CTFSHOW 爆破 web入门21-28

SwagRee

已于 2025-04-09 18:41:46 修改

阅读量849

点赞数 23

文章标签：网络安全

于 2025-04-09 18:33:31 首次发布

本文链接：https://blog.youkuaiyun.com/SwagRee_/article/details/147099611

版权

爆破

必备工具

yakit(burpsuite)等抓包工具

web21

贴心的为我们准备了爆破字典，下载下来。

进入页面发现是一个登陆页面抓包发现既不是get直接通过链接传参也不是post传参

请求了一下响应包提示我们需要admin的用户名和密码用户名大概率是admin了那我们爆破密码就可以了但是这里传参有点特别一开始我还没找到在哪传参后来发现Authorization这里有点奇怪应该是编码或者加密了？这里是爆破篇应该不会在加密上太为难我们试试base64解密

发现确实是我们刚刚传的参数以账号:密码这样的格式然后base64编码一下

那我们fuzz一下

因为爆破字典比较小也不会再用了我们选择插入临时字典就好了

然后把官方给我们准备的字典复制进来

然后就是这样了

但是别忘了 admin:还需要base64编码一下奥

选择admin:编码替换

然后选择我们字典这里选择base64编码。切记不要直接全部一次性包括admin:一起选上然后编码这样会导致当成文本了分开奥

一切正常的话应该如下图所示

然后发送请求

因为字典里的数据不多一下就出结果了

看看这条响应200的

就可以拿到我们的flag了

web22

也是一道失效了的题目

虽然这里失效了但是不妨碍我们学习一下

在yakit首页的右侧工具箱就有我们的子域名收集

在里面输入域名就会才是收集给我们返回结果了在很多时候比直接爆破更高效

随便截取了一段结果

web23

虽然是爆破里的题目但是题目提示我们不要爆破是让我们不要盲目爆破吗要注意结合实际情况吗哈哈不知道

来看看这道题吧。

这是一段php代码看起来似乎要让get请求的token还得经过一次md5之后依然满足条件才能拿到flag 但是这个条件估计也不是能猜到的不过我发现这里有个intval 把str转换成int类型如果这个str本身里不是纯数字那么经过intval之后应该就会报错所以我们大胆假设这个token只是纯数字的输入不然这里都通不过测试员的测试！那就尝试1-10000爆破一下吧

我们请求一个token=1 然后开始抓包

然后用yakit给我们提供的语法糖 {{int(1-10000)}} 当然也可以自行研究和修改然后响应大小选择降序就找到我们需要的数字了就是422

然后查看token=422的响应就可以拿到我们的flag了

web24

看题目需要使我们get请求的r参数满足指定条件

但是这里的mt_srand和mt_rand是我比较陌生的搜索一下

找到一篇这样的博客PHP伪随机数问题-腾讯云开发者社区-腾讯云

原来这涉及到伪随机数的概念生成的伪随机数生成序列是可以预测的而这里又给了我们固定的种子那我们也得整个php模拟一下这种情况了看了一个师傅的wp 这个序列的生成还和版本有关 php8.2.9是可以拿到正确结果的版本

贴一个php下载链接

PHP For Windows: Binaries and sources Releases

我下了这个

解压之后在php路径下创建test.php 保存内容如下

<?php
mt_srand(372619038);
echo mt_rand();
?>

然后在当前php路径命令输入php test.php

就获得了结果1155388967

然后我们url/r=1155388967 就可以拿到结果了！

web25

这一次的乍一看复杂好多没事！要充满信心。

我们先看这句吧

又和上一道题一样有mt_srand 但是这个种子我们似乎没办法猜测因为我们不知道flag是什么他截取了对flag进行md5之后的的前8位再进一步变成16进制的看到这里感觉很迷惑但是既然这是爆破题大概可以猜到应该是爆破种子了但是纯爆破要太久了题目都超时了呗！看看还有有利信息吧！往下继续看会发现他会打印rand 那我们故意使得r=0 那么就可以得到第一次的mt_rand的结果只要把rand取反就好了

