polar-ctf 简单(web)

1. 简单Rce

看到题目代码过滤了一些关键字符cat tac 和system都被过滤了，不能再去使用。但是可以利用vi命令进行读取flag

执行外部命令函数：system()、passthru()、exec()

2. seek flag

进入题目找找flag。在cookie中将id改成1，得到了第一段flag

在其get请求包中看到第二段flag

dirsearch进行目录扫描，看到有一个robots.txt，访问后得到第三段flag

3. jwt

进入是一个登录界面，先登录再注册，进入主页后并未得到有用信息

抓包后看到一个hint：flag-is-admin-password，得知username为admin

先注册一个新用户，注册成功就去登录

抓包看到JWT，拿去解密，需要对称密钥，在kali中利用jwt-cracker进行爆破解密，解密后得知其密钥为SASY

./jwtcrack

进行解密，将jwt中的代码解码然后更换username和对称密钥，然后再进行编码，将重新编码后的代码进行更换，发包，得到falg

4. $$

$GLOBALS：用于访问所有全局变量(来自全局范围的变量),即可以从PHP脚本中的任何范围访问的变量。

5. XFF

抓包修改X-Farded-For:1.1.1.1,然后发送看到flag

6. GET-POST

先传id

再传post

7. 被黑掉的站

在页面中并无得到有用信息

在kali中利用dirsearch -u 网址，扫描出两个成功发送的包，index.php.bak shell.php

访问index.php.bak，得到一个像是密码字典的文件

访问shell.php，看到一个登录框，和前面给的刚好呼应上了

利用bp进行弱口令爆破

完成后得到登陆密码（nikel）,登录后成功得到flag

8. rce1

?ip=127.0.0.1|ls

空格被过滤了，用${IFS}进行绕过

?id=127.0.0.1|cat${IFS}fllllaaag.php

查看网页源代码得到flag

9. 签到题

发现提交按钮不可以提交，然后修改前端的提交值

随便输入123，然后提示提交ilovejljcxy就可以得到flag

再次修改然后输入ilovejljcxy，发现有字数限制，再修改字数限制

最后得到flag

10. upload

查看网页源代码，看到?action=show_code，访问后看到php等许多文件后缀被过滤了

选择一句话木马图片上传

利用bp抓包，将文件后缀名利用双写绕过改成php后缀，发送请求，成功更换

利用蚁剑进行连接，成功看到flag

11. 机器人

利用Kali中dirsearch进行扫描，查到了一个/robots.txt文件

访问后看到flag，但发现只有一半，尝试提交果然不对

Disallow是一个目录，尝试访问但访问不了

利用dirsearch扫描看到了/27f5e15b6af3223f1176293cd015771d/flag.php文件

访问后看到flag后半段，前后两段拼在一起得到flag

12. 干正则

参数为id，包含flag.php文件

flag .php 被过滤

pyload：?id=a[0]=www.polarctf.com&cmd=|ls;

pyload：?id=a[0]=www.polarctf.com&cmd=|cat `ls`; 查看源代码后看到flag

13. 覆盖

代码说用GET传参(id)，需要a[0]=www.polarctf.com

$ip = $_get['cmd'] 获取名为cmd的 GET 参数值，并赋给变量$ip

?id=a[0]=www.polarctf.com&cmd=;cat fla*

14. debudao

查看网页源代码看到一个flag，提交后是错误的

最后在cookie中找到真的flag

15. 审计

在url中输入?xxs=240610708，md50e绕过

16. 井字棋

在控制台中输入declareWinner("您赢了"！)；然后弹窗弹出flag

17. button

出现一个“点击我"的按钮，但是并不能点击到

查看了一下网页源代码，看到一个js文件，说要点击好多9999次，很显然这是不可能的，看到下面看有一个方法查看 flag，访问proxy.php?file=flag,访问后是空白页面，查看网页源代码看到flag

18. 来个弹窗

利用：<script>alert('xss')</script>正常提交，但并没有显示，可能被过滤了

利用双写绕过<script>alert('xss')</sscript>，攻击成功

得到一副图片，说flag就是该人物名称MD5加密，上网查找后用MD5加密得到flag

19. php very nice

php反序列化

当PHP脚本执行完毕或对象被销毁时，_destruct() 自动执行

如果$sys是恶意代码就会被执行

构造php代码

设置要执行的系统命令

创建Example对象

序列化对象并输出

payload：?a=O:7:"Example":1:{s:3:"sys";s:13:"system('ls');";}

出现两个目录

利用php伪协议读取一下（?）

payload：O:7:"Example":1:{s:3:"sys";s:69:"include('php://filter/read=convert.base64-encode/resource=flag.php');";}

