CTFshow web93-104关

news2024/11/28 6:32:35

这周要学习的是php代码审计 根据师兄的作业 来做web入门的93-104关

93关

看代码 进行分析

他的主函数


include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }

 解析：

输入一个变量 num 进行get传参 如果num=4476 返回错误 

传入num 用函数preg_match进行匹配，如果匹配到则返回错误

再根据intval函数的取整的特性，传入payload：?num=4476.1/?num=010574(加0是因为intval 函数检测时字符串以 "0" 开始，使用 8 进制)

知识点：

php中使用两个等号“==” 比较，只比较值，不比较类型(两个等号是弱类型比较,他会将两边自动转换为同一种类型后再进行比较。所以他比较的就只是值 ,不比较类型。)

intval 函数用于获取变量的整数值，intval() 函数通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值。

如果 base 是 0，通过检测 var 的格式来决定使用的进制：

  • 如果字符串包括了 "0x" (或 "0X") 的前缀，使用 16 进制 (hex)；否则，
  • 如果字符串以 "0" 开始，使用 8 进制(octal)；否则，
  • 将使用 10 进制 (decimal)。

实例：

<?php
echo intval(42);                      // 42
echo intval(4.2);                     // 4
echo intval('42');                    // 42
echo intval('+42');                   // 42
echo intval('-42');                   // -42
echo intval(042);                     // 34
echo intval('042');                   // 42
echo intval(1e10);                    // 1410065408
echo intval('1e10');                  // 1
echo intval(0x1A);                    // 26
echo intval(42000000);                // 42000000
echo intval(420000000000000000000);   // 0
echo intval('420000000000000000000'); // 2147483647
echo intval(42, 8);                   // 42
echo intval('42', 8);                 // 34
echo intval(array());                 // 0
echo intval(array('foo', 'bar'));     // 1
?>

94关

 只比93关多了一个  !strpos($num, "0")

知识点：

strpos() 函数查找字符串在另一字符串中第一次出现的位置（区分大小写）。

解析：

我们还是可以利用8进制进行绕过或者小数绕过，但是因为strpos函数特性 要在8进制前加+或者加空格 ，小数应该是0 payload:?num=4476.0/?num=+010574

95关

解析：

  if(preg_match("/[a-z]/i", $num)){

 if(preg_match("/[a-z]|\./i", $num)){  95关

与之前不同的地方在正则匹配这里，多了一个. 其他的没变

还是用之前的payload：?num=+010574

96关

 

知识点：

这题看到了flag.php 应该是让我们找文件路径的题，找文件路径可以用

php伪协议filter

/var/www/html/flag.php(/var/www/html 只是Web服务器的默认根文件夹)

./flag.php(在linux下面表示当前目录是 "./" " . ./"代表上一层目录 “/”:代表根目录.)

解析：

payload：/var/www/html/flag.php    ./flag.php    php://filter/resource=flag.php

php://filter/read=convert.base64-encode/resource=flag.php (base64编码的伪协议使用)

97关

 知识点：

属于php md5强比较绕过

在 php 中，=== 代表着强比较，不仅仅会比较值，还会比较类型。因此这里不能在使用上面的方式进行绕过了。

要绕过此处的比较，需要向 md5() 函数中传入数组，md5() 函数中如果传入的不是字符串而是数组，不但md5()函数不会报错，结果还会返回null，在强比较里面null=null为 True 绕过。

解析：

因此这里可以使用数组绕过

payload:a[]=1&b[]=2

是post传参而不是get传参

98关

知识点：

php三元换算符

解析：

 $_GET?$_GET=&$_POST:'flag' 如果存在GET请求，则用POST请求传入的值将其覆盖掉.

$_GET['HTTP_FLAG']=='flag'?$flag:__FILE__ GET传入的HTTP_FLAG的值为flag，则输出flag.

所以POST：HTTP_FLAG=flag；GET随便传什么都行.

