梦~醒🍇

2024年春秋杯网络安全联赛冬季赛wp-1.18

发表于 2025-01-18 | 更新于 2025-01-18 | CTF | 比赛wp

Weevil’s Whisper 考点：流量分析，代码审计下载附件，进行流量分析，看到上传的代码进行代码审计可以知道，在http中的返回结果是由$p$kh$r$kf组成的，而$p,$kh,$kf是固定的，所以可以提取出来$r。再看代码，$r是$o进行一系列加密而成，而$o就是执行完成后返回的结果，所以只需要写脚本反解$r就能出现结果。 exp: 提取$r的脚本： 123456789101112131415161718192021222324252627282930313233343536373839404142import re# 示例字符串列表strings = [ "lFDu8RwONqmag5ex45089b3446eeSaoCUFRXAGExNS5kaQ==4e0d86dbcf92", "lFDu8RwONqmag5ex45089b3446eeSaoCUVRSBofUNDFgR2Uu4e0d86dbcf92", "lFDu8RwONqmag5ex45089b3446eeSaoyZWJkN2U=4e0d ...

hashcat常规使用方法

发表于 2025-01-17 | 更新于 2025-01-18 | CTF | web姿势

-m hash的类型指定hash的加密类型，默认是MD5类型在对应的类型前面有它的id,可以通过id来指定类型当我们想要找一个类型在hashcat支不支持的时候，例如windows系统加密的是NTML,可以执行命令hashcat64.exe -h | findstr NTLM可以看到NTLM的ID号为1000 -a 攻击方式破解密码的方式分别有: highlighter- 1c 123450 | Straight 字典破解1 | Combination 组合破解3 | Brute-force 掩码破解6 | Hybrid Wordlist + Mask 混合字典 + 掩码7 | Hybrid Mask + Wordlist 混合掩码 + 字典掩码当没有字典的时候，可以使用掩码指定密码的每一位是什么类型的字符，首先我们知道密码有多少位例如:?d?d?d?d?d?d?d?d代表密码为8为数字，?u?l?l?l?l?d?d?d代表密码为7位，首个字母大写，然后四个小写字母，最后三个数字破解windows hash密码使用字典爆破windows hashhashcat64. ...

2024年春秋杯网络安全联赛冬季赛wp-1.17

发表于 2025-01-17 | 更新于 2025-02-19 | CTF | 比赛wp

[TOC] webeasy_flask 考点：ssti 注入打开网页，发现有个登录，试试直接登录看到 url 处是进行 get 传参，试试 111 联想到 ssti 漏洞，于是用9验证一下，发现就是 ssti 模板注入进行 ssti 模板注入漏洞一系列，构造 payload: 1{{cycler.next.__globals__.__builtins__.__import__('os').popen('cat flag').read()}} flag{48ad0cde8345c8b2608933ac4e85147e} file_copy 考点：无回显，filter协议根据代码，可以看到是post传参，参数是path。（抓包也可以看）直接使用脚本（https://github.com/ProbiusOfficial/PHPinclude-labs/tree/bbb08b030623d481be51edea063433b8d77b2ee7/Level%2017/php_filte ...

CTFHub技能树-SSRF

发表于 2024-12-02 | 更新于 2025-10-29 | CTF | web-wp

[TOC] 内网访问根据提示和url处可知，要访问本地的flag.php文件使用http协议 1http://127.0.0.1/flag.php ctfhub{3a8065a8c91c9f5c801ea8f8} 伪协议读取文件根据提示可知，文件是在web目录下，使用伪协议 web目录一般是/var/www/html 1file:///var/www/html/flag.php ctfhub{f43a8521d7cdb6dec67225e6} 端口扫描根据提示知道，端口范围是8000-9000 使用dict协议，然后抓包爆破端口可以看到端口应该是8137，使用http访问 1url=http://127.0.0.1:8137 ctfhub{f0f29c3e738e6fc924ca1e67} POST请求先直接访问flag.php 1url=127.0.0.1/flag.php 得到一个输入框，查看源码，发现key 提交key出现页面我们尝试通过file协议读取index.php 和flag.php的页面源码 1 ...

ctfshow萌新web

发表于 2024-12-01 | 更新于 2025-10-29 | CTF | web-wp

来源：ctfshow [TOC] web1 考点：inval()函数漏洞，sql注入 1234567891011121314151617181920212223242526272829303132333435363738394041<html><head> <title>ctf.show萌新计划web1</title> <meta charset="utf-8"></head><body><?php# 包含数据库连接文件include("config.php");# 判断get提交的参数id是否存在if(isset($_GET['id'])){ $id = $_GET['id']; # 判断id的值是否大于999 if(intval($id) > 999){ # id 大于 999 直接退出并返回错误 die("id e ...

命令执行过滤关键字

发表于 2024-11-30 | 更新于 2024-12-02 | CTF | web姿势

过滤关键字反斜杠绕过 ca\t y1n\g.php两个单引号绕过 cat y1''ng.phpbase64编码绕过 echo “base64编码” | base64 -d | bashhex编码绕过 echo "hex编码" | xxd -r -p | bash用[ ]进行匹配 cat y1[n]g.php用* 匹配任意 cat y1n*用?匹配任意 cat y1n?用{ }匹配范围 cat y1{a..z}g.php变量 $a=fl;$b=ag;cat $a$b.php拼接绕过 ‘fl’.'ag' 括号绕过 (sy.(st).em)(ls); 除了上述方式，还可以用字符串拼接的方式绕过。 python字符串拼接:1.+ eg: ‘a’+’b’ 输出:’ab’2.贴贴 eg: ‘a’’b’ 输出:’ab’ PHP拼接:. eg: ‘a’.’b’ 输出:’ab’ 解释内联执行：将前一个执行结果作为后一个执行的参数。过滤所有字母和数字:1.位运算-异或（ ...

