buuctf
m0_55378150
这个作者很懒,什么都没留下…
展开
-
buu web:[护网杯 2018]easy_tornado(tornado render模板注入漏洞)
打开靶场分别看一下有什么应该都是一些小提示,可以看到url上的filename参数有点可疑,我们将第一个提示中的/fllllllllllllag放进去看看报了个错然后我们可以看到页面的Error也出现在了url上,我们换成其他东西试试很可疑,可能存在模板注入,测试一下:{{2*2}}这里我就看不懂了,百度了一手,才知道这是一个tornado render模板注入漏洞(我不懂原理,大家可以去看看大佬的题解),可以通过{{handler.settings}}拿...原创 2022-04-18 15:28:49 · 233 阅读 · 0 评论 -
buu web:[ACTF2020 新生赛]BackupFile(源码泄漏+PHP弱类型)
打开靶场让我们找源文件,右键源代码里啥都没有, 那就拿扫描器扫一下(但是buu有防扫机制,我线程开多低都扫不出来,只能去看看别人的扫描结果),扫到一个index.php.bak,下载下来看看,发现是index.php的源码<?phpinclude_once "flag.php";if(isset($_GET['key'])) { $key = $_GET['key']; if(!is_numeric($key)) { exit("Just num!"原创 2022-04-18 14:18:03 · 2270 阅读 · 0 评论 -
buu web:[极客大挑战 2019]PHP(源码泄漏+反序列化)
打开靶场提到了网站备份,说明可能存在源码泄漏,御剑或者dirsearch扫一下目录,扫出来一个www.zip下载完打开看一看直接看到了flag.php,继续打开这玩意一看就是假的,还是老老实实的代码审计吧先看index.php<!DOCTYPE html><head> <meta charset="UTF-8"> <title>I have a cat!</title> <link re..原创 2022-04-18 13:38:19 · 2257 阅读 · 0 评论 -
buu web:[极客大挑战 2019]BabySQL(sql注入双写绕过)
打开靶场,熟悉的界面依旧是先上万能密码1' or 1=1# 1' or 1=1#好家伙,直接就给你报错了,可以看到,or被它过滤掉了,所以我们尝试一下双写绕过1' oorr 1=1# 1' oorr 1=1#成功登录!可以拿admin回去登录界面继续注入了,先爆字段admin' oorrder by 2#(密码随便输)提示在字段数附近有报错,猜测可能是by也被过滤了,依旧是双写绕过admin' oorrder bbyy 2#可以的,通过...原创 2022-04-18 12:47:40 · 3045 阅读 · 0 评论 -
buu web:[RoarCTF 2019]Easy Calc
打开靶机,可以看到是一个简单的计算功能看一下源代码,发现了我看不懂的js代码但是里面有说到一个calc.php,看一下里面有什么soga,原来是waf,可以传入num参数,但是黑名单结合正则匹配过滤了不少字符,试了一下发现还不能是字母,最终可以通过eval函数执行命令。没啥思路,去看一下别人的wp,原来可以用php字符串解析特性来绕过waf,就是可以在num前加个空格,变成“ num”,而不是“num”。但php在解析的时候,会先把空格给去掉,这样我们的代码还能正常运行,神奇原创 2022-04-12 10:25:55 · 118 阅读 · 0 评论 -
buu web:[ACTF2020 新生赛]Upload
打开靶机,发现是一个文件上传窗口老规矩,先上传一句话木马发现有白名单,所以我们试一下先将.php后缀改成.jpg,再用burp抓包给他改回来(就是看一下它是不是前端验证)发送左上角有报错,看来没这么简单,试一下上一道题的phtml后缀方法放包成功上传,并且给出了路径,直接上蚁剑成功!...原创 2022-04-10 18:41:30 · 857 阅读 · 0 评论 -
buu web:[极客大挑战 2019]Upload
打开靶机,发现是一个文件上传的窗口先上传个一句话 hack.php提示不是image格式,所以得用burp抓包修改一下,进行MIME绕过(MIME由一串简单的字符串组成,初期标识了邮件e-mail的附件的类型,后来在html文件中可以用Content-Type属性表示,描述了这个文件的类型)将Content-Type这里改成image格式,可以是image/jpeg,其他的大家可以百度发送提示不能是php,说明php已经被过滤了 ,百度了一下绕过方法,发现了一个叫phtml.原创 2022-04-10 18:19:24 · 2140 阅读 · 0 评论 -
buu web:[极客大挑战 2019]Http
打开靶机没能获得啥有用信息,查看一手源代码,发现有个Secret.php打开看一下大概懂了,我们只需要用burp伪造一下它的Referer为https://Sycsecret.buuoj.cn就可以了(HTTP Referer是header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器该网页是从哪个页面链接过来的,服务器因此可以获得一些信息用于处理。)burp抓包,发到repeater点击header,添加Referer,值为..原创 2022-04-10 16:03:06 · 2402 阅读 · 0 评论 -
buu web:[极客大挑战 2019]Knife
打开靶机好家伙,马都给你写好了,直接蚁剑或菜刀一条龙服务下一位原创 2022-04-10 15:29:11 · 197 阅读 · 0 评论 -
buu web:[极客大挑战 2019]LoveSQL
