！Tana-CSDN博客

原创 [2022DASCTF]ezpop

[2022DASCTF]ezpop <?phpclass crow{ public $v1; public $v2; function eval() { echo new $this->v1($this->v2); } public function __invoke() { $this->v1->world(); }}class fin{ public

2022-04-22 19:23:41 1507

TQL simple phpif(isset($_POST['user']) && isset($_POST['pass'])){ $hash_user = md5($_POST['user']); $hash_pass = 'zsf'.md5($_POST['pass']);//对passmd5加密 if(isset($_POST['punctuation'])){ //filter if (strlen($_POST['user'

2022-04-22 19:21:10 348

原创 PHPRCE

PHPRCE<?phperror_reporting(0);class A { protected $store; protected $key; protected $expire; public function __construct($store, $key = 'flysystem', $expire = null) { $this->key = $key; $this->store = $store

2022-04-22 19:19:59 939

原创 [HarekazeCTF2019]Avatar Uploader 1

[HarekazeCTF2019]Avatar Uploader 1首先就是一个普通界面常规思路看cookie 路径啥的都没有有用的信息这个界面是可以直接登录的题目中也给出了源码首先是基本的对图片的识别最后获得flag的位置为size处也就是 getimagesize()函数的识别在检查文件类型时，finfo_file()函数检测上传图片的类型是否是image/png在检查文件长宽时，getimagesize() 函数用于获取图像大小及相关信息，成功将返回个数组也就是说要finfo_

2022-04-22 19:18:11 1155

原创 [GYCTF2020]Ez_Express

[GYCTF2020]Ez_Expressdirsearch 扫到源码 www.zip首先回顾一下原型链污染在我们调用一个对象的某属性时：1.对象(obj)中寻找这一属性2.如果找不到，则在obj.__proto__中寻找属性3.如果仍然找不到，则继续在obj.__proto__.__proto__中寻找这一属性以上机制被称为js的prototype继承链。而原型链污染就与这有关原型链污染定义：如果攻击者控制并修改了一个对象的原型，那么将可以影响所有和这个对象来自同一个类、父祖类的对象

2022-04-22 19:16:48 2194 1

原创 [RoarCTF 2019]Online Proxy

[RoarCTF 2019]Online Proxy看到ip联系一下 xff（识别ip的）可以自己修改新知识点一看到current IP和last IP，就应该想到，应该是把我们的IP给写到数据库里了。跟SQL有关挨个测试为单引号闭合执行原理数据在写入数据库时1.127.0.0.1‘or’1在写入时为 Current

2022-04-22 19:14:59 1898

原创 [安洵杯 2019]不是文件上传

[安洵杯 2019]不是文件上传信息泄露github的源码public function view_files($path){ if ($this->ifview == False){ //不用管直接就是FALSE return False; //The function is not yet perfect, it is not open yet. } $content = file_get_contents($path); echo $con

2022-04-22 19:13:31 2430

原创 [ISITDTU 2019]EasyPHP

[ISITDTU 2019]EasyPHP<?phphighlight_file(__FILE__);$_ = @$_GET['_'];if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_) ) die('rosé will not do it');if ( strlen(count_chars(strtolower($_), 0x3)) > 0xd ) die('you are so cl

2022-04-22 19:11:20 945

原创 bestphp‘s revenge

bestphp’s revenge <?phphighlight_file(__FILE__);$b = 'implode';call_user_func($_GET['f'], $_POST);session_start();if (isset($_GET['name'])) { $_SESSION['name'] = $_GET['name'];}var_dump($_SESSION);$a = array(reset($_SESSION), 'welcome_to_th

2022-04-22 19:10:05 326

原创 [SUCTF 2018]GetShell

题目if($contents=file_get_contents($_FILES["file"]["tmp_name"])){ $data=substr($contents,5); foreach ($black_char as $b) { if (stripos($data, $b) !== false){ die("illegal char"); } } } 截取题目有文件包含功能，包含我们上传的文件，那如

