近期刷到的不错的ctf平台,权当看个乐。
这道题考的有些许的偏门,首先下载附件,名为udf.so.(一大堆字符)。
Udf为mysql 的一个扩展接口,通俗来讲就是用户自定义函数。且后缀为.so时,可知道网站所搭建的环境为linux环境。Udf文件利用的话可以使用此语句。
CREATE FUNCTION [自定义函数名称] RETURNS [返回类型]{STRING|INTEGER|REAL} SONAME ["文件名"];
首先我们要找到本机linux中mysql下一个叫做plugin的文件夹。
(windows环境远程连接linux mysql)
可以看到目录的绝对路径,下一步我们将所下载的文件放入这个目录下。
根据题目的提示(help_me)执行sql语句查询这个函数值。
使用getflag方法获取flag、
PS:我这里是已经存在这个方法了,并不是语句的问题
题目链接:http://web.jarvisoj.com:32770/
进入题目,要求用51端口访问该站点。拿到引导以后直接使用curl命令进行访问。
这道题目没有什么难度,考点也比较单一,命令一把梭就ok。但可能会有报错,个人认为可能是家里的网络没有分配到公网的地址,如果用服务器访问的话就不会有这个问题了。
题目入口:http://web.jarvisoj.com:32774/
打开题目后告诉我们只能用本地主机访问。
这里考的是一个叫做XFF(X-Forwarded-For)的东西,X-Forwarded-For 是一个 HTTP 扩展头部。通俗来讲,XFF是用来识别通过HTTP代理连接到web服务器的客户端最原始的IP地址和请求头字段。
本题可以抓包修改http请求头,将XFF值设置为127.0.0.1。
题目传送门:web.jarvisoj.com:32768
首先打开题目以后,习惯性的看下源代码。
访问showimg.php并传递源码中给到的参数。
将参数值位置进行base64解码,参数值解码后为shieid.jpg,猜测这个位置有任意文件读取漏洞。把showimg.php进行base64编码,传入参数。
果然读取到了showimg.php的源代码,此文件中做了一些过滤,禁止访问了上级目录。下面来读一下index.php的代码。
Index.php引入了shield.php,直接读。
这个文件中告诉了我们flag的位置,而在showing.php中过滤了pctf,所以我们并不能直接通过。showimg.php来读取这个flag所在的文件,但下面有一个file_get_contents()函数,配合index.php中的unserialize()来配合拿到flag。
构造序列化字符串。
访问index.php,将此序列化串传入class中,查看源代码得到flag。
没想到直接访问还会有个假的flag,草率了。
进入题目中,抓包分析一下。
返回头中提示了我们一条sql语句,这里对sql就不做过多的赘述了。语句中的可控点就是包在md5函数中的$pass。在这里我们要先了解下md5函数,当他的第二个参数为true时,会返回原始的16字符二进制的格式,那么我们可不可以利用这个问题构造一个万能密钥进行登录呢。
这里可以看到,aaaa被转成了字母数字+亿点点乱码。那么这里就需要了解一个特殊的字符串了——ffifdyop,这个字符串在经过md5函数转换后,变成了'or'6[乱码]。直接本地测试一下,看看结果。
本地测试是ok的,题目一把梭。
题目入口:http://web.jarvisoj.com:32780/
拿到题目抓包访问,发现注释中提示index.phps。我们直接访问。
可以看到他需要三个参数 a,b,id。
首先a这里我们可以用php://input,再POST一个1112 is a nice lab!,或者可以直接用data:,1112 is a nice lab!
b只需要字符个数大于5,用%00绕过eregi函数就可以;
Id这里是一个非常草率的弱比较;
最后传入这三个参数进行访问。
他给个一个比较迷惑的东西,起初还以为是flag,交了半天才发现是目录,继续访问。
这里简单测试了一下,发现过滤了空格和/**/,我们使用/*[任意字符]*/进行绕过,测试字段数,字段数为3正常显示,字段数为4,显示不正常。
确定了字段数以后开始爆数据库名,在这里网上很多wp都使用了双写进行绕过,其实也可以利用其他被过滤的字符进行绕过。
可以看到这里利用from就绕过了限制,并且其回显为是3的位置,查询数据库名。
查询表名,这里因为引号被过滤了,先使用database函数拿到表名。
查列名,这里使用hex编码绕过引号执行语句。
得到了表名列名,下面开始查询flag值。
题目链接:http://web.jarvisoj.com:32778/
进入题目后进行搜集,在相应头中发现了两条set cookie。由此可以得知这道题目应该是与这两条信息有关系的,接着我们来试着找下源码,找源码常见的也就几种方式,源代码中没有提示,我们直接访问下robots.txt试一下。
显然是没有的,再来试一试这个出题人很喜欢的一种套路,访问index.php~下载源码。文件直接打开就可以看到顺序是倒过来的源码,也可以用linux vim-r命令恢复文件。在恢复文件前需要先把后缀更改为.swp。为了便于观看,这里用kali恢复一下文件。
简单分析一下源码,role参数这里需要传入一个序列化后的admin,而hsh需要role反转后与$salt拼接的md5值,这里是一道哈希长度拓展攻击的考点,简单来说就是我们知道服务器给cookie中的值,我们称之为hash1,hash1中存在salt,我们可以做一次hash1和admin的MD5运算从而得到hash2,此时将hash2赋值给hsh就符合了代码的要求。
计算可以编写python脚本来运行,也可以利用hashpump这个工具进行。
得到最终flag。
这道题题目可能有点问题,在网上搜出的wp也不能复现。这边就不做过多的赘述了。
题目入口:http://web.jarvisoj.com:32785/
进入题目,在index.php?page=submit中发现了一个上传点。
抓包更改文件名进行测试,先上传一个空文件试试。
编码格式导致有些许的不美观,总体来说问题不大。这边判断他是判断了文件头