解码得到flag

20. 狗黑子的RCE

过滤了很多命令和符号

有两个参数gouheizi1和gouheizi2

原始输入中的 'gouheizi' 会被移除

如果 POST gouheizi2=ggouheiziouheizihi，处理后变成 ghi，不等于 "gouheizi"

要使处理后等于 "gouheizi"，原始输入必须是 "gouheizi"（因为移除 'gouheizi' 后为空）或其他包含 'gouheizi' 的组合

payload如下，过滤字符用l\s进行过滤，执行后再根目录下看到flag.php查看php文件

c\at /fl\ag.php

21. 命运石之门

登录框α线，随便试试，不行，还看不到验证码

查看网页源代码，得到一串编码，解码说验证码是否好使不重要

目录扫描，扫到个password.txt文件，这就应该是爆破了

然后爆破出密码是hunangleiSAMA0712，成功到达第二个β线

接着爆破，得到密码huan9le1Sam0，得到flag

22. rce命令执行系统

尝试输入命令，但貌似都被过滤了，都不能进行正常的输出

看看环境变量是否可以输出，尝试输入env，能成功输出，看到有flag，但是它是个假的

进行目录扫描，扫到一个flag.txt文件，访问看到了提示

txt > php，l > 1，这像是让我们将文件名称进行改变一下，改变一下进行访问

得到另一个提示，要给XOR_KEY进行传参

?XOR_KEY=Polar，成功执行，得到真正的flag

23. uploader
<?php $sandBox = md5($_SERVER['REMOTE_ADDR']);//生成专属目录名：获取访问者的IP地址，并用MD5加密 if(!is_dir($sandBox)){ mkdir($sandBox,0755,true);//要创建的目录名，目录权限0755，true表示允许递归创建 if($_FILES){//判断是否上传文件 move_uploaded_file($_FILES['file']['tmp_name'],$sandBox."/".$_FILES["file"]["name"])// $_FILES['file']['tmp_name']：PHP自动保存的上传文件临时路径 echo "上传文件名: " . $_FILES["file"]["name"] . "<br>"; echo "文件类型: " . $_FILES["file"]["type"] . "<br>"; echo "文件大小: " . ($_FILES["file"]["size"] / 1024) . " kB<br>"; echo $sandBox; } highlight_file(__FILE__);

$sandBox."/".$_FILES["file"]["name"]：目标路径（专属目录 + 原文件名），这个很重要！！

只给出了上传的代码，没有上传的方式，需要自己写一个上传的html页面

上传一句话木马的php文件，之后进行访问，记得加上专属目录名（用md5加密的访问者的IP地址）。然后进行命令执行

<!DOCTYPE html> <html> <body> <form action="http://70c5aad8-a20c-4181-80c0-8bd102f6233c.www.polarctf.com:8090/" enctype="multipart/form-data" method="post" > <input name="file" type="file" /> <input type="submit" type="submit" /> </form> </body> </html>

24. bllbl_ser1

题目给了一串反序列化代码

<?php class bllbl { public $qiang;//我的强 function __destruct(){ $this->bllliang(); } function bllliang(){ $this->qiang->close(); } } class bllnbnl{ public $er;//我的儿 function close(){ eval($this->er); } } if(isset($_GET['blljl'])){ $user_data=unserialize($_GET['blljl']); } ?>

一共就两个类，构造一下代码

<?php class bllbl{ public $qiang; } class bllnbnl{ public $er; } $a=new bllbl(); $b=new bllnbnl(); $a->qiang=$b; $b->er='system("ls /");'; echo serialize($a); ?>

25. 1ncIud3

在该题目中，当你传入../时，会将其转换成空

当 PHP 把这个路径传给操作系统时，系统会按上面的规则规范化，最终变成 ../../test.php，实现了目录穿越。PHP 拼接路径后传给系统，系统规范化路径传入的内容就会变成../../../../f1a9，从而成功读取