 

99关

 知识点：

array函数

array_push函数

 in_array函数

file_put_contents() 函数把一个字符串写入文件中。

该函数访问文件时，遵循以下规则：

  1. 如果设置了 FILE_USE_INCLUDE_PATH，那么将检查 *filename* 副本的内置路径
  2. 如果文件不存在，将创建一个文件
  3. 打开文件
  4. 如果设置了 LOCK_EX，那么将锁定文件
  5. 如果设置了 FILE_APPEND，那么将移至文件末尾。否则，将会清除文件的内容
  6. 向文件中写入数据
  7. 关闭文件并对所有文件解锁

如果成功，该函数将返回写入文件中的字符数。如果失败，则返回 False。

解析：

通过看这三个函数，知道了$allow = array()是设置了数组

0x36d是877的十六进制。for语句是一个循环结构，$i从36开始，每次与877作比较，只要小于877，则让$i加1。每次for语句执行成功，也就是加1都会执行下面的array_push函数。

array_push($allow, rand(1,$i))是在1-$i之间随机生成一个整数，添加到数组$allow尾部

if(isset($_GET['n']) && in_array($_GET['n'], $allow)) 从这里可以看出in_array函数使用的是弱比较 因为他没有设置第三个参数为true 所以我们传入1.php就相当于传入了1 这里也是这题的主要考点

file_put_contents($_GET['n'], $_POST['content']); 这句话就是get传参并用post传入内容

所以post就可以传入命令执行语句，get传入1.php就可以绕过，因为数字1正好在 range(1,24)数组中，当随机生成的数字正好是1时就可以绕过 in_array()函数判断

解析：

payload： get： ?n=1.php   post:  content=<?php system('ls');?>

传入以后就可以找到1.php的页面执行命令找到了存放flag的文件

再用2.php读取flag文件

 

100关

 知识点：

考察的是运算符的优先级  ：&& > || > = > and > or

运算符优先级的划分如下：

()小括号优先级最高

！ 优先级高于 算术运算符

算术运算符 优先级高于 关系运算符

关系运算符优先级高于 "&&"和"||"

"&&"和"||"优先级高于 "="

运算符的种类还有很多，在往后的学习中我们就会慢慢地接触到，所以，在同一行代码中，

如果出现多种不同优先级的运算符时，最好还是加上小括号，这样才会比较直观。

(３)同等优先级的运算符，执行顺序的划分：

算术运算符 —— 乘法、除法、取余运算 优先级高于 加法、减法。

算术运算符 —— 乘法、除法、取余运算 出现在同一行代码中，则按从左到右的顺序执行。

算术运算符 —— 加法、减法， 出现在同一行代码中，则按从左到右的顺序执行。

关系运算术——出现在同一行代码中，按从左往右顺序执行。

 

​ 

 解析：

is_numeric函数 用于检测变量是否为数字或数字字符串

$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3); 关键在这句

因为=比and优先 所以v0的值是v1赋的 所以v0=is_numeric($v1) 看到代码后面有eval函数

想到命令执行

这需要$v2传入命令，$v3需要;结尾，但这么一来is_numeric一处理就变成了

$vo = $v1 and FALSE and FAlse

if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3))

再根据这两句，v2必须没有；v3必须有；

payload： /?v1=1&v2=system('ls')&v3=;

找到了包含flag的文件 但是点开什么都没有 打开ctfshow.php看看

/?v1=1&v2=system('tac ctfshow.php')&v3=;     （这里用tac的原因是发现cat不行然后换了一下）

发现了flag 0x2d是16进制的- 转换一下就好了

101关

 

不一样的地方在于把v2 v3的条件给改了

if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\)|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\;|\?|[0-9]/", $v2)){
if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\(|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\?|[0-9]/", $v3)){

知识点

新学习到了反射

反射，通俗来讲就是可以通过一个对象来获取所属类的具体内容，php中内置了强大的反射API：

    ReflectionClass：一个反射类，功能十分强大，内置了各种获取类信息的方法，创建方式为new ReflectionClass(str 类名)，可以用echo new ReflectionClass(‘className’)打印类的信息。

    ReflectionObject：另一个反射类，创建方式为new ReflectionObject(对象名)。

 

API：API 就是应用程序编程接口。它是能用来操作组件、应用程序或者操作系统的一组函数

php反射类_php 反射类_raoxiaoya的博客-CSDN博客具体的可以看这个大佬的博客 就不做具体说明了

所以我们在这里可以直接用反射类的方法来做这道题

解析:

payload：?v1=1&v2=echo new ReflectionClass&v3=;

