MOCTF web writeup

Posted 2020-11-19 Ambrosegerry

前几天发现一个不错的平台MOCTF但一直没时间刷。这几天陆续更新web题的wp

 

web1：一道水题

进去一堆青蛙

查看源代码，看到flag

 

 

web2：还是水题

发现密码框输入不了，遂F12审查元素，删除disable属性，以及将长度改为5，输入moctf。得到flag

 

 

 web3：访问限制

题目提示用NAIVE浏览器，于是想到burp改user-agent:NAIVE

run得到flag

 

 

web4：机器蛇

 

这道题。。。。我。。。一进去玩了半天的贪吃蛇。。。。

后来随手审查了元素，发现robots.txt点进去后发现flag327a6c4304ad5938eaf0efb6cc3e53dc.php

进去F12找到flag

 

 

web5：PHP黑魔法

题目提示php~

进去后查看源代码，php黑魔法。

大致意思就是

1.输入a，b两个参数，都不能为空

2.这两个参数不能相等

3.这两个参数经过md5加密后相等。

条件2和条件3貌似冲突。

两种方法：

1.构造数组，md5加密遇到数组时都返回false，于是相等，但值并不相等。?a[]=1&b[]=2

2.md5加密后0e开头的都相等，例如：240610708 和 QNKCDZO。   ?a=240610708&b=QNKCDZO

两种方法都得到了flag

 

 

web6：我想要钱

进去也是php审计

 

 需要满足四个条件就会得到flag

1.参数为money，并且为get传递

2.money的长度要小于4

3.money要大于time(),time()返回的值百度了一下，貌似是从1970年到现在的秒数，反正就是特别大。

4.money不能是数组

自然想到科学计数法，构造?money=2e10 得到flag

 

web7：登录就对了

一看就是sql注入题，用户名构造万能密码：\'or \'1\' = \'1\' #   密码任意  得到flag

 

web8：Flag在哪？

页面只有一个超链接，点击并burp，一开始什么都没发现，后来看到有302跳转，跳转到了五个页面分别为：

/where_is_flag.php

/flag.php

/I_have_a_frog.php

/I_have_a_flag.php

/no_flag.php

猜测flag应该在flagfrog.php或者frogflag.php

访问两个页面都没有结果，再burp，都得到了flag。。。。。脑洞大的很。。。

 

web9：死亡退出

参考链接：https://www.leavesongs.com/PENETRATION/php-filter-magic.html

遂写shell并base64编码，之后再解码的时候，符<、?、;、>、空格等一共有7个字符不符合base64编码的字符范围将被忽略，所以最终被解码的字符仅有“phpexit”和我们传入的其他字符。

但base64算法解码时是4个byte一组，所以给他增加1个“a”一共8个字符。这样，"phpexita"被正常解码，而后面我们传入的webshell的base64内容也被正常解码。结果就是<?php exit; ?>没有了。

构造shell：<?php system(\'cat flag.php\');?>    base64加密后为：aPD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

再结合tmp.php构造payload为c=aPD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==&file=php://filter/write=convert.base64-decode/resource=tmp.php

审查元素得到flag

 

 

web10：文件包含

查看源代码看到提示信息flag.php,结合题目文件包含

构造payload：?file=php://filter/convert.base64-encode/resource=flag.php

得到一串加密字符，base64解密得到flag

 

web11：美味的饼干

进去就是一个登陆页面，尝试弱密码登录admin，admin顺利登录，后来发现貌似随意一个账号密码都能进去。。。。

抓包发现一串字符串：SET-COOKIE:ZWUxMWNiYjE5MDUyZTQwYjA3YWFjMGNhMDYwYzIzZWU%3D

%3D是“=”的URL编码，所以对ZWUxMWNiYjE5MDUyZTQwYjA3YWFjMGNhMDYwYzIzZWU=进行base64解码，得到MD5密文ee11cbb19052e40b07aac0ca060c23ee，解密后得到user

所以使用admin先md5后base64，加上cookie，得到flag

 

web12：火眼金睛

题目就是2秒刷新一次，计数moctf，放python脚本

import requests
import re
targeturl = "http://119.23.73.3:5001/web10/"
r = requests.get(url=targeturl)
res_tr = r"\'100\'>(.*?)</textarea>"
flagtxt =  re.findall(res_tr,r.content)[0]
re_moctf = r"moctf"
moctf = re.findall(re_moctf,flagtxt)
number = len(moctf)
ans = {
    "answer":number
}
url2 = "http://119.23.73.3:5001/web10/work.php"
s = requests.post(url=url2,data=ans,cookies=r.cookies)
print s.content

 

 web13：没时间解释了

 点进题目发现是index2.php，想到302跳转，burp查看

访问uploadsomething.php页面

写入文件会显示出文件地址，但是当去访问它的时候，会显示Too slow!

猜测服务器会自动删除文件，但是文件在上传至服务器和被删除这中间有微小的时间间隔。

利用条件竞争，一边利用burp不断发送文件，另一边不断去读取文件地址，附py脚本

#-*- coding:utf-8 -*-
import requests
url="http://119.23.73.3:5006/web2/uploads/d0bdc1c72726993c38f7522c91150cc27c0b6148/shell.php"
while 1:
    print(requests.get(url).text)

得到flag。

 web14：unset

<?php
highlight_file(\'index.php\');
function waf($a){
foreach($a as $key => $value){
        if(preg_match(\'/flag/i\',$key)){
        exit(\'are you a hacker\');
}
}
}
foreach(array(\'_POST\', \'_GET\', \'_COOKIE\') as $__R) {
        if($$__R) { 
        foreach($$__R as $__k => $__v) { 
            if(isset($$__k) && $$__k == $__v) unset($$__k); 
        }
     }

}
if($_POST) { waf($_POST);}
if($_GET) { waf($_GET); }
if($_COOKIE) { waf($_COOKIE);}

if($_POST) extract($_POST, EXTR_SKIP);
if($_GET) extract($_GET, EXTR_SKIP);
if(isset($_GET[\'flag\'])){
if($_GET[\'flag\'] === $_GET[\'daiker\']){
        exit(\'error\');
}
if(md5($_GET[\'flag\'] ) == md5($_GET[\'daiker\'])){
        include($_GET[\'file\']);
}
}

?>

题目原型是 Destoon 20140530最新版超全局变量覆盖导致的安全问题

http://www.secevery.com:4321/bugs/wooyun-2014-063895

代码执行顺序是unset->waf->extract

所以我们的思路就有了，通过unset绕过waf函数再接着extract重塑变量

foreach(array(\'_POST\', \'_GET\', \'_COOKIE\') as $__R) {
        if($$__R) { 
        foreach($$__R as $__k => $__v) { 
            if(isset($$__k) && $$__k == $__v) unset($$__k); 
        }
     }

}

这一段是核心的部分，遍历数组，存放在临时变量$__R中，$$__R也就是$__R的值，$__R作为变量名。

将$$__R存放在$__v变量中。$__k也就是_GET[flag]，而$$__k就是_GET[flag]的值

再利用md5碰撞，达到unset_GET[flag]的目的，从而绕过waf函数，紧接着一个extract又将_GET[flag]恢复过来，从而伪协议读取flag.php

payload:

得到flag。