26. 投喂

27. 简单的导航站

网页源代码中得到密码

注册，登陆下

产看用户列表，有代码，用数组进行绕过，得到用户名字符串，需要爆破（在文件管理中的登录框进行爆破）

得到账号为P0la2adm1n，登陆进去是一个上传页面，没有过滤，直接上传php的木马文件，然后蚁剑进行连接

上传路径为/uploads/上传的文件名

看到很多flag

在flag验证框中进行flag验证，爆破

28. background

d和p一个表示执行的命令，一个表示执行的语句，然后是要用POST方法去获取change_background.php文件

payload：d=cat&p=/flag

29. 俄罗斯方块

要是直接玩也是可以的，就是耗时太久了

直接在控制台进行分数修改，让score=10，然后玩一把就可以得到提示，但是这个提示就是一串文字

又查看js代码看到有一个获取文件，get_squirrt1e.php，访问后就可以得到flag

30. 代码审计easy

<?php $page = 'hello.php'; if (isset($_GET['page'])) { $page = $_GET['page']; } $base_dir = __DIR__ . '/pages/'; $target = $base_dir . $page; if (preg_match('/https?:\/\//i', $page)) { echo "远程 URL 不允许呦。"; exit; } if (file_exists($target)) { $content = file_get_contents($target); echo "<pre>" . htmlspecialchars($content, ENT_QUOTES|ENT_SUBSTITUTE, 'UTF-8') . "</pre>"; } else { if (@file_exists($page)) { $content = file_get_contents($page); echo "<pre>" . htmlspecialchars($content, ENT_QUOTES|ENT_SUBSTITUTE, 'UTF-8') . "</pre>"; } else { echo "No!： " . htmlspecialchars($page); } }

这题flag在根目录

31. VIP

抓包，修改vipStatus的值，no修改成yes

32. white

是一个命令执行的界面

ls pwd whoami date echo base64 sh
命令包含不允许的内容，匹配模式: /[;&`$\'\"<>?*[\]{}()#@!%]/
禁止危险函数（如 system、eval、tac、cat 等）
命令包含不允许的内容，匹配模式: /\b(etc|proc|dev|bin|sbin|usr|home|flag)\b/i

在过滤的命令中没有过滤管道符（|），这是可以利用的一个点。管道符拼接

echo bHM= 输出字符串 bHM=（这是 ls 的 Base64 编码结果）

base64 -d 对输入的 Base64 字符串解码（bHM= 解码后得到 ls）

sh 调用 Shell 执行输入的命令（即执行 ls，列出当前目录文件

也可以用反斜杠\来进行绕过flag关键字的过滤

33. help

直接查找js文件就可以了

34. cookie欺骗2.0

登录成功然后抓包，修改user，发包，认证失败。那可能后面的值也要修改

hfrel拿去解码，发现时rot13加密，结果是user1。同样将admin进行rot13加密，替换上去，发包得到flag

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/1098089.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

2021hychs 一试模拟题解析

2021hychs 一试模拟题解析

\[\huge {{\text{2021hychs} 一试模拟题解析}} \]一、填空题 1. \(\color{red}1027182\) 由 \(0<a_1<a_2\) 归纳易知数列 \(\{a_n\}\) 为单调递增的正数列，从而： \[2a_{2n+1}=a_{2n}+a_{2n+2}=\sqrt{a_{2n-1}a…
阅读更多...
【课程设计/毕业设计】基于springboot的图书管理系统基于SpringBoot的学校图书管理系统设计与实现【附源码、数据库、万字文档】

【课程设计/毕业设计】基于springboot的图书管理系统基于SpringBoot的学校图书管理系统设计与实现【附源码、数据库、万字文档】

博主介绍&#xff1a;✌️码农一枚 &#xff0c;专注于大学生项目实战开发、讲解和毕业&#x1f6a2;文撰写修改等。全栈领域优质创作者&#xff0c;博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java、小程序技术领域和毕业项目实战 ✌️技术范围&#xff1a;&am…
阅读更多...
不用额外花时间！眼调节训练灯，破解儿童近视度数递增难题

不用额外花时间！眼调节训练灯，破解儿童近视度数递增难题

各位家长&#xff0c;是不是发现孩子的近视度数一年比一年高&#xff1f;去年还是100度&#xff0c;今年验光就涨到200度&#xff0c;更让人焦虑的是&#xff0c;明明每天都提醒“少看会儿书”“多出去走走”&#xff0c;可度数还是拦不住地涨。一、为啥孩子近视度数总涨&#…
阅读更多...
LangGraph MultiAgent 智能书籍写作系统

