[极客大挑战 2019]Havefun

最新推荐文章于 2024-10-25 20:52:35 发布

One_Lock_Li

最新推荐文章于 2024-10-25 20:52:35 发布

阅读量181

点赞数

分类专栏： #BUUCTF CTF学习文章标签： web安全安全 php

本文链接：https://blog.youkuaiyun.com/lljiuhkhk/article/details/125932228

版权

本文介绍了参与2019年极客大挑战时遇到的一道安全题目，通过分享解题过程展示了如何进行代码审计。在页面中发现动画后，作者发现了关键的绿色注释，从而得出payload。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

先上payload：

http://afe02f7a-44e8-44e7-b2ef-66f68bb417a8.node4.buuoj.cn:81/?cat=dog

解题思路

进入页面一只猫，有了上一篇大黄脸的经验，第一反应还是代码审计，果然没让我失望

前面大段应该都是关于这只猫的动画，直接翻到结尾，还是一样的套路，一段醒目的绿色注释

 <!--
        $cat=$_GET['cat'];//get方式取值，cat传参
        echo $cat;//在后台服务器打印传过去的cat值
        if($cat=='dog'){
            echo 'Syc{cat_cat_cat_cat}';
        }//这就是迷惑行为了，当传过去的cat值为dog，
打印'Syc{cat_cat_cat_cat}'，