刷题。。。。。。

1.ezmd5

根据题目提示

我们知道应该是要上传两张md5值相同的图片

根据原文链接:cryptanalysis - Are there two known strings which have the same MD5 hash value? - Cryptography Stack Exchange

把保存下来的图片上传一下

得到flag

2.ezhttp

根据原文链接:如何伪造http头,让后端认为是本地访问 - 技术栈

看页面源代码提示应该是要扫描后台

访问robots.txt

再访问

得到账号和密码

登录后

提示要伪造refer

bp抓包

发包过去又说要伪造XYCTF的浏览器

发包又提示要伪造本地用户

伪造X-Forwarded-For:127.0.01

那就只能换一个伪造

发包过去又说要伪造

伪造via

又说要伪造。。(崩溃了)

 那就是伪造cookie,把cookie的值改为XYCTF得到flag


XYCTF{83214032-3ef6-48ca-9a27-5ef6dd58ef8c}

知识点:

1.via伪造代理

2.client-ip和X-Forwarded-For的用处差不多

参考文章:鲜为人知的HTTP协议头字段详解大全 - 知乎

3.牢牢记住,逝者为大

第一层绕过,cmd的长度不能大于13

第二层绕过,cmd中不能有echo  exec  eval  system  fputs  .   /   \  字眼(这里/i就是大小写都识别)

第三层绕过,val_val中不能有bin  mv  cp  ls  |  f  a  l  ?  *  >  字眼

然后就是命令执行 #man,和cmd参数 和 manba out 拼接起来的命令

构造payload:

cp /var/www/html/88.txt

将其转换为八进制,结果为143 160 040 057 146 154 141 147 040 057 166 141 162 057 167 167 167 057 150 164 155 154 057 070 070 056 164 170 164 012

(为什么不转为16进制,主要是第三层绕过里面有过滤f,而我们转换的结果里面包含了f)

我们将八进制统一加上/0,得到

\0143\0160\0040\0057\0146\0154\0141\0147\0040\0057\0166\0141\0162\0057\0167\0167\0167\0057\0150\0164\0155\0154\0057\0070\0070\0056\0164\0170\0164\0012

我们构造payload的时候要注意,eval执行的第一个字符是注释符,所以我们要绕过注释符,用到换行符%0A,同时还要注释掉后面的manba out避免影响eval执行命令,所以这里用到%23,用&连接前后语句,用%24表示$,这样就会执行我们后面的语句

/?cmd=%0A`$_GET[1]`;%23&1=%24(echo -e "\0143\0160\0040\0057\0146\0154\0141\0147\0040\0057\0166\0141\0162\0057\0167\0167\0167\0057\0150\0164\0155\0154\0057\0070\0070\0056\0164\0170\0164\0012")

成功上传payload后

访问88.txt

得到flag

知识点:

1.> Linux cp命令主要用于复制文件或目录。

   语法:

cp [选项] 源文件 目标文件

2.> preg_match命令

模式分隔符后的"i"标记这是一个大小写不敏感的搜索

我的理解就是如果要用preg_match搜索多个字符串就用 |  连接

这里的 i 就是不管大写还是小写都识别,这里我们把 i 删了重新理解一下

3.> 各种进制的表达

在C语言里,整数有三种表示形式:十进制,八进制,十六进制。其中以数字0开头,由0~7组成的数是八进制。以0X或0x开头,由0~9,A~F或a~f 组成是十六进制。除表示正负的符号外,以1~9开头,由0~9组成是十进制。

十进制:除表示正负的符号外,以1~9开头,由0~9组成。如 128,+234,-278。

八进制:以0开头,由0~7组成的数。如 0126, 050000.

