题解web

1.[LitCTF 2023]Follow me and hack me

1）进入题目环境，提示get传参，post传参

2）看看源码，也没啥

3）直接用hackbar，传入对应参数即可得到FLAG

3）但是扫描出来它后端还有东西，

4）打开原来是彩蛋

2.[BJDCTF 2020]easy_md5

1）进入环境后不管输入什么

他只会修改passward 页面没有回显 没反应

2）一顿输入操作后无果 只能通过url看到是get传参 用burp抓包看看

这里学一下关于md5($pass,true)的注入
关于这题

发现了这里它提示 select * from admin where password=md5($pass,true)

也就是通过注入来进行绕过 这里先看下php MD5函数的用法

32位16进制字符串的意思是：将MD5加密得到的128 位长度的"指纹信息"，以每4位为一组，分为32组，每组以转换为16进制，进行转换得到一个32位的字符串。

总的来说就是我们平时看到的MD5加密的结果
16位原始二进制格式的字符串的意思是：将128 位长度的"指纹信息"分组转化为16位的一个字符串，然后两个字符为一组，依照ACILL码转化为字符串。

也就是说，就是当md5函数的第二个参数为true时，该函数的输出是原始二进制格式，会被作为字符串处理。

这里进行绕过就是需要构造一个语句使得sql语句永恒为真

像这样的话 select * from admin where password=’’or’xxx 当or后面的值为true时即可完成注入

如此：要达到注入。首先要有一个字符串，这个字符串经过md5得到的16位原始二进制的字符串能帮我们实现sql注入。首先or这个字符串是必要的，因为需要构造永恒为真的语句。同时为了配对原先sql语句里面有的单引号进行闭合

这里再看下ffifdyop的效果

<?php
$str = "ffifdyop";
echo "The string: ".$str."<br>";
echo "TRUE - Raw 16 character binary format:如下所示: ".md5($str, TRUE)."<br>";
echo "FALSE - 32 character hex number: ".md5($str)."<br>";
?>

运行后如下

使用ASCII码在线转换器看效果

3）然后查看页面源代码发现需要传入两个参数

满足a与b的参数不同且两者的MD5相同就会返回正确的值

注意这里是弱比较==

这里有两种方法 第一种采用数组传参 数组传参方式格式为num[]=w num为参数(例如本题的a) w为传入的值 最终传入的值如下

?a[]=1&b[]=2 因为md5不能处理数组，md5 函数哈希数组会返回 NULL。从而达到两者相等进行绕过。

4）这里只能使用数组传参了 之前的那个页面由于是弱比较 所以有两种方法可以进行MD5绕过

这里是强比较所以只能使用数组 不过这道题 数组可以通杀绕过这两层的MD5

Payload如下 post传参

param1[]=2¶m2[]=3

3.[ZJCTF 2019]NiZhuanSiWei

1）

file_get_contents()函数用于读取文件中的内容，并将其作为字符串返回。它通常用于读取文本文件或从远程URL获取内容。在本文中，我们将介绍使用file_get_contents()函数来读取文件的基本方法。

语法

file_get_contents(filename, include_path, context, start, max_length)

参数

filename：必需，指定要读取的文件名称，也可以是一个URL，支持绝对路径和相对路径。

include_path：可选，如果设置了这个参数，PHP将在include_path（设置在php.ini中）中查找文件。如果没有设置，PHP将在当前脚本目录中查找文件。

context：可选，是一个HTTP请求的上下文选项数组，通常在与文件读取和远程URL访问相关的情况下使用。

start：可选，规定从文件中的哪个位置开始读取，以字节数表示。

max_length：可选，规定从文件中读取的最大字节数。

preg_match()函数、

语法

• $pattern:要搜索的模式，字符串类型。
• $subject:输入字符串。
• $matches:如果提供了参数matches，它将被填充为搜索结果。 $matches[0]将包含完整模式匹配到的文本， $matches[1] 将包含第一个捕获子组匹配到的文本，以此类推。
• $flags：可以被设置为以下标记值的组合：PREG_UNMATCHED_AS_NULL、PREG_OFFSET_CAPTURE
• $offset：可选参数 offset 用于 指定从目标字符串的某个位置开始搜索(单位是字节)。
• 返回值：匹配次数。 它的值将是0次（不匹配）或1次，因为preg_match()在第一次匹配后 将会停止匹配。发生错误preg_match()返回 FALSE。

2）

$text是一个变量，file_get_contents不能读取一个变量

3）分析一下：

有三个传入的变量名，猜测最后进入else可以出flag；

首先我们输入的t要满足t=welcome to the zjctf

尝试使用data伪协议去给他赋值，在一个文件里面。payload:/?text=data://text/plain,welcome to the zjctf

成功进入

4)然后需要用url语句读取文件内容

5)里面是一串basse64编码，读取之后是一篇新的php文本

得到如下代码

<?php  

class Flag{  //flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
?>  

6）useless.php里写的file_get_contents直接去读flag.php，构造反序列化，poc：

<?php
class Flag
{  //flag.php
    public $file = 'flag.php';
}
$a = new Flag();
echo urlencode(serialize($a));

7）然后将得到的序列化语句传入，查看源码即可得到flag

4.[LitCTF 2023]Ping

1）进入环境，就是一个只能ping ip地址的文本框，这里也是直接ping一下127.0.0.1这个地址

2）ping出来一堆东西，没太看懂，还是选择抓包试试

3）直接修改command=|cat /flag，然后发包即可得到flag

4)其他解法

源码里有一个用于过滤的函数，这是一段插在 html 中的 js 代码。

函数的大致作用是严格匹配 ipv4 地址，比如 127.0.0.1 这种格式，所以域名都不可以。被禁了
对于这种写在前端的验证函数，不需要去研究如何绕过，直接禁掉 js 代码的调用就好了，浏览器应该都有这个功能。我是用火狐上的一个插件来禁用 js 代码：

打开后，此时再去输入命令，发现没有任何过滤。

flag 在根目录下，用 ls 不断查找每一级目录下的文件，最后发现 flag 在根目录下。

直接查看根目录下的 flag ：

|cat /flag

就能得到flag

5.[NSSCTF 2022 Spring Recruit]ezgame

1)打开环境后是一个游戏界面

2)看看源码，没多大用，扫出来几个网页，也没多大用

3)f12查看源码，到js出进行操作

4)打开覆盖新建一个空文件放进去，然后点击目标文件，点击覆盖，右下角变紫色就成功，然后修改分数

5）改好后随便玩一下，救出flag了