这里的flag是少了一位的 可以用bp抓包爆破 也可以一个一个字符尝试

102关

 

 知识点：

substr() 函数返回字符串的一部分。

注释：如果 start 参数是负数且 length 小于或等于 start，则 length 为 0。

 call_user_func()：调用一个回调函数处理字符串,
可以用匿名函数，可以用有名函数，可以传递类的方法，
用有名函数时，只需传函数的名称
用类的方法时，要传类的名称和方法名
传递的第一个参数必须为函数名，或者匿名函数，或者方法
其他参数，可传一个参数，或者多个参数，这些参数会自动传递到回调函数中
而回调函数，可以通过传参，获取这些参数
返回回调函数处理后的结果

【php】php中call_user_func函数的用法_call_user_func用在什么时候_yanhui_wei的博客-CSDN博客

解析：

<?phphighlight_file(__FILE__);$v1 = $_POST['v1'];$v2 = $_GET['v2'];$v3 = $_GET['v3'];$v4 = is_numeric($v2) and is_numeric($v3); 
 通过将变量v2执行的命令base64加密后转换成16进制字符串来使得变量v4为ture 
if($v4){    $s = substr($v2,2);   $str = call_user_func($v1,$s);
通过变量v1调用hex2bin函数将变量v2的16进制字符串转换成原来的base64编码形式（因为这里v2只使用数字 并且是在第二位之后即第三位开始读取suo'y）
echo $str;    file_put_contents($v3,$str);
通过使用php://filter伪协议写入webshell

get传参v2和v3，post传参v1；if中需要v4为真才能往下执行，而v4要为真就是v2传的参数要为数字或者数字字符串，同时v2也是我们要写入的webshell，为了让v2为数字或者数字字符串，我们可以先把我们的webshell转换为base64编码，再把base64编码转换为16进制，这是一种办法去转换成数字。

payload：

get：?v2=005044383959474e6864434171594473&v3=php://filter/write=convert.base64-decode/resource=1.php

post： v1=hex2bin

(<?=`cat *`;——base64：PD89YGNhdCAqYDs=——16进制：5044383959474e6864434171594473) （v3为伪协议）

 

在访问1.php 得到flag

 103关

看代码发现和102关没什么区别 该绕过的都用base64以及16进制绕过了 可以沿用102关的payload

都是在页面的源代码里找到的flag

104关

 知识点：

sha1()函数特性，sha1函数无法处理数组，遇到数组会返回NULL

解析：

get传入v2 post传入v1 让两个变量的sha1值相等 用的是弱比较

payload： get： v2[]=1  post: v1[]=1

得到flag

php代码审计作业题到此结束 通过这些题也找到了代码审计方面的做题思路，一些不认识的函数也认识了不少 但是不足也很明显，好多函数的特性并没有了解过，看到简单的代码还行 如果有复杂的代码还是头大 欠缺的地方很多 到实际的时候也没有那么多时间让你去查函数  还是要花功夫去记函数的

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/843879.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

nuxt脚手架创建项目

nuxt脚手架创建项目

在初始化时遇到一个依赖找不到的问题&#xff0c;记录一下&#xff0c;如有遇到同样问题的小伙伴&#xff0c;希望能给你们一点指引。 从安装脚手架开始&#xff0c;首先 一&#xff1a;安装nuxt脚手架 1. C盘全局安装&#xff1a; npm i -g create-nuxt-app 安装后可creat…
阅读更多...
云迁移解决方案

云迁移解决方案

云迁移是指将应用程序和数据从一个位置&#xff08;通常是公司自有的现场&#xff08;“本地”服务器&#xff09;迁移到公有云提供商的服务器的过程&#xff0c;但也指在不同的云之间进行迁移的过程。云迁移的主要优势包括降低 IT 成本和提高性能&#xff0c;但也存在安全性、…
阅读更多...
EVE-NG MPLS L2VPN LDP lsp