十六进制:以0X或0x开头,由0~9,A~F或a~f 组成。如 0x12A, 0x5a000。

4.> 我们要注意,如果要传入八进制数在url上,我们必须使用转义字符 \ 使其url能正确识别为八进制数,而不是当作普通的十进制数0xx来识别,但是这里还需要注意的是,在url上, \ 表示路径分隔符,为了url能将 \ 当做转义符号而不是路径分隔符,我们可以使用echo -e命令。

  • shell echo的各种用法

echo -e   // –e 在这里启用反斜杠转义的解释

详见:Shell echo命令 | 菜鸟教程

  • ` `  反引号中的命令当作shell命令执行

5.> url编码就是一个字符ascii码十六进制

回车,ASCII码13,"\r"
换行,ASCII码10,"\n",10的16进制是0xA,所以url编码是%0A
空格,ASCII码32,32的16进制是0x20,所以url编码是%20

# ,url编码是%23

4.warm up

第一层,如果val1和val2值不相等但是md5弱比较相等,输出ez

第二层,如果md5参数自身和自身的md5值相等,输出ezez

第三层,如果xy和xyctf弱比较相等,且xy不等于XYCTF_550102591,xy的md5值和XYCTF_550102591的md5值相等,则输level2 (这里有个相似的例题,可以参考buuctf朴实无华)

传入payload

利用到变量覆盖漏洞,我们这里直接给xyctf传入值就可以覆盖掉原先xyctf的值

/?XYCTF=QNKCDZO&val1[]=1&val2[]=2&md5=0e215962017&XY=QNKCDZO

得到提示访问LLeeevvveeelll222.php

代码审计一下

我们要intval函数转换结果不为0而且还要post传入的a中不包含0~9

就输出那一串文字,替换操作是通过调用 preg_replace($_GET['a'],$_GET['b'],$_GET['c']) 来实现的。其中,$_GET['a'] 是正则表达式模式,$_GET['b'] 是替换文本,$_GET['c'] 是要进行替换操作的目标文本

知识点:

1.echo(),print(),print_r()的区别

参考链接:PHP中echo(),print(),print_r()的区别及打印函数-CSDN博客

echo可以输出多个变量值,且没有返回值

print只有一个变量,作为一个字符串输出,有返回值1,且不能输出数组和对象,多用于打印字符串

print_r可以输出stirng、int、float、array、object等,输出array时会用结构表示,多用于打印复合类型,如数组。print_r打印关于变量的易于理解的信息。

echo是PHP语句

print和print_r是函数,语句没有返回值,函数可以有返回值(即便没有用)

print()    只能打印出简单类型变量的值(如int,string)
print_r() 可以打印出复杂类型变量的值(如数组,对象)
echo     输出一个或者多个字符串

例:

在代码中

换成print函数则变成了

2.preg_match函数

参考链接:正则表达式学习笔记(超级详细!!!)| 有用的小知识_1\d{2}-CSDN博客

  • 在正则中可以用一些简写字符

  • 在正则中可以用的一些标志(模式修饰符)

标志也叫模式修正符,因为它可以用来修改表达式的搜索结果。 这些标志可以任意的组合使用,它也是整个正则表达式中的一部分

  • 在正则中可以用的一些元字符
正则的语法参数

  • pattern参数

正则表达式模式通常以斜杠开头和结尾,例如 /pattern/

  • matches参数

是一个可选的输出参数,用于存储匹配到的结果。它是一个数组,其中每个元素对应一个匹配到的子模式(圆括号包裹的部分)

在函数调用后,如果匹配成功,$matches 数组将会被填充上匹配到的子串。第一个元素 $matches[0] 将包含整个匹配到的字符串,接下来的元素 $matches[1]$matches[2] 等将分别包含第一个、第二个圆括号包裹的子模式的匹配结果

例:

在代码中

在这个例子中,$matches[0] 包含整个匹配到的字符串,即 '12345789'。

正则的返回值

如果 pattern 匹配到指定 subject,则 preg_match() 返回 1,如果没有匹配到则返回 0, 或者在失败时返回 false

例:

3.extract函数

本函数用来将变量从数组中导入到当前的符号表中。常用于变量覆盖漏洞

       

