的漏洞

頭像上傳點可以從網頁直接擷取,猜測是用curl或者file_get_contents完成的

那麼這裡就可能具有SSRF漏洞了。

對Url嚴格的限制了格式,只能是xx.jpg

但這難不倒我們,在nodeJS中使用路由xx.jpg

然後使用writeHead輸出302重新導向頭。

response.writeHead(302, {  'Location': 'gopher://127.0.0.1:80/'});response.end();

這樣就可以使用任意協議了

我首先嘗試file:// php://等協議均無效

初步可以推測是用curl實現的

那麼這裡我使用gopher協議探測開啟的連接埠

果不其然,11211的memcached對本地是開放的。

使用gopher://127.0.0.1:11211/ 訪問到了memcached

gopher://127.0.0.1:11211/_stats%20items%0d%0a

並發送 stats item 指令 列出

然後使用

stats cachedump 5 100

來匯出item中的索引值,這裡得到了session序列化後的數值。那麼推測是,php中的處理器設定為了memcached

用set key flags exptime bytes

來增加一條新的cookies

然後成功偽造cookies後登陸到了管理員後台

看到了一個'秘密'檔案

修改ip為127.0.0.1均無果

於是查看源碼下載到了備份

雖然載入了全域防注入,但是沒有考慮到$_SESSION

於是嘗試構造注入,得到了flag

這道題比較有意思,總的來說考察了一下gopher和SSRF的知識