LangGraph MultiAgent 智能书籍写作系统

LangGraph MultiAgent 智能书籍写作系统 文章目录 LangGraph MultiAgent 智能书籍写作系统 LangGraph MultiAgent 书籍写作系统 系统架构图 完整代码 运行说明 1. 安装依赖 2. 配置 API Key 3. 运行程序 4. 输入主题 输出示例 示例运行输出： 系统特点 =======================…
阅读更多...
HTTP在参考模型中的哪一层

HTTP在参考模型中的哪一层

HTTP 协议位于 TCP/IP 五层模型的应用层，同时也对应 OSI 七层模型的应用层。 具体的层级关联和协议特点可以分为两点来看： 对应 TCP/IP 五层模型这是实际网络通信中最常用的分层标准，HTTP 属于最顶层的应用层，作用…
阅读更多...
计算机Java毕设实战-基于springboot+vue的车辆配件进销存平台设计和实现基于SpringBoot的汽车配件仓储管理系统设计与实现【完整源码+LW+部署说明+演示视频，全bao一条龙等】

计算机Java毕设实战-基于springboot+vue的车辆配件进销存平台设计和实现基于SpringBoot的汽车配件仓储管理系统设计与实现【完整源码+LW+部署说明+演示视频，全bao一条龙等】

博主介绍&#xff1a;✌️码农一枚 &#xff0c;专注于大学生项目实战开发、讲解和毕业&#x1f6a2;文撰写修改等。全栈领域优质创作者&#xff0c;博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java、小程序技术领域和毕业项目实战 ✌️技术范围&#xff1a;&am…
阅读更多...
学长亲荐8个AI论文工具，本科生毕业论文轻松搞定！

学长亲荐8个AI论文工具，本科生毕业论文轻松搞定！

学长亲荐8个AI论文工具&#xff0c;本科生毕业论文轻松搞定&#xff01; AI 工具助力论文写作&#xff0c;让毕业不再焦虑 对于本科生来说&#xff0c;撰写毕业论文是一次不小的挑战。从选题、资料收集、大纲搭建到初稿撰写、修改润色&#xff0c;每一个环节都可能让人感到手足…
阅读更多...
官网-中华人民共和国个人所得税法

官网-中华人民共和国个人所得税法

官网：中华人民共和国个人所得税法_国家税务总局 第一条 在中国境内有住所，或者无住所而一个纳税年度内在中国境内居住累计满一百八十三天的个人，为居民个人。居民个人从中国境内和境外取得的所得，依照本法规定缴纳个人所得税。 在中国境内无住所又不居住，或者无住所而一…
阅读更多...
调节力的秘密！你知道吗？调节力在日常生活中非常重要

调节力的秘密！你知道吗？调节力在日常生活中非常重要

你有没有过这样的经历&#xff1f;长时间盯着书本或手机后&#xff0c;抬头看远处的高楼&#xff0c;视线会变得模糊&#xff0c;要眨好几下眼睛、缓上几秒才能看清&#xff1f;其实这不是眼睛“累糊涂了”&#xff0c;而是藏在我们眼睛里的核心能力——调节力&#xff0c;在发…
阅读更多...
Java计算机毕设之基于SpringBoot的学校图书管理系统设计与实现基于SpringBoot+Vue的图书管理系统的设计与实现（完整前后端代码+说明文档+LW，调试定制等）

Java计算机毕设之基于SpringBoot的学校图书管理系统设计与实现基于SpringBoot+Vue的图书管理系统的设计与实现（完整前后端代码+说明文档+LW，调试定制等）

博主介绍&#xff1a;✌️码农一枚 &#xff0c;专注于大学生项目实战开发、讲解和毕业&#x1f6a2;文撰写修改等。全栈领域优质创作者&#xff0c;博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java、小程序技术领域和毕业项目实战 ✌️技术范围&#xff1a;&am…
阅读更多...
2021hychs 一试模拟题

2021hychs 一试模拟题

\[\huge {{\text{2021hychs} 一试模拟题}} \]注意事项： \(\hspace{0.5cm}\)1. 本试卷共 \(11\) 题，包括 \(8\) 道填空题和 \(3\) 道解答题。 \(\hspace{0.5cm}\)2. 填空题每题 \(8\) 分，解答题分值分别为 \(16\) 分…
阅读更多...
领域专用提示词之视频主题与内容创作

