BUUCTF-近几年-RCE | zhiles小屋

type

status

date

slug

summary

[NewStarCTF 2023 公开赛道]R!!C!!E!!

叫我们找到一些泄露信息，一说到这个第一反应就是看看F12有没有泄露什么，不然就抓包看看，再者目录爆破一手

爆破出了三个，看目录估计是.git仓库泄露了

.git 是 Git 仓库的元数据目录，里面包含了所有提交记录、分支、配置等关键信息。
一旦这个目录暴露在 Web 服务器上（如 http://example.com/.git/ 可访问），就可以通过抓取和还原整个代码仓库。

访问.git/refs/heads/main获取到分支提交的哈希值

8dfa5ac196862ac027e3fd40e11ff4731957c20a

既然它泄露了.git仓库，那我们就可以下载该源码：

git clone https://github.com/lijiejie/GitHack.git

cd GitHack
python

githack.py http://48d9ab06-2278-42ac-bf2e-e1706a9ab9e9.node5.buuoj.cn:81/.git/

成功获取源码

bo0g1pop.php

if (';' === preg_replace('/[^\W]+$(?R)?$/', '', $_GET['star']))

最后记得加上;号

同时过滤黑名单，最后如果前两个条件满足，就直接 eval 你构造的代码

剩下的就是思考怎么构造一个绕过waf的payload了：

bo0g1pop.php?star=die(getcwd());

可以看到回显目录

始终构造不出绕过waf的payload的

看了博主的wp才做出来，但是也不是很懂

多发送几次就有了

wc,第一反应好淳朴的RCE，就是要求我们绕过黑名单而已，试试

尝试编码绕过，发现一次编码还是被waf了，二次编码不认

PHP的system函数和Web服务器处理URL编码的参数。通过URL传递参数时，Web服务器或PHP通常会对这些参数进行URL解码，将它们转换为相应的字符也就是我们进行一次编码发现第一次编码后进行

核心思路是通过变形、编码、替换来绕过过滤规则

使用操作符&&衔接（&&也要进行编码绕过，不然浏览器/服务端把 & 当成 URL 参数分隔符）

Bash 变量替换规则：

借用这种bash变量替换规则：

进行绕过：payload：？cmd=cd${IFS}..%26%26cd${IFS}..%26%26cd${IFS}..%26%26c${1}at${IFS}ffff${1}llllaaaaggggg