4.preg_match绕过

扩展:有哪些常见的代码执行的函数?
(1)eval函数

把字符串code当作php代码执行

eval ( string $code ) : mixed

(2)assert函数

PHP5PHP7中,如果assertion是字符串,它将会被assert()当做PHP代码来执行。

PHP 5
assert ( mixed $assertion [, string $description ] ) : bool

PHP 7
assert ( mixed $assertion [, Throwable $exception ] ) : bool

数组绕过

preg_match只能处理字符串,当传入的subject是数组时会返回false

换行符绕过

.不会匹配换行符( \n )

例:

异或绕过

文章参考:命令执行中关于PHP正则表达式的一些绕过方法_正则表达式中过滤的怎么绕过-CSDN博客

在PHP中两个字符串异或之后,得到的还是一个字符串。如果正则过滤了一些字符串,那就可以使用两个不在正则匹配范围内的字符串进行异或得到我们想要的字符串。

例 echo '?' ^ '~' ;

运行结果为:A

异或绕过的原理
异或规则:

相同为0,不同为1

1 xor 1 =0

0 xor 0 =0

1 xor 0 =1

0 xor 1 =1

继续拿实例

echo ' ! ' ^ ' s ' ;  //运行结果为 r

!和 S 异或出来的  r

​可以把1理解为真,0理解为假;那么就可以把“&”理解为“与”,“|”理解为“或”;**而对于“^”则是相同为就0**
​回到做题上来,我们只要知道我们想要的字符的对应哪两个字符异或,只需要找到正则里没有过滤的字符异或得到我们想要的字符

这里我们可以看一下p神的payload、

在p神的代码中,' _ ' 和 '  __ ' 和 ' ___ ' 是 构造的变量(因为preg_match()过滤了所有的字母,我们只能用下划线来作变量名。)

p神用的语句是

(在PHP5当中assert()的作用和eval()相似都是执行,但是eval是因为是一个语言构造器而不是一个函数,不能被可变函数调用,所以这种拼接的方法只能用assert而不能用eval。只不过eval()只执行符合php编码规范的代码,PHITHON师傅这里还有就是使用 变量 进行payload拼接)

把payload拼接组合一下就是:(仅phpPHP 7.0.12及以下版本可以使用)

$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`');$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']');$___=$$__;$_($___[_]);

这里传入了shell=assert($_POST[ _ ]),由于"_"不受限制就可以任意传值了。(这里有一个误区,就是仅传入shell=$_POST[ _ ],这样的确最终代码是eval($_POST[ _ ])了,但当外面的eval执行了之后,就仅剩下一个$_POST[ _ ]了,所以不行

因为有很多不可打印字符,所以使用url编码表示
然后只需要在POST里面传参

_=phpinfo();      

可以蚁剑连接了,密码为_

这个payload经测试PHP 7.0.12及以下版本可以使用,碰到更高的版本可能assert()不能使用了,可以换成eval()

另外一种绕过方法

payload:

${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=phpinfo

即 ​${_GET}{%ff}();&%ff=phpinfo

(这里是用 %ff%ff%ff%ff  %a0%b8%ba%ab 进行异或运算得到_GET)

任何字符与0xff异或都会取相反,这样就能减少运算量了。
注意:测试中发现,传值时对于要计算的部分不能用括号括起来,因为括号也将被识别为传入的字符串,可以使用{}代替,原因是php的use of undefined constant特性,例如${_GET}{a}这样的语句php是不会判为错误的,因为{}使用来 界定变量 的,这句话就是会将_GET自动看为字符串,也就是$_GET['a']

url编码取反绕过

我们可以构造payload:phpinfo();

此时我们就可以传入 (~%8F%97%8F%96%91%99%90)();

PHP利用PCRE回溯次数限制绕过某些安全限制

参考文章;PHP利用PCRE回溯次数限制绕过某些安全限制 | 离别歌

preg_match函数回溯次数上限默认是100万,我们可以通过发送超长字符串的方式,使正则返回bool(false)绕过限制

怎么修复PCRE带来的问题?

