nssctf web 入门（5）

这里通过nssctf的题单web安全入门来写，会按照题单详细解释每题。题单在NSSCTF中。

想入门ctfweb的可以看这个系列，之后会一直出这个题单的解析，题目一共有28题，打算写10篇。

目录

[鹤城杯 2021]EasyP

[SWPUCTF 2021 新生赛]easyupload1.0

 [SWPUCTF 2021 新生赛]easyupload2.0

 [SWPUCTF 2021 新生赛]easyupload3.0

---

[鹤城杯 2021]EasyP

[鹤城杯 2021]EasyP

 

<?php
include 'utils.php';  #包含utils.php

if (isset($_POST['guess'])) {  #判断通过post方法获取的guess是不是空
    $guess = (string) $_POST['guess']; #把post获取guess赋值给guess强制以字符串形式
    if ($guess === $secret) {    #判断guess的值是不是secret
        $message = 'Congratulations! The flag is: ' . $flag; #把Congratulations! The flag is: 赋值给message也就是得到flag
    } else {
        $message = 'Wrong. Try Again'; #把Wrong. Try Again把message
    }
}

if (preg_match('/utils\.php\/*$/i', $_SERVER['PHP_SELF'])) { #preg_match匹配是不是以utils.php结尾$_SERVER['PHP_SELF']用于获取当前执行的php脚本的文件名和路径
    exit("hacker :)");
}

if (preg_match('/show_source/', $_SERVER['REQUEST_URI'])){ #通过preg_match匹配url中有没有show_source$_SERVER['REQUEST_URI']代表url中的路径和url值
    exit("hacker :)");
}

if (isset($_GET['show_source'])) {  #判断get获取的show_source是不是空
    highlight_file(basename($_SERVER['PHP_SELF'])); #highlight_life将当前脚本输出到页面，basename用于获取文件的基础名称 即在/etc/index.php中basename会获取index $_SERVER['PHP_SELF']用于获取文件所在的目录和文件名即 获取/etc/index.php整个这里的路径文件为举例
    exit();
}else{
    show_source(__FILE__);  #将当前脚本输出到页面
}
?> 

这里前面通过判断guess和secret的值输出flag，因为没有secret的任何信息，我们判断使假信息，但是可以调用$flag,我们猜测flag在包含文件utils.php中,下面我们的想法就是输出utils.pho的代码内容,我们发现highlight_file(basename($_SERVER['PHP_SELF']));是输出当前目录的文件,也就是当$_SERVER['PHP_SELF的内容使utils.php的时候就会输出utils.php的代码,因为basename的存在所以utils.php会被读取成utils,符合highlight_file的语法,所以第一我们要在页面目录中指定成utils.php

 但是因为过滤了当前文件不能以utils.php结尾,这里我们绕过方法hi是通过url错误编码绕过

 如%99 %95 这种不存在的url编码,url编码是通过%和两个16进制数来表示的

还可以通过中文来绕过

这里我们就成功绕过了第一个,第二个问题是我们要传入show_source让他不为空,让 highlight_file(basename($_SERVER['PHP_SELF']));执行,这里绕过了show_source

这里我们要明白_代表连接符我们可以通过[和+这两个连接符绕过

 

 得到flag

[SWPUCTF 2021 新生赛]easyupload1.0

[SWPUCTF 2021 新生赛]easyupload1.0

 

这里先随便上传发现对传入的大小有过滤,我们创建一个1.txt里面写上<>上传文件bp抓包,我这边就不开bp了 

 发现我们的包修改内容 <?php phpinfo(); ?>在修改1.jpg的后缀为1.php

这里我们想看看phpinfo 查看php开放的权限,在正常中能先访问phpinfo就先访问phpinfo会暴露配置信息,从中可以发现有没有存在漏洞如allow_url_include为on这种

 

 在phpinfo中可以收集信息也可以试试直接搜索flag这里我们直接搜索出来了flag

 [SWPUCTF 2021 新生赛]easyupload2.0

[SWPUCTF 2021 新生赛]easyupload2.0

 与上一题一样

 

 phtml文件.phtml 文件通常被用作模板文件，即包含 HTML 和 PHP 代码

所以我们可以修改后缀为phtml将0.phtml作为模板文件执行

 

 [SWPUCTF 2021 新生赛]easyupload3.0

[SWPUCTF 2021 新生赛]easyupload3.0

 那根据这个提示知道这里要传php一句话木马

这里我们通过尝试发现都不行

 

 我们在头发现是apache 我们知道apache可有个.htaccess

.htaccess是一种配置文件,用于在apache服务器中进行设置

在.htaccress中存在系统指令,其中filesmatch用于在服务器上匹配请求的文件名或者文件类型

SetHandler application/x-httpd-php 是一个apache命令,他用于将内容作为php代码执行而不是纯文本

所以我们可以先传入一个一句话木马,以jpg格式成功上传,然后通过apache的.htaccess文件中的filesmatch找到木马图片,通过SetHandler application/x-httpd-php执行使.jpg文件以php文件执行

 

 

 

 

 

 

 

<FilesMatch "1.jpg">
   SetHandler application/x-httpd-php
</FilesMatch>