qq_75120258的博客

这个是一个rar文件，里面好像隐藏着什么秘密，但是压缩包被加密了，毫无保留的告诉你，rar的密码是4位纯数字。打开是一张图片，使用StegSolve工具，打开Analyse（分析）选项卡，使用Data Extract（数据提取）选项，进行分析。得到一个GIF图片，猜测可能是图片隐写，使用stegsolve一帧一帧的看得到flag。得到一个BASE64编码，使用在线转换成一个图片，得到一个二维码，扫一扫得到flag。打开是一张图片，还是使用stegsolve分析他的文件格式，得到flag。

handler FlagHere open 打开这个表handler FlagHere read first 读取这个表的内容handler FlagHere close 关闭表

在php中，"\"做代码执行是，会被当做特殊符号，从而就绕过了黑名单

这时hint.php里的内容，没什么信息查看它的源代码（最好每一个页面都查看一下源代码，虽然很浪费时间，但是很多关键信息都藏在这些微不足道的但很多的信息里面）回到flag.php页面里抓一下包，并发送到重发器，在它的头添加 X-Forwarded-For: 127.0.0.1。它回显了3，说明存在ssti模板漏洞了，关于ssti漏洞，之前写BUGKU遇到过，在那篇WP里有。看到我们需要的flag了，直接 system('cat /flag')还有回显，应该是xff注入了，再输入xff={{1+2}}

1';因为查询是在words中查询id的，先用rename将words表改为word表名，再将数字表改为words表名，再将flag的属性改为id属性，类型为varchar(100)全都过滤了，难受死 找WP WP WP WP WP WP WP WP WP WP WP WP...然后输入 1' or '1'='1 查看改了之后的words表中的所有内容就能得到flag了。再输入 1' order by 1# 测试它的字段数，在输入3的时候出现了报错。（语句中的具体意思我也不是很懂。

双写绕过的原理是后台利用正则匹配到敏感词将其替换为空。即如果过滤了select，我们输入123select456 后会被检测出敏感词，最后替换得到的字符串由123select456 ---> 123456。这种过滤的绕过也很简单即双写select即可，如：selselectect ---> select ，进行一次这样的过滤就双写，两次就三写以此类推。至于怎么写绕过，我理解的是，比如select被过滤，就在他的中间再写一遍就行了，就像union写成ununionion一样，我理解的是这样，不知道对不对

使用get传参的方式，进行md5强比较，如果id=gg，呢么第一步就通过了，这儿有两种方法，第一种就是使用两个值相同的md5值进行绕过，第二种是数组绕过，之前使用过了第一种方法，这儿我们使用第二种方法，我们构造playload?我们要进行post传参，这儿考弱比较，passwd需要等于1234567，但是passwd又不能等于数字类型，这儿我们进行绕过，在后面随便加一个字母就行了。这样看太麻烦了，他给了提示，查看源代码。给了提示，我们已经通过第一步了。

勾选Post data 和 Cookies，再Cookies输入user=1，Post data输入password=404s（后面加什么都可以），看到响应，你已经是Cuiter并且password也是对的，下面需要我们支付flag，下一步我们就修改money的参数，让我们有足够的money购买flag，给money传参 money=100000000,(password和money两个参数中间需要&隔断)如果要买到flag，你必须是CUIT的学生，并且你必须回答密码，再查看一下它的源代码，发现。

我们构造playload source.php?我们就看不到那个笑脸图片了，说明我们输入满足条件，但是我们不知道flag的目录，就只有一级一级慢慢的找。在代码里，我们发现了和source.php相似的hint.php，接着访问。它提示flag就在ffffllllaaaaggg中，然后返回看我们主要的代码。通过上网查询PHP函数，代码审计（看不懂就上网搜。在代码里看到了信息： source.php 访问它。就一张笑脸，题目给了提示代码审计，查看源代码。最后返回了5次才找到了flag。

SSTI 就是服务器端模板注入（Server-Side Template Injection）render是python中的一个渲染函数，也就是一种模板，通过调用的参数不同，生成不同的网页，如果用户对render内容可控，不仅可以注入XSS代码，而且还可以通过{{}}进行传递变量和执行简单的表达式。

MD5绕过，MD5弱比较，MD5强比较

意思就是如果key不为数字，那么就输出just num，key变量去它的整数值，如果key=str，就输出flag。意思就是key=123就得到flag了

访问flag.php文件后发现没有看到flag。这是因为PHP的文件包含有一个特性，被包含的文件内容如果是代码则会执行而不会出现在页面中展示；如果是非代码则不会执行会以文本的形式在页面中展示出来。

内联执行法，就是先执行ls，再用cat把所有文件打开

首先，打开伪协议，看到了ping，那我们先用本地ip（127.0.0.1）ping 一下。出现了 index.php文件，继续输入127.0.0.1 | ls / 向下看。输入 127.0.0.1 | cat /flag 就得到我们需要的flag了。看到了有回显，接着输入 127.0.0.1 | ls 继续查看。我们在这里看到了flag文件。

万能密码就是绕过登录验证直接进入管理员后台的密码，这种类型的密码可以通用到很多存在此漏洞的网站，所以称之为万能。

注意看url里file=flag.php，看到这儿就知道是伪协议了，然后我们构造url。给他翻译一下，就得到了我们需要的flag了。然后我们得到了一串Base64代码。

BUNCTF--HANVEFUN解题过程