web萌新ctf练习--攻防世界--mfw

最新推荐文章于 2025-05-19 10:17:12 发布
原创 最新推荐文章于 2025-05-19 10:17:12 发布 · 1.2k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#ctf_web

这篇博客介绍了CTF新手在攻防世界平台上的MFW挑战。作者首先发现一个隐藏链接?page=flag，接着在about页面找到Git信息泄露的线索，通过Githack获取网站源码。在分析PHP代码后，利用assert函数存在的命令执行漏洞，构造payload获取了flag。这是一个关于Web安全和漏洞利用的学习过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

web萌新ctf练习–攻防世界–mfw

题目

在这里插入图片描述
题目没有给hint

打开网页
在这里插入图片描述
习惯的查看源代码，发现一个可以的连接?page=flag
在这里插入图片描述
打开这个网页，是个空的。然后再在网页上点啊点，在about页面下发现了一些信息，可能存在git信息泄露
在这里插入图片描述
尝试输入/.git/，果然有东西
在这里插入图片描述
然后用Githack工具，拉下网站源码
在这里插入图片描述
依次点开各个php,没有直接写有flag的信息。再回头看index.php

最低0.47元/天 解锁文章

200万优质内容无限畅学
攻防世界----mfw
Red Rapefruit
08-04 3158
攻防世界----mfw 题目描述: 页面描述 解题思路 观察上图,我们可以获得两个比较重要的信息 1.该网站是用git托管源码,以及用PHP编写 2.有一个flag文件(猜测后缀为.PHP) 怀疑存在.git源码泄露,于是尝试访问或者是dirsearch扫描目录 http://220.249.52.133:47363 /.git 利用githack下载源码,详细代码自己发现,获得以下的信息 1.关键的代码 2.template目录下存在flag.php文件(你可以尝试直接cat一下) <?ph
CTF 攻防世界 Web: SSRF Me write-up
qq_60256199的博客
11-22 784
CTF 攻防世界 Web: SSRF Me write-up
CTF -攻防世界-web高手区-mfw
aon8069924165211的博客
08-09 1553
---恢复内容开始--- 昂，我很菜这是网上大神的教程。 https://blog.youkuaiyun.com/silence1_/article/details/89741733 ---恢复内容结束--- 转载于:https://www.cnblogs.com/cat47/p/11328050.html...
【网络安全】网安人（黑客）必备十大网站（内附学习笔记）
最新发布
wly55690的博客
05-19 562
一、前言想投身安全行业的朋友，可以跟着我一起学习，如果一下内容你赞同，。
攻防世界——mfw
m0_62063669的博客
06-23 1846
攻防世界——mfw当前大量开发人员使用git进行版本控制，对站点自动部署。如果配置不当，可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。发现有Git，可能是Git泄露，直接/.git 确实存在git泄露那我们使用GitHack还原在templates目录下发现了flag.php，在index.php中发现关键代码strpos()函数查找".."在$file中第一次出现的位置。如果没有找到则返回falsefile_exists()函数检查$file是否存在assert()函数会将括号中的
mfw-攻防世界
szhangliwenya的博客
04-03 959
如果找到该字符串，它会返回该字符串在另一个字符串中第一次出现的位置（基于 0 的索引），如果没有找到，则返回。在生产环境中，为了提高性能，通常会将断言禁用，因为每次断言都需要检查一个条件，这可能会带来额外的开销。这是一个注释，提醒开发者 '..' 在文件路径中可能是危险的，因为它可能允许目录遍历攻击。函数会返回该子串的位置，否则返回 false。这是一个注释，表示接下来的代码可能需要优化或改进，使其看起来更整洁或更易于理解。设置）来执行不同的操作，这通常包括显示一个警告或错误消息，甚至终止脚本的执行。
推荐大家一些CTF的网站和工具
HackerYY的博客
12-07 8466
CTF工具和网站简介 内有解析
### CTF-All-In-One 超全学习文档资料
04-13