领域专用提示词之视频主题与内容创作

&#x1f3a5;视频主题与内容创作 &#x1f496;情感要素化提示词生成内容 执行协议等待指令&#xff1a;情感主题分拆成共鸣触发、解决方案、IP人格化要素&#xff0c;共鸣触发、解决方案、IP人格化要素生成完整内容&#xff0c;默认只展示要素结构但用户可以要求展示完整内容…
阅读更多...
Java毕设项目推荐-基于Spring Boot与MySQL的二手车销售管理系统的设计与实现基于Java和Spring Boot的二手车交易系统设计与实现【附源码+文档，调试定制服务】

Java毕设项目推荐-基于Spring Boot与MySQL的二手车销售管理系统的设计与实现基于Java和Spring Boot的二手车交易系统设计与实现【附源码+文档，调试定制服务】

博主介绍&#xff1a;✌️码农一枚 &#xff0c;专注于大学生项目实战开发、讲解和毕业&#x1f6a2;文撰写修改等。全栈领域优质创作者&#xff0c;博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java、小程序技术领域和毕业项目实战 ✌️技术范围&#xff1a;&am…
阅读更多...
亚马逊卖家站外引流：猎豹移动与主流Meta广告代理商服务选型参考 - 智造出海

亚马逊卖家站外引流：猎豹移动与主流Meta广告代理商服务选型参考 - 智造出海

面对2025年亚马逊站内广告CPC同比近20%的涨幅，通过Meta等社交平台获取增量流量已成为卖家维持利润的必要手段。然而，面对日益严格的跨平台合规审核及归因数据断层，选择一家具备技术穿透力的代理商是解决“引流难、转…
阅读更多...
[Quicker] 蓝奏云API - 源码归档

[Quicker] 蓝奏云API - 源码归档

动作：蓝奏云API封装蓝奏云解析逻辑，支持解析文件直链、名称和大小。更新时间：2025-12-30 23:02 原始文件：LanzouApi.cs核心代码 //css_ref System.Windows.Forms.dll //css_ref System.Drawing.dll //css_ref Micr…
阅读更多...
京东多智能体综合设计——多源异构数据采集与融合应用综合实践

京东多智能体综合设计——多源异构数据采集与融合应用综合实践

这个项目属于哪个课程 2025数据采集与融合技术实践组名、项目简介 组名:暴虎项目需求:“京东多智能体挑战赛”旨在推动人工智能（AI）技术在实际生产与生活场景中的应用创新，探索多智能体在复杂业务场景下的协同决策能…
阅读更多...
QQ音乐加密mgg，ogg转mp3下载

QQ音乐加密mgg，ogg转mp3下载

问题背景 想要下载QQ音乐有版权的歌曲，发现下载的是加密的mgg格式，需要先解密成ogg再转换成mp3格式 问题的困难 为了能听歌单的音乐，尝试了以下三条路线找那种能一键导入歌单，根据歌单下载的(不是完全一致的音源都…
阅读更多...
一个合格的程序员必读经典书籍(含下载链接PDF)

一个合格的程序员必读经典书籍(含下载链接PDF)

计算机程序设计艺术 《计算机程序设计艺术》（The Art of Computer Programming）是由计算机科学先驱 Donald E. Knuth 编写的一部殿堂级著作，被誉为算法与程序设计领域的“圣经”。全书以极其严谨的数学推导为基础，…
阅读更多...
APS1604M-SQR-ZR产品特点

APS1604M-SQR-ZR产品特点

品牌&#xff1a;AP MEMORY 免费样品申请&#xff1a;中国区一级代理商&#xff1a;深圳市贝乐实业股份有限公司这款psram具备高速、低引脚数接口特性。它拥有4个I/O引脚&#xff0c;能够以SPI(串行外设接口)或QPI(四元外设接口)模式运行&#xff0c;频率最高可达14…
阅读更多...
async 和 await 详细解析

async 和 await 详细解析

Python async 和 await 详细解析 async 和 await 是 Python 3.5 及以上版本引入的异步编程核心语法&#xff0c;用于实现「非阻塞式」代码执行&#xff0c;解决传统同步编程中高IO等待&#xff08;如网络请求、数据库操作、文件读写&#xff09;导致的资源浪费问题&#xff0c;…
阅读更多...
最新文章

Copyright @ 2022~2023