Bugku-web-never give up

最新推荐文章于 2024-05-21 21:44:07 发布

Pz1o

最新推荐文章于 2024-05-21 21:44:07 发布

阅读量241

点赞数

分类专栏： ctf

本文链接：https://blog.youkuaiyun.com/weixin_45679095/article/details/106947751

版权

ctf 专栏收录该内容

8 篇文章

订阅专栏

never give up

看源码之后发现有一个

1p.html

访问一下，总是会跳转，于是抓包
在这里插入图片描述

将里面的字符串先url解码一下

<script>window.location.href='http://www.bugku.com';</script> 
<!--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-->

之后再base64解码一下，再url解码得到以下代码

if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))  //返回a中出现'.'的位置
{
	echo 'no no no no no no no';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)  //满足5个条件才会显示flag
{
	require("f4l2a3g.txt");
}
else
{
	print "never never never give up !!!";
}


?>

data=="bugku is a nice plateform!"这里可以用php伪协议来写php://input post data里面传入参数
id==0,在一开始要判断id不为0，之后又要弱等于0，这里就可以构造一个非空非零字符串
b的长度大于5 – b的第一个字符和111连在一起后要和1114匹配 – b的第一个字符弱不等于4

ereg() 函数或 eregi() 函数存在空字符截断漏洞，即参数中的正则表达式或待匹配字符串遇到空字符则截断丢弃后面的数据。

. 在正则表达式中可以表示任何单个字符

这里b的话可以用截断,也可以用 . 来构造

b=\x0012345  
b=.12345

综上，构造

id=qqq&b=%0012345&a=php://input
id=qqq&b=.12345&a=php://input

得到flag

flag{tHis_iS_THe_fLaG}

这里还有另一种方法，就是直接访问这个f4l2a3g.txt文件，也可以显示出flag。