利用全等号===来判断返回值,这样即使返回了bool(false)也不会进入循环语句

5.intval函数绕过

intval函数用法:

参考文章:[WUSTCTF 2020]朴实无华:PHP 下的 intval 绕过技巧_intval( 绕过注入-CSDN博客

用于将其他类型的数据转化为整型数据

intval(mixed $value, int $base = 10): int

针对浮点数,intval函数采用的是“截断而非四舍五入”的方法

例如

intval函数的进制转换

intval() 函数的 $base 参数仅在 $value 参数的数据类型为 字符串 时生效

当我们需要将一个 采用 $base 进制的数值 转化为 十进制数值 时,需要 先将该数值转化为字符串 再交由 intval() 函数进行处理。

例如

实例是将八进制的3633转换为十进制,须为字符串类型时,才能生效转为十进制的1947

intval函数字符串解析规则(十进制)

intval函数字符串解析规则(其他进制)
扩充:二进制、八进制、十六进制的前缀
  • 0B (0b)表示二进制的前缀

例如:0B10101010111

  • 0O( 大写英文字母O) 表示八进制的前缀 (或者使用空格加上0 注意是空格加上0 即:" 0")

例如:" 076" 或者 "0O76"

  • 0x(0X)  表示十六进制的前缀

例如:0x18

intval函数字符串解析规则(科学计数法)

intval函数数组解析规则

转换数组类型时,不关心数组中的内容,只判断数组中有没有元素。

数组里面有元素,返回1

数组里面没有元素,返回0

取反

~取反符号

算数运算符

intval() 函数支持算数运算符,如果传入的 $var参数包含算数运算符,会先运算,再对运算结果进行转换。

intval函数绕过思路

参考文章:PHP intval()函数详解,intval()函数漏洞原理及绕过思路_intval函数-CSDN博客

1)当某个数字被过滤时,可以使用它的 8进制/16进制来绕过;比如过滤10,就用012(八进制)或0xA(十六进制)。
2)对于弱比较(a==b),可以给a、b两个参数传入空数组,使弱比较为true。
3)当某个数字被过滤时,可以给它增加小数位来绕过;比如过滤3,就用3.1。
4)当某个数字被过滤时,可以给它拼接字符串来绕过;比如过滤3,就用3ab。(GET请求的参数会自动拼接单引号)
5)当某个数字被过滤时,可以两次取反来绕过;比如过滤10,就用~~10。
6)当某个数字被过滤时,可以使用算数运算符绕过;比如过滤10,就用 5+5 或 2*5。

6.preg_replace \e模式下的代码执行

5.ezPOP

<?php
error_reporting(0);
highlight_file(__FILE__);class AAA
{public $s;public $a;public function __toString(){echo "you get 2 A <br>";$p = $this->a;return $this->s->$p;}
}class BBB
{public $c;public $d;public function __get($name){echo "you get 2 B <br>";$a=$_POST['a'];$b=$_POST;$c=$this->c;$d=$this->d;if (isset($b['a'])) {unset($b['a']);}call_user_func($a,$b)($c)($d);}
}class CCC
{public $c;public function __destruct(){echo "you get 2 C <br>";echo $this->c;}
}if(isset($_GET['xy'])) {$a = unserialize($_GET['xy']);throw new Exception("noooooob!!!");
} 

6.ezMake

7.ezSerialize

8.ezRCE

知识点:

1.str_split

将字符串转换为数组

str_split(string $string, int $length = 1): array

例:

如果指定长度,则

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/823613.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

node基础 第二篇

01 ffmpeg开源跨平台多媒体处理工具&#xff0c;处理音视频&#xff0c;剪辑&#xff0c;合并&#xff0c;转码等 FFmpeg 的主要功能和特性:1.格式转换:FFmpeg 可以将一个媒体文件从一种格式转换为另一种格式&#xff0c;支持几乎所有常见的音频和视频格式&#xff0c;包括 MP…

