RPO攻击

最近在强网杯上遇到RPO的题，懵逼好久。

0x00概述

浏览器解析页面路径有误而导致css文件加载路径错误，从而引发的任意解析。

关键点：上传css的点，利用的是PHPinfo模式

0x01 PHPinfo模式

PHPinfo模式上传URL的本意是为了使原本长段的URL变得简洁。每当你访问一个网站必然带有一长串参数，但是太长又显得不太友好，参数还需要使用&来分割开，参数一多，就显得相当复杂。然而PathInfo模式功能就是将这一长串缩短简化，让这个路径变得更加友好的显示。

传统的访问路径是这样子的：

http://www.example.com/index.php?m=module&c=controller&a=action&var1=vaule1&var2=vaule2.....

而PHPinfo的URL模式下能够做到这样子的路径:

http://www.example.com/index.php?module/controller/action/var1/vaule1/var2/value2.....

两者相比较很容易就得出结论：PathInfo模式下的访问路径显示更加友好。
下为实现pathinfo的一个简易demo

$arr=isset($_SERVER['PATH_INFO'])?explode('/',trim($_SERVER['PATH_INFO'],'/')):null;
//var_dump($arr);
//echo $arr
$value='';
for($_=0;$_<count($arr);$_+=2)
{
    $value[$arr[$_]] = $arr[$_+1];
}
$value['country']=isset($value['country'])?$value['country']:null;

0x02漏洞原理

假设style.css文件为

h1 {
font-size:180px;
color:blue;
}

当css文件以相对路径被加载的时候

<link rel="stylesheet" href="./style.css" style="css" />

因为传参是用反斜杠来实现的，所以正常打开页面是没有问题的

image

但是当我们上传参数的时候，浏览器与服务器端对URL的解析就会不同

7e2785d1ly1fevjctwms8j20p108v0sx.jpg

浏览器误以为我们参数的键/country/是一个实际的路径，从而导致实际加载的css文件路径就成了

http://localhost/hello/url.php/country/style.css

服务端收到的请求会认为请求/country/style.css是一个键为country值为style.css的参数，从而返回页面,这样返回的页面会直接加载构造好的css文件。

之后的利用可以结合xss来做了。