WeChall - Warchall - Nurxxed

Posted on Edited on Views: Disqus:

Challenge

URL: https://www.wechall.net/en/challenge/warchall/nurxxed/index.php

Nurxxed 是 Warchall 上的 PHP exploit 题。题面明确提到 PHP unserialize，并把目标指向 Warchall Web 目录中的 config.php。

题面给出的目标入口：

1
2
http://nurxxed.warchall.net/
http://nurxxed.warchall.net/config.php

已确认方向

这题的核心是 PHP object injection，而不是先做系统级提权。现有公开源码线索记录了如下入口行为：

1
2
$rce = unserialize($_REQUEST['meh']);
echo $rce->toString();

因此需要先取得目标站点当前版本的 PHP 源码，确认可实例化的 class，以及 toString() 实际调用的字段和文件操作。不能在没有 class 定义的情况下套用通用 POP chain。

需要确认的细节：

  • 当前 class 名称；
  • 属性名、可见性和序列化格式；
  • toString() 是否读取文件、include 文件或调用其他对象；
  • config.php 中 solution 的变量/常量位置；
  • 当前 PHP 版本及 __wakeup()、__destruct() 等副作用。

当前状态

未解决。尚未把未经 live 验证的 serialized object 当作 payload，也没有写入猜测 flag。

后续路线

在明确的 CTF workspace 中获取当前源码，构造最小 meh 对象，先证明能控制 toString() 输出，再将目标从测试文件切换到 config.php。Warchall SSH 连接信息保留在 HANDOFF 技术备忘中，不在此写入凭据。