題目分析

首先拿到題目描述：工控云管理系統項目管理頁面解析漏洞

找到題目入口

點擊view-source對源碼進行審計

if?(isset($_GET[page])?&&?$_GET[page]?!=?'index.php')?{??????include('flag.php');????}else?{??????header('Location:??page=flag.php');????}

就是page參數不傳index.php就會包含上flag.php，如果page參數為index.php就會跳轉到page=flag.php

<?php?????if?($_SESSION['admin'])?{???????$con?=?$_POST['con'];???????$file?=?$_POST['file'];???????$filename?=?"backup/".$file;???????if(preg_match('/.+\.ph(p[3457]?|t|tml)$/i',?$filename)){??????????die("Bad?file?extension");???????}else{????????????chdir('uploaded');???????????$f?=?fopen($filename,?'w');???????????fwrite($f,?$con);???????????fclose($f);???????}?????}??????>

存在session admin為true，則可通過這邊上傳木馬，但是可以發現的是，對文件名有一個正則，這個等會再看。首先看如何將session的admin設為true。

<?php??????if?(isset($_GET[id])?&&?floatval($_GET[id])?!==?'1'?&&?substr($_GET[id],?-1)?===?'9')?{????????include?'config.php';????????$id?=?mysql_real_escape_string($_GET[id]);????????$sql="select?*?from?cetc007.user?where?id='$id'";????????$result?=?mysql_query($sql);????????$result?=?mysql_fetch_object($result);??????}?else?{????????$result?=?False;????????die();??????}??????if(!$result)die("<br?>something?wae?wrong?!?<br>");??????if($result){????????echo?"id:?".$result->id."</br>";????????echo?"name:".$result->user."</br>";????????$_SESSION['admin']?=?True;??????}??????>

存在參數id，且參數不為1且最后一位為9。會去執行查找項目功能。

解題流程

隨意輸入id為9查看反饋為

這邊嘗試了一下

發現1 9即可繞過。因為顯然floatval($_GET[id])?!==?'1’這是不等的，因為結果數據類型不同。然后最后一位為9.

然后本地數據庫跑一下

轉為int類型直接就是1。所以直接能查出admin的那一條記錄。

然后嘗試去上傳界面上傳getshell

<?php?????if?($_SESSION['admin'])?{???????$con?=?$_POST['con'];???????$file?=?$_POST['file'];???????$filename?=?"backup/".$file;???????if(preg_match('/.+\.ph(p[3457]?|t|tml)$/i',?$filename)){??????????die("Bad?file?extension");???????}else{????????????chdir('uploaded');???????????$f?=?fopen($filename,?'w');???????????fwrite($f,?$con);???????????fclose($f);???????}?????}??????>

可以發現post兩個參數分別為con是文件內容，file為文件名。
然后嘗試繞過正則

preg_match(’/.+.ph(p[3457]?|t|tml)$/i^{\prime },?$filename)個人理解是。。這個需要繞過嗎，直接上傳配置文件，解析別的后綴名為php不就好了嗎。

首先存在.htaccess文件

上傳一句話木馬。

上傳覆蓋.htaccess

但是發現.jpg文件并沒有被作為可執行文件執行

那應該是

.htaccess沒有寫權限吧。

找先知上一些上傳繞過的方法

因為獲取文件后綴進行正則匹配的時候，只會匹配最后一個.后的內容，所以通過php/.繞過

蟻劍連上去發現找到flag即可

神奇的是，發現成功上傳了.htaccess文件，但是并沒有能把jpg文件解析了emmm

望大佬告知~

總結

以上是生活随笔為你收集整理的攻防世界-web-ics-07-从0到1的解题历程writeup的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。