c1ctf2016 wp

Posted 2020-08-24 tr1ple

web:

1.web萌新福利

没啥好说的，右键查看源码得key

2.you are not admin

一看题目，就想到http头修改，常见的x-forwarded-for,referer,host,client-ip,location更改x-forwarded-for为127.0.0.1即可得key

3.简单的注入：

直接丢sqlmap，没有过滤什么参数，--dump即可。

4.萌新题目

svn泄露，算是一个源码泄漏的漏洞吧,直接在url后面加上.svn/entries即可暴露出源码。

  关于SVN源码泄露漏洞：

    不想慢慢敲字解释，在网上摘抄了一段话，造成SVN源代码漏洞的主要原因是管理员操作不规范。“在使用SVN管理本地代码过程中，会自动生成一个名为.svn的隐藏文件夹，其中包含重要的源代码信息。但一些网站管理员在发布代码时，不愿意使用‘导出’功能，而是直接复制代码文件夹到WEB服务器上，这就使.svn隐藏文件夹被暴露于外网环境，黑客可以借助其中包含的用于版本信息追踪的‘entries’文件，逐步摸清站点结构。”

   更严重的问题在于，SVN产生的.svn目录下还包含了以.svn-base结尾的源代码文件副本（低版本SVN具体路径为text-base目录，高版本SVN为pristine目录），如果服务器没有对此类后缀做解析，黑客则可以直接获得文件源代码。 

 

看一下源码，满足得到key的条件是字符串长度小于13,并且值大于1000000000000，并且过滤了科学计数法的e，刚开始尝试截断不行，便想到16进制数，在线转换一个大数即可得key。

web250：php是世界上最好的语言

一般就是考php弱语言类型，看源码，===表示全等，即要求值和数据类型都必须相等，php小trick，md5（）函数作用一个数组时返回值为null，即构造

web 400：上传文件

首先上传一个普通文件会出现一个参数：

fp,根据后面的upload可以猜测源码应该是可以在后缀后面加上.php

立即想到利用php伪协议，又有上传，即应该是上传拿shell。先php filter读一下uoload的源码，可以发现还有一个function.php文件，读取并在线解码

看到fuction函数实际上是将我们上传的文件名进行更改。

这里利用phar协议上传文件，首先写个小马命名为.php然后压缩为zip并更改后缀为.png上传图片会在url后面显示上传文件的名字

上传成功后，利用phar协议读取即可，因为做题时比赛已经结束，我这里没有用菜刀连接，只是在小马里打印输出来验证是否成功

 

这里成功打印出123456789，说明思路正确。

 

 

 

 misc100：

这个二维码我怎么就扫不出来

反色后扫码就好

misc300：

滴滴滴，开车了

刚开始尝试的MP3stego，但是发现姿势不对，于是换au，发现波形图可以转换为摩斯密码，于是转换并在线解密

除去中间的空格即可

misc300：

真的是html？难道不是隐写？

刚开始百度html隐写，找到一个网页端snow，但是尝试key以及无key都没有成功得flag，给了tips说是wbstego

 

 下载html文件到本地，然后下载wbstego进行解密就好了，将解密输出到1.txt文件里，查看文件即可得flag