X-NUCA联赛WEB赛前指导write-up

第一关

审查代码发现有隐藏的连接，访问，flag一闪而过。打开burpsuite，设置好代理，然后重新访问，在历史里找相应的回复包，得到flag。

第二关

审查元素 修改按钮为可用 抓获一个POST包

但是数据项是有问题的“q1=2015&q2=lol+&q3=22&success=false”
提交显示fail

页面确实给的是q1q2q3，标签是q1q2q4，而且有JS会把lol改成lol+
修改回来q1=2016&q2=lol&q3=22&success=true 提交

第三关

已经是Admin 注意Member参数要base64解密出来是普通的  要改成Admin经过base64加密后的

第四关
构造绕过  V1很简单  5位类似”2017X“字符串  V2需要一个多维数组  V3用%00截断
第五关
登陆进去之后看了前两个人的page参数是MD5值 分别做了解bob317 sam429 推测密码是名字+3位数字
C语言写了一个程序 生成了1000个哈希字典 放进burpsuite暴力破解
有效值：e0abf23f3c6783eb43992635dfbe0d8f
回复包里有flag

第六关
referer注入 sqlmap跑 “sqlmap -u -level 3 -p referer”再加上曝库表列的命令，表多，建议分开跑。

第七关

上传，burp注意改一下内容就好了
第八关
进入关卡后头标签里面有一个JS如下：
p="60,105,102,114,97,109,101,32,104,101,105,103,104,116,61,48,32,119,105,100,116,104,61,48,32,115,114,

99,61,34,46,47,

102,108,48,97,46,112,104,112,34,62"
p=eval("String.fromCharCode("+p+")");
document.write(p);

转化一下，
访问http://218.76.35.75:20123/fl0a.php 提示flag is $flag
$flag是一个php变量 传参是POST方式 参数得去数据包里面找 挂上代理抓包
cookie字段里面有flag参数

第九关

变量覆盖。直接在url里传参就可以了，注意引号有限制，不要带。
第十关

burp下抓到提交的内容会到一个img标签里  闭合标签用onerror=alert()弹出 不要出现引号 否则弹不出来

第11关
包含漏洞 /flag应该是一个文件 page参数给/flag  访问后说flag不在这里 调试下页面 有提示flag在

62a72cb2f3d5e7fc0284da9f21e66c9f.php
访问后得到flag
第12关
发送个的数据包包含的user=Bob&guess=990  提示要用admin 将user=admin guess参数丢进burp里面跑所有的3位数组合 某个回复包就是flag
第13关
简单的社工思想猜一下表和列 然后下面是盲祝的格式

http://218.76.35.75:20101/?name=guest' UNION ALL SELECT NULL,null,concat(database(),0x3a,user()) -- -

构造一下查询flag就出来了
第14关
图片马 合成传上去就好
第15关

曝出目录 访问flag文件  只能用|和&

第16题

审计JS 尤其注意这一点 urlkey提示隐藏了一个文件 js是可以直接访问的  这个三元组是记分板显示的内容 具体调试一下就能得到文件名 然后弹出flag
};
this.mayAdd = function(a) {
if (this.scores.length < this.maxscores) return 1E6 < a && (a = new p, a.set("urlkey",

"webqwer" [1] + "100.js", 864E5)),
!0;
for (var b = this.scores.length - 1; 0 <= b; --b) if (this.scores[b].score < a) return 1E6

< a && (a = new p, a.set("urlkey", "webqwer" [1] + "100.js", 864E5)),
!0;
return ! 1
};

第17题

抓包得到密码 是一个哈希 要解密  然后提交时注意的地方：XFF是伪造IP的，referer伪造来源，数据参数要解密

第18题
kindeditor4.1.7 有曝出路径的漏洞
file_manager_json.php曝出路径  访问指定文件得到flag
第19题

脑洞真大啊！！  AWVS曝出了web目录 有一个.git文件夹  下载源代码之后发现hack.php都没闭合完整  后来想起来  如果这里被修改了 是要记入到git记录中的 下载了objects中的内容  通过查看修改记录flag

第20题
Flask SSTI漏洞  可以利用内建函数 或者调用其它可利用的模块  具体百度”Flask SSTI“并参考函数手册

http://218.76.35.75:20102/?data={{help()}}报错  然后页面回显曝出了flag文件  然后用内建文件调用调用这个文件 得到flag