添加了一个GIF89a,成功的绕过了这个过滤,下一步我们直接再其中上传php代码。
上传的php代码是没有什么问题的,我们在view中可以通过这个ID拿到文件路径,这里的文件路径为uploads/1646740311.jpg,现在可以利用url地址中的page传递我们上传文件的路径。
代码中在文件名后拼接了一个.php的后缀,这里我们利用%00来进行绕过,不过发现还是没有拿到flag。
可以看到,这里还是报了一个没有文件的错误。初步推测是代码中过滤了<?php之类的字符,我们用另一种方法上传文件。
访问这个文件,得到了flag。
PS:这里本来是怕eval被过滤,上传phpinfo测试一下,没想到直接得到flag了。
题目入口:http://web.jarvisoj.com:32787/
根据题目提示,很简单的注入,输入账号密码抓包进行访问。
这里可以看到,当username为admin时,会提示密码错误。而赋值为其他值时,则会报用户名错误,所以本题考的应该是布尔盲注。我们来测试一下这个注入点是不是再username的位置。
成功找到注入点,代码中对空格进行了过滤,出题人老作风了这属于。下一步就可以进行爆破了,编写python脚本进行注入。
Md5解密。
正常登录得到flag。
题目入口:http://web.jarvisoj.com:9882/
进入题目查看源代码,在代码中看到了XMLHttpRequest,分析应该是与xml有关了,点击go抓包,可以看到json格式的发送的数据。
这边把content-Type改为application/xml,将发送的json数据更改为我们xml格式的数据信息。读取题目中提示的/home/ctf/flag.txt的信息。
题目入口:http://web.jarvisoj.com:32784/
打开题目,这个文件乍一看没有什么问题,正常传入数据也是不可控的,但是在第二行中。ini_set('session.serialize_handler', 'php');这句话一出现我们就考虑到是不是php中的session反序列化,下面我们传入一个参数查看一下他的phpinfo中的设置。
我们直接跳到关于session的设置。
PHP内置了多种处理器用于存取$_SESSION数据时对数据进行序列化和反序列化。其中常用的有三种,其中在php 5.5.4以前默认选择的是php,在5.5.4之后是php_serialize。当session序列化选择器与默认的不同的话就可能会产生漏洞。另外,session.upload_progress.enabled为On,这里启用了该配置项,POST一个和session.upload_progress.name同名变量的时候。
PHP会将文件名保存在$_SESSION中session反序列化的条件都已经存在了,现在我们只需要构造一个上传和post同时开始的表单进行提交。
这边随便上传一个文件进行抓包,提前构造好序列化字符串,这里存在一个双引号会被转义的问题,我们要在前面加上\,另外还要在开头加上|。
这边我们将文件名修改为我们所构造的反序列化串,可以看到我们成功的得到了flag文件所在的位置,这里需要回过头来看一下session文件存储的路径。
拿到这个路径,构造下一步的反序列化串,这里我们用file_get_centents()函数将文件写入字符串中最后echo出来。
题目入口:http://web.jarvisoj.com:32792/
进入题目环境,源代码中没有任何提示,考虑信息泄露问题,访问robots.txt。
直接访问看看。
这里给了一个假flag,结合题目我们查看一下cookie。
直接更改为1拿到flag。
题目入口:http://web.jarvisoj.com:9891/
拿到题目后查看源码,发现这里的密码使用js进行验证的,其中引入了一个叫做app.js的文件可以跟进看一下。
打开后先在线格式化一下,既然是密码那我们搜索一下password。
跟进checkpass。
跟进__checkpass__REACT_HOT_LOADER__
矩阵??编写脚本解出flag。
题目入口:http://web.jarvisoj.com:32794/
根据题目提示,先找源码,robots.txt文件不存在。出题人老套路访问index.php~
审计代码,其中 ` ` 的作用就是防止字段为关键字时会报错的问题,而在语句中加入反引号并不会使语句报错这里只要构造出desc `test` ` [union联合注入语句] 就可以进行sql注入。但是结果只回显第一条,这里用到limit来实现数据可显。
得到了数据库,我们开始查表,题目中过滤了单引号,我们干脆不使用单引号注入,一条一条查数据。
显然这么多表中第一个就是flag存放的表名,接下来同样的方式开始查列名。
表名列名都有了,现在可以直接查数据。
题目入口:http://web.jarvisoj.com:32798/
进入题目,在about界面发现了三个类似提示的东西,其中git考虑到存在git泄露,访问git目录。
这里并没有报404的错误,说明存在git目录,利用git扫描工具尝试得到php源码。查看关键部分。
<?php if (isset($_GET['page'])) { $page = $_GET['page']; } else { $page = "home"; } $file = "templates/" . $page . ".php"; assert("strpos('$file', '..') === false") or die("Detected hacking attempt!"); assert("file_exists('$file')") or die("That file doesn't exist!"); ?>
这里存在一个危险函数assert。Assert($assertion,[$description])——检查指定的assertion并在结果为false时采取适当的行动(如果不为false就会执行此语句),了解了这个函数我们就可以直接构造payload?page='.system('cat templates/flag.php').'查看源代码拿到flag。