guanrongl的专栏

include some critical file why not/etc/passwd - 包含一些关键文件，为什么不尝试下/etc/passwd 呢？/etc/passwd是Unix和Linux系统中存储用户账户信息的文件，通常包含用户名、密码（加密）、用户ID、组ID等信息。Please Select a language of your choice: en/fr - 可以选择一种语言，英语（en）或者法语（fr）-提示：有两种语言选择。所以构造payload ，

从中得到几个关键信息： POST 方法 ， /request 参数 service。flag.txt 在服务的，所以这是个 ssrf 的题，使用尝试使用file 协议。F12 看源码，有个main.js 文件；添加请求头 Content-Type。所以构造payload。

include some critical file why not/etc/passwd - 包含一些关键文件，为什么不能是/etc/passwd 呢？/etc/passwd是Unix和Linux系统中存储用户账户信息的文件，通常包含用户名、密码（加密）、用户ID、组ID等信息。Please Select a language of your choice:en/fr - 选择一种语言，英语（en）或者法语（fr）- 提示：两种语言。../../ 放多些，宁滥勿缺 ，少了可能回不到根目录。

include some critical file why not/etc/passwd - 包含一些关键文件，为什么不尝试下/etc/passwd 呢？/etc/passwd是Unix和Linux系统中存储用户账户信息的文件，通常包含用户名、密码（加密）、用户ID、组ID等信息。Please Select a language of your choice: en/fr - 可以选择一种语言，英语（en）或者法语（fr）这只是个举例，回到一开始的提示，为什么不能是 etc/passwd；

最后构造payload ，bp要加个头部 Content-Type: application/x-www-form-urlencoded。sha1、md5 都能通过数组绕过；

访问页面，这里有个链接关键点是md5 的值比较 和 strcmp 比较。

根据题中出现的include函数，怀疑存在文件包含漏洞，flag 在包含的flag.php 文件；后面再看题目的eval函数得知存在代码执行的漏洞，将flag.php的信息获取传递给参数a的值进行代码执行输出flag。2、 可通过 file 函数是把一个文件中的内容读入到一个数组中（如本题：?hello=file('flag.php')来查读取flag.php文件内容。1、利用eval()函数可将函数中的参数当作php代码执行，

给了score一个99999分数， sign 为 99999的base 64编码，还是失败；GET请求带有 score、IP、sign 三个参数，最后的flag 应该跟分数有关；同样的 ，也可以直接打断点，提前在前端修改分数；这样就不用考虑sign标志的事情；最后发现：sign是由zM+base6(score)+==构成。回到页面，打断点：逐步调试；在sign 加密这了打断点；修改sign ，重新发请求，得到flag。得到100分，没拿到flag。

进入到 项目目录：/WorkSpace/114.67.175.224:15623/.git/logs。查看前端页面、代码、response返回；git show 逐个逐个搜；得到的是假的 flag ，

由于返回的错误信息有 bugku10000 ，所以设置 grep match 添加 bugku10000。结果安装 length 、bugku1000排序，得到 密码 zxc123。在页面输入密码 zxc123 ，得到结果。加载top1000.txt 密码文本；发送请求到 intruder。访问页面，随便输入个密码。

页面的最后返回一个字符串；== 结尾 应该是base64 编码；最后发现 用户名是admin，密码test123， 获得flag。同时，提示信息还有 IP禁止访问，本地管理员登陆；尝试用户名 test，密码123 ，也没登陆上；解码得到 test123。

最后，最关键的是最后的$$args,这是可变变量的意思，如$args的值是另一个变量的变量名。所以我们就给args赋值一个变量名，PHP 中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可用。SERVER[是预定义服务器变量的一种，所有SERVER[是预定义服务器变量的一种，所有_SERVER [是预定义服务器变量的一种，所有_SERVER开头的都。/^开始, \w表示任意一个单词字符，即[a-zA-Z0-9_] ,+将前面的字符匹配一次或多次，$/结尾。中的代码的语法高亮版本。

burpsuite中，把 GET请求改为POST请求，同时，增加一行报文体what=flag ， 由于多了参数，还需要再增加报文头Content-Type: application/x-www-form-urlencoded。从这里可以得到信息；想要得到flag ，需要发送post请求，并且请求带有what参数，参数值为flag。访问请求，返回如下信息；

PHP在处理哈希字符串时，会利用”!=”或”==”来对哈希值进行比较，它把每一个以”0E”开头的哈希值都解释为0，所以如果两个不同的密码经过哈希以后，其哈希值都是以”0E”开头的，那么PHP将会认为他们相同，都是0。从前端、源码上看，除了这段字符串，没有其他信息；尝试解密，长度32位；这串字符串是重复的；查到一个 index.php.bak 文件 ，代码如下：（注释我自己补上的）所以根据代码逆向构造，并且这里使用了一个php 的bug。使用dirsearch 扫描后端服务；