BUUCTF webwp（四）

怼烎@ 2022-09-01 09:15 143阅读 0赞

### 文章目录 ###

*  \[极客大挑战 2019\]Knife——简单的蚁剑连接一句话木马
 *  \[极客大挑战 2019\]Http——HTTP请求
 *  \[RoarCTF 2019\]Easy Calc——PHP函数绕过
 *  \[护网杯 2018\]easy\_tornado——tornado框架
 *  \[极客大挑战 2019\]PHP——备份文件

# \[极客大挑战 2019\]Knife——简单的蚁剑连接一句话木马 #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center]  
直接使用蚁剑连接即可得到flag。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 1]

# \[极客大挑战 2019\]Http——HTTP请求 #

题目给了一个链接，在新网页打开这个链接为三叶草安全技术小组的广告页。pic\_center)  
查看网页源码，发现了 `onclick="return false" href="Secret.php"`，![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 2]  
访问`Secret.php`这个页面![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 3]  
提示访问来源不对，此时我们可以通过`Referer`头来伪造链接来源。  
在`Secret.php`页面使用`burp`抓包，添加一行

referer:https://www.Sycsecret.com

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 4]  
提示只能在`Syclover` 浏览器页面打开，则修改`user-agent`字段中的`Firefox`为`Syclover`![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 5]  
再次提示只能在本地打开，添加一行新的字段，则出现flag。

X-Forwarded-For:127.0.0.1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 6]  
**注意：所有字段的添加位置！！！否则添加位置不对，可能导致发送后的响应不同。**

# \[RoarCTF 2019\]Easy Calc——PHP函数绕过 #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 7]  
毫无思路，先看看网页源代码![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 8]  
在`<script>`标签内发现了`calc.php`![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 9]

? num=1;var_dump(scandir(chr(47)))

**部分常用函数在waf中可能会被过滤掉，需要用一些其它的函数来实现。**

> `var_dump()`—— 将变量以字符串形式输出，替代`print`和`echo`  
> `scandir()`——用来获取目录文件,扫描某个目录并将结果以array形式返回，配合`var_dump`，可以替代`system('ls;')`  
> `chr（47）`——ASCII范围的整数转字符,是`/`的`ASCII`编码，因为`/`被过滤了,  
> `file_get_contents()` ——顾名思义获取一个文件的内容，替代`system('cat flag;')`  
> `file()` ——把整个文件读入一个数组中

[ascii码对照表][ascii]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 10]  
读取`flag`文件，即可得到`flag`。

calc.php? num=1;var_dump(file(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

> chr(47)—— /  
> chr(102)——f  
> chr(49)—— l  
> chr(97)——a  
> chr(103)——g

# \[护网杯 2018\]easy\_tornado——tornado框架 #

> tornado，web 开发利器  
> tornado，轻量级的Web服务器框架，优势在于异步、协程，可开发高并发的服务器系统

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 11]  
点击`flag.txt`,说明`flag`在`/fllllllllllllag`文件中![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 12]  
点击`welcome.txt`，`render()`是渲染函数,进行服务端渲染。

> 一维的指令或数据（`XML、HTML、UI`结构代码）转为二维或三维等方便人可见的东西的这一过程 也常被称之为 “`rende`”

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 13]  
点击`hints.txt`,发现提示`md5(cookie_secret + md5(filename))`，即先将`filename`使用`MD5`加密，再将`cookie_secret`与`md5`加密后的`filename`进行`md5`加密，也就是说，目前我们需要知道的是`filename`和`cookie_secret`![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 14]  
想到flag在`/fllllllllllllag`文件中，于是让`filename=/fllllllllllllag`，结果提示错误![在这里插入图片描述][680b1358b0a1420b962c13b8e3f68ee9.png_pic_center]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 15]  
搜素百度得`Tornado`框架的附属文件`handler.settings`中存在`cookie_secret`，尝试：

error?msg={
        {
        handler.settings}}

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 16]  
因此，现在`filename=/fllllllllllllag`，`cookie_secret:=b62c4be5-3a89-4756-9fd6-f317229e62c7`，套用`hints.txt`文件中的`md5(cookie_secret + md5(filename))`

[MD5在线加密网站][MD5]

`/fllllllllllllag`使用`MD5`加密为`3bf9f6cf685a6dd8defadabfb41a03a1`![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 17]`b62c4be5-3a89-4756-9fd6-f317229e62c7`\+`3bf9f6cf685a6dd8defadabfb41a03a1`使用`MD5`加密为

f01ef0b5338bc483c3b2a43c36ce4afc

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 18]

修改`url`得到`flag`。

filename=/fllllllllllllag&filehash=f01ef0b5338bc483c3b2a43c36ce4afc

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 19]

# \[极客大挑战 2019\]PHP——备份文件 #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 20]  
发现鼠标点在哪，小猫的毛线团就会跑到哪。  
**题目提示存在备份，想到备份的源码泄露**  
题目涉及到我没了解过的东西，等我学会之后更新。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center]: /images/20220829/677123f3a5b146b9b3a80b6157e725bb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20220829/81a92677661e47d8bc2d6127e7f6d1d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20220829/00be38cad3924f79bfec1ccba95daacb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20220829/84e9b538646a41a1bb64d2e750b352e2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20220829/ecfc9f6636ce4d7ba7efcb5b1ffea19d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20220829/222c5b75f63b4e738cdc6b7b2067f55d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20220829/fbbeb1eeae264f3fa6dbdc95ce79f2d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20220829/e906eaf0845a4720bfe7975e769c290a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20220829/05e467c74f144bb2a770f56cc4c6ad5c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20220829/70bdbece4b1f40cfa43743df66958f30.png
[ascii]: https://www.sojson.com/ascii.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20220829/1adb6d020e6f44d4a4d14a0519e6e608.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20220829/33cf3a4eaac54587b424cb186d3c87cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20220829/b08d221b1caa4af3abd04dc0df8fa68f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20220829/46932081869847df8a43121dbe0047a9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 14]: /images/20220829/71a5f2cc1672457b9735c7964b1025e6.png
[680b1358b0a1420b962c13b8e3f68ee9.png_pic_center]: /images/20220829/40e0de6e88014f2797a9f2f74fa77e92.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 15]: /images/20220829/0f696f4ed2da43a99e3c18ac8696cc1e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 16]: /images/20220829/5dd54e0cad3c4c8cb6dc8490e9e03c80.png
[MD5]: https://md5jiami.bmcx.com/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 17]: /images/20220829/7c22ad09df444e16ad65d2e4296b9768.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 18]: /images/20220829/f1a50076f6074061b8d0795c7f51c7c6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 19]: /images/20220829/0f20faf8ca4f4b8194d71f0aa1855858.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 20]: /images/20220829/b6378f95e9e94448a947303d8d4e44b9.png