NJCTF 2017 web Writeup

最新推荐文章于 2024-08-16 11:30:21 发布

Bendawang

最新推荐文章于 2024-08-16 11:30:21 发布

阅读量9k

点赞数 1

分类专栏： WriteUp Web 文章标签： web ctf writeup njctf2017

本文链接：https://blog.csdn.net/qq_19876131/article/details/61918399

版权

本文是关于NJCTF 2017 Web挑战的详细解析，包括web100 Login的二次注入，web300 Be Admin的CBC字节翻转攻击，以及其他如web350 Text wall的反序列化漏洞利用等。通过这些挑战，作者展示了CTF中常见的Web安全技巧和漏洞利用方法。

摘要由CSDN通过智能技术生成

NJCTF 2017 web Writeup

新博客地址：http://bendawang.site/article/NJCTF-2017-web-Writeup（ps:短期内csdn和新博客会同步更新）
第一次做题做到差点吐血，好多web啊。。。。最后有两个还没有做出来，一道是come on，注入题，始终觉得返回值太诡异了，看不懂，于是giveup，一道是ruby拿道，不会ruby，最后也没时间去看了，所以就抛弃了。回头去看大佬们的题解了只能。总之题目质量还是可以的。

第一题找到这个登陆界面随便注册一个登进去之后发现在getflag.php界面下有打印了自己的用户名。第一反应是二次注入，随便构造一个提交发现注册成功，而且我多点几次任然注册成功，因为用户名不能重复的，所以想到这里有长度限制试了下发现是50，所以这样就可以想办法重置admin的密码，如下：

这里写图片描述

这样就成功重置admin的密码，登进去就拿到flag了。

web100 Get Flag

这里随便输入观察下发现服务器会cat你输入的东西，那么很好办，直接用&来进行执行自己的命令就好了，这里;什么的都被过滤了。
然后就不停的向上ls最终flag在服务器的根目录下面，如下图：

这里写图片描述

web300 Be Admin

首先通过备份文件拿到源代码如下：

<?php
error_reporting(0);
define("SECRET_KEY", "......");
define("METHOD", "aes-128-cbc");

session_start();

function get_random_token(){
   
    $random_token='';
    for($i=0;$i<16;$i++){
        $random_token.=chr(rand(1,255));
    }
    return $random_token;
}

function get_identity()
{
   
    global $defaultId;
    $j = $defaultId;
    $token = get_random_token();
    $c = openssl_encrypt($j, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $token);
    $_SESSION['id'] = base64_encode($c);
    setcookie("ID", base64_encode($c));
    setcookie("token", base64_encode($token));
    if ($j === 'admin') {
        $_SESSION['isadmin'] = true;
    } else $_SESSION['isadmin'] = false;

}

function test_identity()
{
   
    if (!isset($_COOKIE["token"]))
        return array();
    if (isset($_SESSION['id'])) {
        $c = base64_decode($_SESSION['id']);
        if ($u = openssl_decrypt($c, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, base64_decode($_COOKIE["token"]))) {
            if ($u === 'admin') {
                $_SESSION['isadmin'] = true;
            } else $_SESSION['isadmin'] = false;
        } else {
            die("ERROR!");
        }
    }
}

function login($encrypted_pass, $pass)
{
   
    $encrypted_pass = base64_decode($encrypted_pass);
    $iv = substr($encrypted_pass, 0, 16);
    $cipher = substr($encrypted_pass, 16);
    $password = openssl_decrypt($cipher, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv);
    return $password == $pass;
}



function need_login($message = NULL) {
   
    echo "   <!doctype html>
        <html>
        <head>
        <meta charset=\"UTF-8\">
        <title>Login</title>
        <link rel=\"stylesheet\" href=\"CSS/target.css\">
            <script src=\"https://cdnjs.cloudflare.com/ajax/libs/prefixfree/1.0.7/prefixfree.min.js\"></script>
        </head>
        <body>";
    if (isset($message)) {
        echo "  <div>" . $message . "</div>\n";
    }
    echo "<form method=\"POST\" action=''>
            <div class=\"body\"></div>
                <div class=\"grad\"></div>
                    <div class=\"header\">
                        <div>Log<span>In</span></div>
                    </div>
                    <br>
                    <div class=\"login\">
                        <input type=\"text\" placeholder=\"username\" name=\"username\">
                        <input type=\"password\" placeholder=\"password\" name=\"password\">               
                        <input type=\"submit\" value=\"Login\">
                    </div>
                     <script src='http://cdnjs.cloudflare.com/ajax/libs/jquery/2.1.3/jquery.min.js'></script>
            </form>
        </body>
    </html>";
}

function show_homepage() {
   
    echo "<!doctype html>
<html>
<head><title>Login</title></head>
<body>";
    global $flag;
    printf("Hello ~~~ ctfer! ");
    if ($_SESSION["isadmin"])
        echo $flag;
    echo "<div><a href=\"logout.php\">Log out</a></div>
</body>
</html>";

}

if (isset($_POST['username']) && isset($_POST['password'])) {
    $username = (string)$_POST[