冲上热搜-奇安信今年的年终奖。。

最近,奇安信宣布全员无年终奖&#xff0c;同时冲上了脉脉热搜榜第一。作为网安界的一哥&#xff0c;奇安信的决定无疑给许多期待年终奖的员工带来了沉重的打击。 从公司内部的绩效考核机制来看,奇安信将员工分为了5个档次:S、A、B、B、B-。而大多数员工被评定为中等的B档,这意味…

【网络编程】web服务器shttpd源码剖析——命令行和文件配置解析

hello &#xff01;大家好呀&#xff01; 欢迎大家来到我的网络编程系列之web服务器shttpd源码剖析——命令行解析&#xff0c;在这篇文章中&#xff0c;你将会学习到在Linux内核中如何创建一个自己的并发服务器shttpd&#xff0c;并且我会给出源码进行剖析&#xff0c;以及手绘…

C++异常学习

C语言传统的处理错误的方式 传统的错误处理机制&#xff1a; 终止程序&#xff0c;如assert&#xff0c;缺陷&#xff1a;用户难以接受。如发生内存错误&#xff0c;除0错误时就会终止程序。返回错误码&#xff0c;缺陷&#xff1a;需要程序员自己去查找对应的错误。如系统的…

ES增强框架easy-es

因为最近做的功能是关于舆情的,所以数据量比较大的,本来打算用MySQL做时间分表来做,但是经过一段时间的测试,发现数据量太大,用时间分表不能满足性能的要求,所以决定将数据存储改为ES,但是短时间内改底层框架又不是一个小工程,时间上不允许,所以找到了一个很合适的框架,他跟myb…

深入理解JVM中的G1垃圾收集器原理、过程和参数配置

码到三十五 &#xff1a; 个人主页 心中有诗画&#xff0c;指尖舞代码&#xff0c;目光览世界&#xff0c;步履越千山&#xff0c;人间尽值得 ! 在Java虚拟机&#xff08;JVM&#xff09;中&#xff0c;垃圾收集&#xff08;GC&#xff09;是一个自动管理内存的过程&#xff…

华为海思校园招聘-芯片-数字 IC 方向 题目分享——第四套

华为海思校园招聘-芯片-数字 IC 方向 题目分享——第四套 (共9套&#xff0c;有答案和解析&#xff0c;答案非官方&#xff0c;仅供参考&#xff09;&#xff08;共九套&#xff0c;每套四十个选择题&#xff09; 部分题目分享&#xff0c;完整版获取&#xff08;WX:didadida…

「GO基础」起源与演进

&#x1f49d;&#x1f49d;&#x1f49d;欢迎莅临我的博客&#xff0c;很高兴能够在这里和您见面&#xff01;希望您在这里可以感受到一份轻松愉快的氛围&#xff0c;不仅可以获得有趣的内容和知识&#xff0c;也可以畅所欲言、分享您的想法和见解。 推荐:「stormsha的主页」…

一文讲明白什么是市场调研

本文主要介绍市场调研的主要步骤和工具方法&#xff0c;并简单介绍了淘宝在电商领域中市场调研的实践。 什么是调研 ▐ 定义 广义的含义&#xff0c;调研既是指市场调查&#xff0c;通过收集、分析和解释相关数据来达到了解企业现状、了解市场趋势、挖掘用户需求、确定产品研发…

『哈哥赠书 - 51期』-『数字风控体系:设计与实践』

⭐️ 赠书 - 《数字风控体系&#xff1a;设计与实践》 ⭐️ 数字风控概述 从2007年开始到2014年左右&#xff0c;高速移动网络和智能手机迅速在大众中普及&#xff0c;开启了移动互联网时代。在这个背景下&#xff0c;企业的产品与服务也出现了两个重要的趋势。 第一个趋势是…

