ctfshow web入门（21-28爆破）

web21

抓包

进行了base64加密，解码后发现账号和密码格式是

账号:密码

爆破

位置一开始选错了，应该是不含Basic的

模式选择custom iterator(自定义迭代器)
自定义迭代器可以自定义拼接方式

分别设置三个位置，第一个位置为admin

第二个位置为:

第三个位置

导入他下载的字典

选择base64解密，去掉url编码

web22

域名也可以爆破的，试试爆破这个ctf.show的子域名

环境没了

web23

还爆破？这么多代码，告辞！

include('flag.php');
if(isset($_GET['token'])){$token = md5($_GET['token']);if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){if((intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))){echo $flag;}}
}else{highlight_file(__FILE__);

变量 token 被 md5 加密，且它的第一位 = 第十四位 = 第十七位，化为整数后（第一位 + 第十四位 + 第十七位）/ 第一位 = 第三十一位，则可获得 flag。

<?php
for($i=0;$i<10000;$i++)
{$token = md5($i);if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){if((intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))){echo 'token='.$i.'&'.'md5='.$token;}} 
}
?>

得到token为422

传参

web24

爆个🔨

环境

e第一次看到这个函数，还以为是他打错了哈哈哈哈

include("flag.php");
if(isset($_GET['r'])){$r = $_GET['r'];mt_srand(372619038);if(intval($r)===intval(mt_rand())){echo $flag;}
}else{highlight_file(__FILE__);echo system('cat /proc/version');
}

主要参考CTF_Web：php伪随机数mt_rand()函数+php_mt_seed工具使用_星辰照耀你我的博客-CSDN博客

简单来说就是说如果有mt_srand函数的话，就是有了种子，生成的随机数是固定的。但是如果没有这个函数，随机数每运行一次都会发生改变

题目就是要让r等于生成的随机数

ok了

web25

爆个🔨，不爆了

include("flag.php");
if(isset($_GET['r'])){$r = $_GET['r'];mt_srand(hexdec(substr(md5($flag), 0,8)));$rand = intval($r)-intval(mt_rand());if((!$rand)){if($_COOKIE['token']==(mt_rand()+mt_rand())){echo $flag;}}else{echo $rand;}
}else{highlight_file(__FILE__);echo system('cat /proc/version');
}

没有给出seed，所以我们需要通过工具推出seed

php_mt_seed

拖进kali，解压

make

随便传个参，r=0

输入 ./php_mt_seed 随机数 ，开始爆破。

发现有很多个seed，查看网络看一下php的版本

看到php的版本是7.3，所以可能的种子就是2166812886和2550700805

写个脚本，试了第一个种子不行。

第一个得到的是r，第四个是cookie的token

因为只有在$rand不存在时，$_COOKIE['token']==(mt_rand()+mt_rand() 才能执行，而1722723182是我们在传?r=0时页面输出的随机数

此时的$rand = mt_rand()即第一个生成的随机数，因此只要我们使$r=mt_rand()=1722723182，就能让$rand=0，不存在，从而执行接下来的代码

web26

这个可以爆

打开

开始安装，跳转到了install.php

查看页面源代码

function check(){$.ajax({url:'checkdb.php',type: 'POST',dataType:'json',data:{'a':$('#a').val(),'p':$('#p').val(),'d':$('#d').val(),'u':$('#u').val(),'pass':$('#pass').val()},success:function(data){alert(data['msg']);},error:function(data){alert(data['msg']);}});}

没懂

'a':$('#a').val()是一个 JavaScript 代码片段，其中使用了 jQuery 库的语法。