EVE-NG MPLS L2VPN LDP lsp

目录 1 拓扑 2 配置步骤 2.1 配置接口IP 和路由协议 2.2 配置MPLS LDP 2.3 配置L2VPN PW(LDP) 2.4 验证L2VPN 1 拓扑 2 配置步骤 2.1 配置接口IP 和路由协议 PE1 interface LoopBack 0ip address 1.1.1.9 32 quitinterface GigabitEthernet1/0ip address 10.1.1.1 25…
阅读更多...
Docker-compose应用

Docker-compose应用

Docker-compose Docker-compose 是Dcoker官方推出的Docker容器的一键编排工具&#xff0c;使用Docker-compose可以批量启动容器、停止容器等等。 安装 github地址 https://github.com/docker/compose/tree/v2.20.1 下载地址 https://github.com/docker/compose/releases …
阅读更多...
pinctrl_desc函数操作集实现

pinctrl_desc函数操作集实现

pinctrl_desc函数操作集实现 文章目录 pinctrl_desc函数操作集实现groups和functionimx_pctrl_opsimx_get_groups_countimx_get_group_nameimx_get_group_pinsimx_pin_dbg_showimx_dt_free_map imx_pmx_opsimx_pmx_setimx_pmx_get_funcs_countimx_pmx_get_func_nameimx_pmx_get…
阅读更多...
vue 列表|表格环境中的下拉菜单

vue 列表|表格环境中的下拉菜单

elementui组件为vue提供了各式各样的ui组件&#xff0c;但均为各类最为基本的控件&#xff0c;没有提供业务级的使用案例&#xff0c;为此进行扩展补充。 vue-elementui 基本入门使用 一、下拉菜单 下拉菜单与html中的select控件有所差距&#xff0c;select为表单控件的一员页…
阅读更多...
python 输入oracle sql查询语句导出excel表

python 输入oracle sql查询语句导出excel表

Author: liukai 2810248865qq.com Date: 2022-08-18 04:28:52 LastEditors: tkhywang 2810248865qq.com LastEditTime: 2023-08-02 18:27:08 FilePath: \PythonProject02\python 连接oracle数据库导出Excel带数据库表头.py Description: 这是默认设置,请设置customMade, 打开ko…
阅读更多...
汇川伺服常见故障处理

汇川伺服常见故障处理

伺服系统故障拓扑图 Er.941 变更参数需重新上电生效 产生机理：伺服驱动器的功能码属性“生效时间”为“再次通电”时，该功能码参数值变更后，驱动器提醒用户需要重新上电。 原因 确认方法 处理措施 变更了再次通电后更改生效的功能码 确认是否更改了“生效时间”为“重新上电…
阅读更多...
C++：模拟实现string类

C++：模拟实现string类

文章目录 Iterator类capacity类Element access 类Modifiers类String operations类类外成员函数头文件总括 本篇主要介绍模拟实现string类&#xff0c;string中有相当多的内容&#xff0c;这里实现一些相对用途广泛的场景 先看要实现的内容有哪些&#xff1a; 上图源于cplusplu…
阅读更多...
认识所有权

认识所有权

专栏简介&#xff1a;本专栏作为Rust语言的入门级的文章&#xff0c;目的是为了分享关于Rust语言的编程技巧和知识。对于Rust语言&#xff0c;虽然历史没有C、和python历史悠远&#xff0c;但是它的优点可以说是非常的多&#xff0c;既继承了C运行速度&#xff0c;还拥有了Java…
阅读更多...
从零构建深度学习推理框架-4 框架中的算子注册机制

从零构建深度学习推理框架-4 框架中的算子注册机制

今天要讲的这一注册机制用到了设计模式中的工厂模式和单例模式&#xff0c;所以这节课也是对两大设计模式的一个合理应用和实践。KuiperInfer的注册表是一个map数据结构&#xff0c;维护了一组键值对&#xff0c;key是对应的OpType&#xff0c;用来查找对应的value&#xff0c;…
阅读更多...
断路器分合闸线圈电流试验

断路器分合闸线圈电流试验

试验目的 仅通过断路器低电压值来分析判断断路器的状态, 不能有效地反映断路器内部潜 在缺陷, 同时无法对故障进行定位, 分、 合闸线圈电流蕴含断路器操作回路的极大信 息, 典型的分、 合闸线圈动作电流暂态波形, 通常有两个波峰和一个波谷, 根据波峰、 波谷出现的时间位置, …
阅读更多...
关于外贸跟进客户过程中需要注意的地方