HUBU新星杯wp

发表于 2024-11-30 | 更新于 2025-02-19 | CTF | 比赛wp

[TOC] webRobots Leak 考点：git泄露开启题目先扫目录 git泄露，直接拉取git到本地，然后有个.git文件进入到文件里，查看日志找到关键词flag，查看一下内容拿到一半flag。查看一下其他日志内容，都没什么营养，然后看看有没有文件，用git stash pop 发现拉取了一个.flag.exe，查看得到下一半合起来就是全部flag HUBUCTF{431332b1-e91f-4437-9036-b9059539886f} ez-http 考点：http基础 http基础，按要求一步一步来，建议抓包放进重放器里面，方便剩下的就是改referrer，添加一个ip(网上搜一下，多试)，然后改cookie等等。（不截图了） Random_Door 考点：python脚本，php伪协议打开网站嗯，好，满天星，写个脚本挨着读 1234567891011121314151617181920212223import requestsimport timebase_url = &q ...

HUBUCTF-2022-新生赛-wp

发表于 2024-11-29 | 更新于 2024-12-02 | CTF | 比赛wp

checkin 考点：反序列化，弱比较，php 123456789101112131415<?phpshow_source(__FILE__);$username = "this_is_secret"; $password = "this_is_not_known_to_you"; include("flag.php");//here I changed those two $info = isset($_GET['info'])? $_GET['info']: "" ;$data_unserialize = unserialize($info);if ($data_unserialize['username']==$username&&$data_unserialize['password']==$password){ echo $flag;}else{ e ...

CTFHub技能树-XSS

发表于 2024-11-28 | 更新于 2025-02-02 | CTF | web-wp

反射型打开网站反射型，直接使用xss平台，将生成的地址传入第一个空然后将url代码传入第二个空就行 flag=ctfhub{a51bb55f89d068a011466d62} 存储型打开网站，依然像上面的步骤一样。区别于前面反射型xss的是，他建立恶意连接是在于每一次都要发送含恶意代码，而这个存储xss不需要，一旦发送过一次，以后每次访问它时，都会含有恶意代码 flag=ctfhub{1cef0cbbc0bb33244d4a5c76} DOM反射查看源码位置需要闭合前面的 ‘ ，所以只需要在xss注入时前面加上’; ，然后把后面的’;注释掉。由于前面没有东西了，所以 1</script><script src= > 其余步骤一样 flag=ctfhub{aebf8f6244f0ad340612cc6e} 过滤空格步骤一样，空格可以用[/]或者/**/代替 flag=ctfhub{9830f9e82cfbc1e77a1d0dae} 过滤关键词先用探针试试 1 ...

XSS在线平台使用

发表于 2024-11-28 | 更新于 2024-12-02 | CTF | 其他姿势

前言：由于自己搭建的xss平台需要服务器才能获取其他网络的cookie，所以无法接收赛题的cookie，最简便的方法还是使用在线平台，虽然可能有一定风险，以后买服务器了再搭建自己的吧登录后，直接创建项目就行传入的地址如下：然后就能在平台上接受到了

mb_strpos与mb_substr错位索引

发表于 2024-11-26 | 更新于 2024-12-02 | CTF | web姿势

mb_strpos与mb_substr错位索引1234567891011121314152. mb_substr和mb_strpos函数漏洞mb_strpos() 和 mb_substr() 是 PHP 中用于处理多字节字符的函数，专门用于处理 UTF-8 或其他多字节编码的字符串。(1)mb_strpos: 用于查找一个字符串在另一个字符串中第一次出现的位置（索引），返回结果是该子字符串第一次出现的位置（索引）。mb_strpos(string $haystack, string $needle, int $offset = 0, string $encoding = null): int|false $haystack：要在其中搜索子字符串的源字符串。 $needle：要搜索的子字符串。 $offset（可选）：从哪个位置开始搜索，默认为 0。 $encoding（可选）：要使用的字符编码，默认为内部字符编码。(2)mb_substr: 用于获取一个字符串的子串，返回结果是指定位置和长度的子字符串。mb_substr(string $string, int ...

随机数种子爆破

发表于 2024-11-26 | 更新于 2025-02-09 | CTF | web姿势

在PHP中，变量以$符号开头，后面拼接变量名。上述代码的基本含义是:从$str变量中随机取32次字符(字符可重复)，并拼接成字符串，最后将该字符串赋值给变量$password。执行代码后会输出 $password变量的前10个字节，此时通过POST请求传递password参数到服务端，如果password参数的值与$password变量的值完全相等，那么就会输出flag。理论上，如果选取字符的时候是完全随机的，那么几乎不可能出现 password参数值与$password变量值相等的情况(概率极低)。但由于代码中使用mt_rand()函数来生成随机数，因此如果可以得知该函数生成的一段随机数序列，就可以通过工具爆破出其选取的随机数种子 (该种子由$_Session[‘seed’]变量生成)，从而预测之后的所有随机数序列。在这里，我们使用php_mt_seed工具来爆破随机数种子。该工具的下载地址为:https://www.openwall.com/php_mt_seed/php_mt_seed- 4.0.tar.gz 访问题目页面，可得到前10个字节的随机字符，将输 ...