fastjson绕WAFのTIPS

fastjson对字符串转义处理の特性

fast解析字符串支持\u Unicode转义和 \x HEX转义的字符串解码 (一般json仅支持Unicode转义 fastjson多了对十六进制转义的支持)
例如 字符串 driverClassLoader

早上有点事 差点忘了有比赛233

<?php
error_reporting(0);
show_source(__FILE__);
$code=$_POST['code'];
$_=array('a','b','c','d','e','f','g','h','i','j','k','m','n','l','o','p','q','r','s','t','u','v','w','x','y','z','@','\~','\^','\[','\]','\&','\?','\<','\>','\*','1','2','3','4','5','6','7','8','9','0');
//This blacklist is so stupid.
$blacklist = array_merge($_);
foreach ($blacklist as $blacklisted) {
    if (preg_match ('/' . $blacklisted . '/im', $code)) {
        die('you are not smart');
    }
}
eval("echo($code)");
?>

题目过滤了全部字母和数字和部分位运算符

由http头X-Powered-By: PHP/7.3.21可知 服务器PHP版本为7.3.21

需要构造无字母数字的playload

前几天我把一个CVE写成EXP的时候遇到了一个问题
目标使用了直接拼接SQL语句的方法进行sql查询
而且使用的是UPDATE方法
sql_query("UPDATE users SET status = 'confirmed', editsecret = '' WHERE id IN (" . implode(", ", $_POST[conusr]) . ") AND status='pending'");
根据拼接的语句 我写出了这样的playload 准备读取数据库中用户表的密码hash

学生党 业余挖洞 只会点web

第一次写writeup，不大会写，请多关照。

看到这个题目cosplay! 就先看了眼这道题 居然拿到了个一血 0.0

尝试上传文件

发现是通过COS(腾讯的对象云储存)上传文件