内容概要：本文档《ctf-all-in-one.pdf》是一份全面的CTF（夺旗赛）学习指南，涵盖了CTF的基础知识、各类题型、常用工具、高级技术和实战技巧。文档首先介绍了CTF的概念及其发展历史，解释了CTF比赛的形式和规则，...
CTF-100题.-天天练习-学习
11-01
CTF-100题.-----------------天天练习------------------学习 100小题，试例练习
ctf-all-in-one
01-30
ctf-all-in-one
攻防世界-mfw
weixin_64659753的博客
05-26 468
攻防世界-mfw
CTF练习和相关信息的网站
weixin_42037232的博客
04-21 820
我也是刚起步，找朋友和google了很多乱七八糟的网站，这里记一下。 知乎上有一位作者写的很全，包含交流平台，练习平台，漏洞平台，在线工具，大牛博客地址和其他综合类网站。我这里只是补充了一些，他写的比我全得多。传送门： 一个4年CTF入门者自述：曾经掉过的坑与干货总结   国内网站： - 实验吧：shiyianbar     这里有很多视频课程，我还没好好看，不过很多人都对这个网站评价很...
【攻防世界】mfw
wangzhemvp的博客
04-15 991
如果里面是一个字符串，则会当作php代码来执行。比如 assert( "file_exists('$file')" )。想办法绕过 assert("strpos('$file', '..') === false")（1）这里要注意不能直接写在url上，浏览器会对它进行编码，把它写在HackBar；assert函数在php中用来判断一个表达式是否成立，返回ture、false。页面发现git ,可能存在git注入。GitHack：下载泄露的.git文件夹下的文件到本地。（2）写 #、// 都可以。
攻防世界26-mfw-CTFWeb
LH1013886337的博客
10-18 636
我们从源码得知，肯定没有aa这个文件，因此它会执行or函数后面的phpinfo，再把//后面的.php注释掉。首先瞎点发现，可能存在git源码泄露问题，尝试.git访问，源码中也有按时page=flag，但访问无果。assert() 会检查指定的 assertion 并在结果为 FALSE 时采取适当的行动。，那就是flase==false，就是true，不执行后面的代码。下载源码，审计源码(templates下的flag文件的flag被注释了)这样好像也行，时链式执行。，PHP 会继续执行。
攻防世界 mfw（Git源码泄露与命令执行漏洞）
Welcome To Myon'Blog !
06-01 2548
Git 源码泄露： 1、strpos() 函数 2、assert()函数 3、file_exists() 函数 4、die()函数 代码审计： 命令执行漏洞：
网络安全ctf比赛/学习资源整理，解题工具、比赛时间、解题思路、实战靶场、学习路线，推荐收藏！_ctf练习网站
Galaxy_0的博客
02-08 1193
CTF在线工具1、CTF在线工具箱：http://ctf.ssleye.com/ 包含CTF比赛中常用的编码、加解密、算法。2、CTF加解密工具箱：http://www.atoolbox.net/Category.php?Id=273、ctfhub在线工具：https://www.ctfhub.com/#/tools4、还有一些常用的网站字符串2进制互转：http://www.5ixuexiwang.com/str/from-binary.php。
CTF刷题网站汇总（包括本地可以自己搭建的）（1）
热门推荐
qq_51550750的博客
01-29 1万+
CTF刷题网站汇总（包括本地可以自己搭建的） CTF刷题平台汇总（欢迎各位师傅们补充） 第一个当然是CTFshow啦！https://ctf.show/ 攻防世界 https://adworld.xctf.org.cn/ Bugku https://ctf.bugku.com/ 论剑场 https://new.bugku.com/ Buuctf https://buuoj.cn/ Jarvisoj https://www.jarvisoj.com/ 墨者学院 https://www.mozhe.cn/ 看雪
攻防世界Web-mfw
05-14 456
题目来源csaw-ctf-2016-quals 使用GitHack assert() 检查一个断言是否为 FALSE strpos() 函数查找字符串在另一字符串中第一次出现的位置。 file_exists() 函数检查文件或目录是否存在。 payload: ?/page= about.php', '123') === false and syste...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值