打开靶场,又是熟悉的登录框直接丢万能密码:1' or 1=1# 1' or 1=1#成功登录了进来,但是只给了一个用户名和密码我们回去看一下有没有sql注入漏洞:admin'aa8a6c9bff8a201103d9b20b96b2dc3a发现有报错,order by 查字段,发现admin' order by 4#时报错,admin' order by 3#正常所以能确定是3,联合查询看看有没有回显1' union select 1,2,3#发现回...原创 2022-04-10 15:23:34 · 823 阅读 · 0 评论 -
buu web:Ping Ping Ping(命令执行)
打开靶机,提示get传参直接?ip=127.0.0.1返回ping的结果,接着试一下命令执行?ip=127.0.0.1|ls发现疑似flag的flag.php,试一下能不能直接读出来?ip=127.0.0.1|cat flag.php果然没这么简单,空格被过滤了,百度了一下绕过的方法cat flag.txtcat${IFS}flag.txtcat$IFS$9flag.txtcat<flag.txtcat<>flag.txt挨个试一下,发现..原创 2022-04-07 10:52:59 · 779 阅读 · 0 评论 -
buu web:Secret File(抓包+文件包含)
打开靶场页面没啥提示,查看一手源代码发现有一个Archive_room.php,打开看一下点击哦,什么东东,回去看一下Archive_room.php的源码发现还有一个action.php,但是我们访问的时候,它直接跳到end.php,所以我们用burp抓包看一下拿去repeater发送发现还有一个secr3t.php,回去题目打开看一下有include,文件包含!传入的file参数做了一些过滤,我们先?file=flag.php...原创 2022-04-07 09:54:32 · 662 阅读 · 0 评论 -
buu web:Exec(命令执行)
打开靶机,看到是一个ping窗口,然后结合题目名Exec,基本可以确定是命令执行漏洞先ping一下本地ip正常回显,试一下命令执行,127.0.0.1 | ls爆出当前目录下的index.php,然后通过目录穿越,找到了flag在这个目录下,127.0.0.1 | ls ../../../然后直接127.0.0.1 | cat ../../../flag成功相关知识点:Windows:&:前面语句为假时直接执行后面的命令&&..原创 2022-04-07 09:15:19 · 1529 阅读 · 0 评论 -
buu web:Online Tool(nmap文件写入)
打开靶场,好家伙,上来就是代码,我喜欢老规矩,找核心代码echo system("nmap -T5 -sT -Pn --host-timeout 2 -F ".$host);这里调用了system函数使用了nmap命令,只有host参数是可控的,并且它是以get方式传入的,我们先测试一下本地ip:?host=127.0.0.1正常回显,我们往回看看怎么利用if(!isset($_GET['host'])) { highlight_file(__FILE__);} e原创 2022-04-05 13:58:07 · 588 阅读 · 0 评论 -
buu web:EasySQL(MySQL堆叠注入)
打开靶机,发现是一个查询框输入1,提交,有回显输入1',提交,没有回显,应该是没有显示报错信息,那么报错注入就行不通了然后就是联合查询,时间盲注,布尔盲注,堆叠注入等一顿输出,发现除了堆叠之外,其他基本上都是有过滤的,如下那我们就用堆叠呗,输入1';show databases;,发现没回显,难道是数字型注入?输入1;show databases;,果然成功爆出数据库接下来看看当前数据库下有哪些表,1;show tables;flag应该就在这里了,但是过滤...原创 2022-04-01 22:20:19 · 1510 阅读 · 0 评论 -
buu web:随便注(MySQL堆叠注入)
打开靶场,发现是一个查询框输入1' ,报错,说明存在sql注入漏洞原创 2022-04-01 10:08:16 · 1187 阅读 · 0 评论 -
buu web:Havefun
打开靶场,看到一只可爱的小猫老规矩,看一下源代码,拉到最后才发现了一串核心代码没啥好说的,用get方式传入cat的值为dog,就能打印出一个类似flag的东西,直接上payload:?cat=dog我爱水题...原创 2022-03-28 10:34:54 · 111 阅读 · 0 评论 -
buu web:Include(文件包含)
打开靶场有一个小tip,打开看一下发现它的url是这样的,是不是很像warm up的文件包含?结合题目名字Include, 我敢肯定就是文件包含(滑稽),而且它给出了flag.php,但是没有直接显示flag,可能被隐藏了,所以用php伪协议(关于伪协议可以看一下这篇文章https://segmentfault.com/a/1190000018991087)(我也不会,照猫画虎)读取一下flag.php,payload为?file=php://filter/read=convert.原创 2022-03-28 10:53:08 · 833 阅读 · 0 评论 -
buu web:warm up(PHP代码审计)
启动靶机,发现了这么个玩意查看一手源代码<!DOCTYPE html><html lang="en"><head> <meta charset="UTF-8"> <meta name="viewport" content="width=device-width, initial-scale=1.0"> <meta http-equiv="X-UA-Compatible" content="ie=edg原创 2022-03-28 00:17:12 · 2636 阅读 · 3 评论 -
buu web:EasySQL(sql万能密码)
sql的基础知识默认大家都会了,不会的先去了解一下打开靶场,发现是一个登陆界面看到是easy,直接丢一手万能密码:1' or 1=1# 1' or 1=1#,登录nice!原创 2022-03-28 10:25:40 · 244 阅读 · 0 评论