VUE3 + Elementui-Plus 之 树形组件el-tree 一键展开(收起);一键全选(不全选)

需求&#xff1a; 产品要求权限树形结构添加外部复选框进行全部展开或收起&#xff1b;全选或不全选。 实现步骤&#xff1a; tree组件部分&#xff1a; <div class"role-handle"><div>权限选择(可多选)</div><div><el-checkbox v-mode…

Git回滚版本并push到远端master

1、查看日志 git log 2、还原最近的版本 () --git reset --hard commit-id 如&#xff1a;git reset --hard d84da14bf2743683eca7a015f56114faaa344f42 3、覆盖分支版本 git push -f origin dev 回滚本地master完成后&#xff0c;将回滚后的代码push到远端master&#xf…

C++笔记:异常

文章目录 C 运行时错误处理机制及其不足之处C 异常概念异常的使用异常的抛出和匹配原则在函数调用链中异常栈展开匹配原则异常的重新抛出举例演示说明例子一&#xff1a;串联举例演示大部分原则例子二&#xff1a;模拟服务器开发中常用的异常继承体系例子三&#xff1a;异常的重…

C++初级----list(STL)

1、 list介绍 1.1、 list介绍 1.list是可以在常数范围内在任意位置进行插入和删除的序列式容器&#xff0c;并且该容器可以前后双向迭代。 1. list的底层是双向链表结构&#xff0c;双向链表中每个元素存储在互不相关的独立节点中&#xff0c;在节点中通过指针指向 其前一…

集成定制化软件的销售推广渠道有哪些?

集成定制化软件的销售推广渠道可以包括以下几个方面&#xff1a; 一、线上渠道&#xff1a; 官方网站&#xff1a;建立专业的官方网站&#xff0c;展示软件的功能、优势、案例等&#xff0c;提供试用或购买链接。社交媒体&#xff1a;利用微博、微信、抖音等社交媒体平台&#…

SpringBoot中的动态编程实战原来是这么玩的

Java 开发已经有越来越多的 Groovy 出现在后台了。 而对于一般的应用开发&#xff0c;只要能用 Java 就都能用到 Groovy&#xff0c;唯一的难点只在于能不能招到足够的人员。 注&#xff1a;今天我们分享的就是利用Groovy脚本在SpringBoot项目中实现动态编程&#xff0c;使业务…

【YOLOv8改进[Neck]】使用BiFPN助力V8更优秀

目录 一 BiFPN(双向特征金字塔网络) 1 BiFPN 2 EfficientDet 二 使用BiFPN助力模型更优秀 1 整体修改 2 配置文件 3 训练 其他 一 BiFPN(双向特征金字塔网络) BiFPN(双向特征金字塔网络&#xff0c; 2020)用于特征融合层。 官方论文地址&#xff1a;https://arxiv.org…

鸢尾花数据集分类(决策树,朴素贝叶斯,人工神经网络)

目录 一、决策树 二、朴素贝叶斯 三、人工神经网络 四、利用三种方法进行鸢尾花数据集分类 一、决策树 决策树是一种常用的机器学习算法&#xff0c;用于分类和回归任务。它是一种树形结构&#xff0c;其中每个内部节点表示一个特征或属性&#xff0c;每个分支代表这个特征…

Spring容器结构

文章目录 1.基本介绍1.Spring5官网2.API文档3.Spring核心学习内容4.几个重要概念 2.快速入门1.需求分析2.入门案例1.新建Java项目2.导入jar包3.编写Monster.java4.src下编写Spring配置文件1.创建spring配置文件&#xff0c;名字随意&#xff0c;但是需要放在src下2.创建Spring …

SparkUI 讲解

目录 Executors Environment Storage SQL Exchange Sort Aggregate Jobs Stages Stage DAG Event Timeline Task Metrics Summary Metrics Tasks &#x1f490;&#x1f490;扫码关注公众号&#xff0c;回复 spark 关键字下载geekbang 原价 90 元 零基础入门 Spar…