随笔分类 - CTF-Web
赛题记录
摘要：index.php config.php trick1： 源码里用到了PDO来进行sql查询，那么PDO有一个特性就是支持堆叠语句。那么堆叠语句就可以结合prepare进行堆叠注入，这里可以到后端的参数包括i和v，这里id参数肯定没法闭合，因为单引号过滤了，并且-和#也被过滤了，那么注释肯定也不可以
阅读全文
摘要：1.漏洞产生原因： 序列化的字符串在经过过滤函数不正确的处理而导致对象注入，目前看到都是因为过滤函数放在了serialize函数之后，要是放在序列化之前应该就不会产生这个问题 php特性： 以上代码就明显存在一个问题，即从序列化后的字符串中明显可以看到经过filter函数以后s:6对应的字符串明显变
阅读全文
摘要：遇到3道有点意思的web，记录一下~ web1 题目地址：http://warmup.balsnctf.com/ 源码如下所示： <?php if (($secret = base64_decode(str_rot13("CTygMlOmpz" . "Z9VaSkYzcjMJpvCt=="))) &
阅读全文
摘要：1.python 第一个洞：pickle反序列化 常见用于python执行命令的库有： os，subprocess，command 以及 那么最简单的exp当然是是通过os.system来执行命令： pickle和cpickle都可以进行反序列化，cpickle速度更快一点，生成payload就可以
阅读全文
摘要：1.EZcms 这道题思路挺明确，给了源码，考点就是md5哈希扩展+phar反序列化 首先这道题会在上传的文件目录下生成无效的.htaccess，从而导致无法执行上传的webshell，所以就需要想办法删除掉.htaccess 这里主要记录一点，利用php内置类进行文件操作， exp为： 通过反序列
阅读全文
摘要：鸽了很久，还是记录一下 比赛的时候搞了很长时间，终于和mlt师傅搞出来了，竟然只有我们一队是预期解== 题目就给了一个php文件，整个逻辑也比较简单，首先删除当前目录下非index.php的文件，然后include(‘fl3g.php’)，之后获取filename和content并写入文件中。其中对
阅读全文
摘要：这篇主要记录一下这道题目的预期解法 做这道题首先要在自己的vps搭建一个rouge mysql，里面要填写需要读取客户端的文件名，即我们上传的phar文件路径 先搭一个rouge mysql测试看看： 首先尝试读一个/etc/passwd看看 此时只需要在服务器启动rouge mysql即可 此时可
阅读全文
摘要：1.web1-chkin 首先发现服务器中间件为nginx，并且fuzz上传过滤情况，是黑名单，带ph的全部不能上传切对文件内容中包含<?进行过滤，并且服务器对文件头有exif_type的判断，直接通过xbm格式绕过，传.htaccess和.user.ini是可以的，又因为此题为nginx，所以通过
阅读全文
摘要：前几天看了redpwn的一道web题，node.js的web，涉及知识点是javascript 原型链污染，以前没咋接触过node，因此记录一下学习过程 1.本机node.js环境安装 题目都给了源码，所以本地就可以直接安装package.json依赖并本地模拟调试 首先subline安装node环
阅读全文
摘要：1.PHP中代码执行的危险函数 call_user_func() 第一个参数 callback 是被调用的回调函数，其余参数是回调函数的参数。 传入call_user_func()的参数不能为引用传递 call_user_func($_GET['1'],$_GET['2']); codeexec.p
阅读全文
摘要：跟SUS_2019的大哥们一起打的比赛，记录一下 web web1 web签到,像这种前端游戏，一般逻辑都在js里面所以直接看cqg.js,无脑赋值socre=15，出来flag web2 burp启动，数据xml格式，猜测xxe，直接system读文件，可以读到，那么接下来读取源码试试，刚开始读i
阅读全文
摘要：1.one line tool 这道题主要是命令注入，利用escapeshellarg 和 escapeshellcmd前后使用时通过注入单引号来导致逃逸出一个单引号 从而导致可以参数注入 这里主要用到nmap的两个参数-iL 和-oN 以任意格式输出，-oX不行，这样不会把/flag的内容输出，必
阅读全文
摘要：1.WarmUp 思路很清晰，文件包含，漏洞点在代码会二次解码，只需注入一个?就可以使用../../进行路径穿越，然后去包含flag，flag路径在hint.php里面有 2.easy_tornado 题目就给了这些信息，flag路径已知，render应该是跟模板注入相关，hint.txt给的应该是
阅读全文
摘要：LESS31: 双引号直接报错，那么肯定可以报错注入，并且也过滤了一些东西，^异或没有过滤，异或真香 -1" and (if(length(database())=8,1,0)) and "1 这个payload可以 LESS32： 发现'被转移了，尝试宽字节绕过，\反斜杠是%5c，前面拼接成%df
阅读全文
摘要：虽然是N1CTF原题，但是自己没遇见过，还是做的题少，记录一下吧== 1.源码泄露，直接可以下到所有源码，然后代码审计到一处insert型注入： 这里直接带入insert里面，跟进去看看 insert函数对values进行正则替换，先调用get_columnsp 这里把数组分成以` , `连接的字符
阅读全文
摘要：快速了解MongoDB 基础概念 MongoDB 是由C++语言编写的，是一个基于分布式文件存储的开源数据库系统。MongoDB 将数据存储为一个文档，数据结构由键值 对组成。MongoDB 文档类似于 对象。字段值可以包含其他文档，数组及文档数组。 常用MongoDB语句分
阅读全文
摘要：记录一些ctf题目中近期遇到的一些文件操作trick,不定时更新 1.move_uploaded_file 一般用来保存上传的文件，第二个参数一般是最终保存的文件名，针对此函数，若在一定条件下$new_name完全可控，即可以穿越路径，可以对已经存在的文件进行覆盖。 假设正常文件内容如下： exp.
阅读全文
摘要：补坑+1。 有预留的后门，并且给了phpinfo，因此可以从phpinfo中先搜集一波信息： 这里禁用了很多命令执行的函数，所以应该要bypass_disablefunction，先读一下flag在哪，但是这里有openbase_dir限制，因此能够还必须绕过它，这里system默认忽略openba
阅读全文
摘要：因为都有源码，所以这里直接从源码开始分析： 1.Easy web 这道题本来的意思应该是通过注入来load_file读取config.php来泄露cookie的加密密钥，从而伪造身份进行登陆再上传shell 这里本来addslashes以后就基本没法注入，但是这里却多了两行替换，所以能够继续注入，
阅读全文
浙公网安备 33010602011771号