关于外贸跟进客户过程中需要注意的地方

如果你感觉业务进展困难&#xff0c;多去看一些书&#xff0c;多去链接一些人&#xff0c;特别是优秀的人&#xff0c;多交流会让你思维更加开阔&#xff0c;笔记做好实践起来&#xff0c;就会有收获&#xff01; 我记得汪老师说过&#xff1a;跟进客户&#xff0c;当你准备好…
阅读更多...
【Maven】依赖范围、依赖传递、依赖排除、依赖原则、依赖继承

【Maven】依赖范围、依赖传递、依赖排除、依赖原则、依赖继承

【Maven】依赖范围、依赖传递、依赖排除、依赖原则、依赖继承 依赖范围 依赖传递 依赖排除 依赖原则 依赖继承 依赖范围 在Maven中&#xff0c;依赖范围&#xff08;Dependency Scope&#xff09;用于控制依赖项在编译、测试和运行时的可见性和可用性。通过指定适当的依赖…
阅读更多...
AWK实战案例——筛选给定时间范围内的日志

AWK实战案例——筛选给定时间范围内的日志

时间戳与当地时间 概念&#xff1a; 1.时间戳&#xff1a; 时间戳是指格林威治时间自1970年1月1日&#xff08;00:00:00 GMT&#xff09;至当前时间的总秒数。它也被称为Unix时间戳&#xff08;Unix Timestamp&#xff09;。通俗的讲&#xff0c;时间戳是一份能够表示一份数据…
阅读更多...
关于Python 的 Web 自动化测试的实践

关于Python 的 Web 自动化测试的实践

Web 测试是软件测试中比较重要的一个分支&#xff0c;而要实现 Web 自动化测试则要求测试人员能熟练掌握自动化测试工具和编程语言。介绍免费开源的 Web 测试工具 Selenium&#xff0c;以及流行的编程语言 Python。根据自动化测试的原理&#xff0c;对网页元素的常用定位方式&a…
阅读更多...
教育行业的文件管理方法和实践

教育行业的文件管理方法和实践

信息化浪潮的冲击下&#xff0c;教育行业也正在向建设数据化平台发展。在文件管理方面&#xff0c;教育行业依旧存在文件交互与协作方式传统陈旧的问题。Zoho Workdrive为教育行业提供安全的文件集中存储管理空间&#xff0c;用户可以快速使用、共享文件&#xff0c;帮助教育行…
阅读更多...
内容动态展示抽屉组件

内容动态展示抽屉组件

知识点 mousemove与mouseenter的区别在于mousemove会触发事件冒泡&#xff0c;mouseenter不会&#xff0c;mouseleave同理。 mousemove会触发事件冒泡&#xff0c;因此鼠标在范围区域内移动时会一直触发。 mouseenter只触发一次&#xff0c;鼠标移入后触发&#xff0c;鼠标移…
阅读更多...
绘制曲线python

绘制曲线python

文章目录 import matplotlib.pyplot as plt# 提供的数据 x= [1,1.1,1.2,1.3,1.4,1.5,1.6,1.7,1.8,1.9,2,2.1,2.2,2.3,2.4,2.5,2.6,2.7,2.8,2.9,3,3.1,3.2,3.3,3.4,3.5,3.6,3.7,3.8,3.9,4,4.1,4.2,4.3,4.4,4.5,4.6,4.7,4.8,4.9,5,5.1,5.2,5.3,5.4,5.5,5.6,5.7,5.8,5.9,6,6.1,6.2…
阅读更多...
AI时代,这些绘画软件让你简单上手绘画

AI时代,这些绘画软件让你简单上手绘画

即时灵感 即时设计是一款基于云端的矢量编辑工具&#xff0c;可以帮助用户创建网页和移动应用程序原型、界面和可视化设计等。除此之外&#xff0c;即时设计还具备协同。实时预览、团队管理等多种功能&#xff0c;可以实现多个用户同时设计一个项目。 AI 绘画工具和即时设计虽…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023