随笔分类 - BUUCTF
摘要：IDA快速定位关键函数get_flag() 点击查看代码 unsigned __int64 get_flag() { unsigned int v0; // eax int i; // [rsp+4h] [rbp-3Ch] int j; // [rsp+8h] [rbp-38h] __int64 s
阅读全文
摘要：IDA打开题目 大致看主函数没什么东西，主要控制开始和退出，我们进入decry加密函数看看，下面给出ai注释后的伪代码方便理解 点击查看代码 // 解密验证函数，返回栈保护校验值 unsigned __int64 Decry() { // 局部变量声明（IDA自动生成的变量名） char v1; /
阅读全文
摘要：打开靶机,先上源码 <?php // 禁止显示所有错误信息 error_reporting(0); // 高亮显示当前文件的代码（用于调试） highlight_file(__FILE__); // check函数用于检查用户输入是否包含危险字符或关键词 function check($input)
阅读全文
摘要：打开靶机,先看源码 <!-- //1st $query = $_SERVER['QUERY_STRING']; if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){ die('Y0u are So cut
阅读全文
摘要：打开靶机，看看情况 右键想看源代码没反应，关掉设置里的JavaScript即可查看源代码 点进去看看发现源码 <?php #error_reporting(0); class HelloPhp { public $a; public $b; public function __construct()
阅读全文
摘要：先放源码 Welcome to index.php <?php //flag is in flag.php //WTF IS THIS? //Learn From https://ctf.ieki.xyz/library/php.html#%E5%8F%8D%E5%BA%8F%E5%88%97%E5
阅读全文
摘要：打开靶机，根据题目提示找到如下页面抓包，尝试修改ip发现回显改变 第一印象以为是xss漏洞，控制回显点，alert弹框也能正常触发却不知道接下来该怎么进行下去 查阅资料发现此处是ssti模板漏洞，也就是说此处ip值作为一个变量会被执行并回显 所以尝试{system("ls /")} 发现目标获取fl
阅读全文
摘要：打开靶机，抓包分析，获得连个关键参数func和p,根据初始页面提示了解连个参数大概是功能和功能参数 测试func=system&p=ls提示hacker..说明有检测过滤 那么我们先读取源码看看func=readfile&p=index.php 点击查看代码 <?php $disable_fun =
阅读全文
摘要：启动靶机,查看源代码 查询file_get_contents()函数 这里传入的text必须是个文件且文件内容为welcome to the zjctf 这里我们使用data伪协议将内容写入 ?text=data://text/plain,welcome to the zjctf 往下看有个正则表达
阅读全文
摘要：启动靶机 有留言板和登录功能，很明显是存储性xss，通过留言功能插入xss代码，获取cookie登录后台 先测试过滤 <script>alert(1);</script> 查看源代码发现script被过滤 <input onfocus="alert('xss');">好像只过滤了script 找一个
阅读全文
摘要：打开靶机，上传文件抓包 后缀不能带ph，大小写也无法绕过，意味着phtml后缀也无法上传 对后缀只过滤ph，我们转变思路上传图片马，用.htaccess使图片马以php格式打开 上传图片马 上传失败，试一试过滤了哪些字符 文件内容过滤了<? 我们尝试另一种写法后成功上传<script languag
阅读全文
摘要：打开靶机，发现php后缀被过滤且发现没有文件包含漏洞 发现.phtml能绕过后缀检测，又显示没有图片 //PHTML 扩展名是 PHP 的一个模块，它允许在 HTML 文件中使用 PHP 代码，并且可以将 PHP 代码和 HTML 代码合并到一个文件中。 尝试在图片中加入gif文件头GIF89a发现
阅读全文
摘要：启动靶机，发现有前端验证 先绕过前端验证，在burp中尝试发现验证在文件名后缀，且会重命名文件名 发现.ini能上传但是会被重命名，既然不像前端显示只有三种格式能上传，这里我们寻找能绕过的后缀 尝试发现phtml能上传成功 //PHTML 扩展名是 PHP 的一个模块，它允许在 HTML 文件中使用
阅读全文
摘要：启动靶机 很明显注入点为id值，单引号闭合影响语句，说明为单引号闭合 构造注入语句 ?id=1 ' and 1 =1 --+ 发现没报错，说明没有其他过滤 ，开始sql注入 ?id=1 ' order by 4 --+ 直到=4报错说明有3个字节段 测试回显位2，3 ?id=1 ' and 1 =
阅读全文
摘要：启动靶机 作者不建议使用sqlmap我们这里就进行手工注入 用万能口令登录 admin ' or 1 =1# ，详情见上文(https://www.cnblogs.com/m1saka1/p/18411197) 登录成功获得用户名和密码，发现密码并没有卵用，只能换思路利用账号密码的回显页面进行sql
阅读全文
摘要：启动靶机，查看源码发现注入点只有登录框 首先测试查询是用单引号闭合还是双引号闭合，如图 显示查询没有报错，说明不是双引号闭合，接下来测试单引号 查询语句报错说明数值代入数据库查询是由单引号闭合，尝试构建万能语句绕过验证 admin' or 1 =1 # 获取flag flag{9d3c2f2d-a1
阅读全文
摘要：方法一：手工注入 启动靶机 寻找注入点，使用burp抓包得到传参页面 得到注入点 /backend/content_detail.php?id=1 用and 1 =1 和 and 1 =2 判断存在sql注入漏洞 查询字段数 order by 2正常显示 order by 3异常显示 字段数为2 让
阅读全文
浙公网安备 33010602011771号