这里我第一次拿到的rand是-254296287 那么mt_rand就是254296287 每个师傅的flag应该不一样所以拿到的不一样不要担心

然后用师傅们推荐的工具 php_mt_seed

在kali中输入

git clone https://github.com/openwall/php_mt_seed

接着

cd php_mt_seed

再编译一下

make

再输入

time ./php_mt_seed 254296287

然后出现了俩可能的结果为什么要选这俩呢因为抓包看响应包可以发现网站使用的版本php版本就是7.1.0+的

两种都试一下并且结合题目这里参考了这位师傅的博客

ctfshow-web入门-爆破（web25）及php_mt_seed工具的安装与使用_ctfshow web25-优快云博客

我们创建web25.php 内容如下

<?php
mt_srand(639491019);
$rand = mt_rand();
$rand1 = mt_rand();
$rand2 = mt_rand();
echo $rand1+$rand2,"\n";
mt_srand(2167878441);
$rand = mt_rand();
$rand1 = mt_rand();
$rand2 = mt_rand();
echo $rand1+$rand2;
?>

然后这是我得到的结果

这是我们的两次可能的结果

从1-4分别第一次随机数结果、第二次随机数结果、第三次随机数结果、第二次随机数结果+ 第三次随机数结果

因为题目要求token为第二次随机结果+第三次随机结果的和才打印flag

然后我们都测试一下注意了记得传参r=第一次随机数的结果我就是忘记传一直没出结果后来才发现

成功拿到了flag

web26

看到有默认提示都输入进去抓包看看。嗯无事发生。这里请求的东西可以尝试爆破一下密码好了

这个地址和端口学过一些mysql的小伙伴应该知道 localhost是本机地址 3306是mysql配置默认的端口这俩似乎不用爆破然后这个库ctf然后也很合理用户名root感觉也很合理那就是爆破pass了尝试一般的字典爆破过了几分钟都没出应该不是纯爆破再找找线索

尝试发现什么都不填直接点确定抓包一下居然说连接成功？里面还有flag！这是故意的还是不小心的！

看了一个师傅的wp 原来也是可以爆破出来的密码是7758521

web27

这样一个页面看起来似乎得想办法拿到正确的学号和密码

然后发现有一个盲点可以点击录取名单下载名单

下载之后发现是身份证中间隐藏了八位

然后点录取名单下面的学生学籍信息查询系统

看起来有姓名和身份证号码就可以查询录取了那么也就是让我们爆破中间八位了对了一下自己的身份证中间这八位就是出生年月

那就这样抓包尝试爆破一下

以下是我生成生日字典的东西python代码当然也可以直接尝试用python以post请求爆破我生成字典也许下次还可以用

def generate_birthday_dict(start_year=1900, end_year=2025, filename="birthday_dict.txt"):
    """
    生成出生年月字典 (YYYYMMDD格式)

    参数:
        start_year: 起始年份 (默认1900)
        end_year: 结束年份 (默认2025)
        filename: 输出文件名
    """
    with open(filename, 'w') as f:
        for year in range(start_year, end_year + 1):
            for month in range(1, 13):
                # 确定每个月的天数
                if month in [4, 6, 9, 11]:
                    max_day = 30
                elif month == 2:
                    # 闰年判断
                    if (year % 4 == 0 and year % 100 != 0) or (year % 400 == 0):
                        max_day = 29
                    else:
                        max_day = 28
                else:
                    max_day = 31

                for day in range(1, max_day + 1):
                    # 格式化为YYYYMMDD，保证两位数月份和日期
                    birthday = f"{year}{month:02d}{day:02d}"
                    f.write(birthday + "\n")

    print(f"字典已生成，保存到 {filename}")


# 使用示例（生成1950-2025年的生日字典）
generate_birthday_dict(start_year=1950, end_year=2025)

生成出来的文件用yakit新增字典然后右键选择生成好的字典爆破

爆破出来的结果点击查看全部