2022-04-22 19:08:06 294

原创 LFI_to_RCE

LFI_to_RCE利用session.upload_progress进行文件包含条件竞争首先上传PHP_SESSION_UPLOAD_PROGRESS<?phpsession_start();?>因为session.use_strict_mode默认值为off,所以这时我们可以自定义session id，比如在Cookie里设置PHPSESSID=flag，php就会在服务器上创建一个文件：/tmp/sess_flag，即使此时用户没有初始化se

2022-04-20 16:36:45 364

原创 easyphp

easyphp<?phperror_reporting(0);highlight_file(__FILE__);class XMAN{ public $class; public $para; public $check; public function __construct() { $this->class = "Hel"; $this->para = "xctfer"; echo new

2022-04-20 16:34:00 250

原创 [SCTF2019]Flag Shop

[SCTF2019]Flag Shoprobots.txtrequire 'sinatra'require 'sinatra/cookies'require 'sinatra/json'require 'jwt'require 'securerandom'require 'erb'set :public_folder, File.dirname(__FILE__) + '/static'FLAGPRICE = 1000000000000000000000000000ENV["SE

2022-04-20 16:31:31 431

原创 [红明谷CTF 2021]write_shell

[红明谷CTF 2021]write_shell<?phperror_reporting(0);highlight_file(__FILE__);function check($input){ if(preg_match("/'| |_|php|;|~|\\^|\\+|eval|{|}/i",$input)){ // if(preg_match("/'| |_|=|php/",$input)){ die('hacker!!!'); }else{

2022-04-20 16:29:51 211

原创 [网鼎杯2018]Unfinish

[网鼎杯2018]Unfinish盲猜register界面打开看什么都没有、二次注入类题目绕过方法： mysql中，+只能当做运算符。执行select ‘1’+'1a’时结果执行select ‘0’+database();编程了0，但我们可以用ascii编码进行计算。select ‘0’+ascii(substr(database(),1,1));出来了库名第一位的ascii值。回到题目因为过滤了逗号，所以用from for来代替0’+ascii(substr(da

2022-04-20 16:28:06 206

原创 [HFCTF2020]JustEscape 记录

<?phpif( array_key_exists( "code", $_GET ) && $_GET[ 'code' ] != NULL ) { $code = $_GET['code']; echo eval(code);} else { highlight_file(__FILE__);}?> 输入Error().stack猜测是不是js是VM2沙盒逃逸用payload直接打(function (){ TypeError[`

2022-04-20 16:24:37 79

原创 [BJDCTF2020]EzPHP

[BJDCTF2020]EzPHP <?phphighlight_file(__FILE__);error_reporting(0); $file = "1nD3x.php";$shana = $_GET['shana'];$passwd = $_GET['passwd'];$arg = '';$code = '';echo "<br /><font color=red><B>This is a very simple challenge an

2022-04-20 16:22:48 349

原创 [NPUCTF2020]ezinclude

[NPUCTF2020]ezincludeGET /index.php?name=1&pass=fa25e54758d5d5c1927781a6ede89f8aMD5哈希长度拓展攻击把响应包的hash复制到密码那会弹出flag.php这里考察的是PHP临时文件包含，其基本是两种情况：利用能访问的phpinfo页面，对其一次发送大量数据造成临时文件没有及时被删除PHP版本<7.2，利用php崩溃留下临时文件脚本写入import requestsfrom io import

2022-04-20 16:19:36 155

原创 [GYCTF2020]EasyThinking

www.zip下有源码thinkphp漏洞登录时会有session1234567890123456789012345678.php可以修改注意是32位有搜索功能<?php @eval($_POST['123']);?>搜索的结果会存在/runtime/session/下getshell/runtime/session/sess_1234567890123456789012345678.php蚁剑链接根目录下有readflag但是ban了好多之前的题在这个用不了但是.

2022-04-20 16:17:44 652

原创 [MRCTF2020]Ezaudit

[MRCTF2020]Ezauditdirsearch扫目录www.zip有源码 else if($Private_key != '*****' ) { header('refresh:2; url=login.html'); echo "假密钥，咋会让你登录?crispr会让你在2秒后跳转到登录界面的!"; exit; }else{ if($Private_key === '************'){ $getuser = "SELECT flag FROM use...

2022-04-20 16:14:21 1232

m0_63045593的博客