SUCTF 2019 Upload Labs 2
[SUCTF 2019]Upload Labs 2解题分析源码我就先不贴了，github上有
index.php会限制上传文件后缀(“gif”, “jpeg”, “jpg”, “png”)，路径做了md5加密
func.php有一些过滤，返回文件的MIME
config.php看英语是xml给disable了，应该是防xss的…
class.php比较重要了，其中finfo_file跟phar反序列化有关
admin.php，讲真的，就看懂了限制127.0.0.1,前面一坨写的啥我也看不懂。。。
先了解一下前置知识
phar反序列化phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容。(漏洞利用点)
什么是phar文件
在软件中，PHAR（PHP归档）文件是一种打包格式，通过将许多PHP代码文件和其他资源（例如图像，样式表等）捆绑到一个归档文件中来实现应用程序和库的分发
php通过用户定义和内置的“流包装器”实现复杂的文件处理功能。内置包装器可用于文件系统函数，如(fop ...
CTF--Proc目录的应用
[CTF]proc目录的应用proc目录的运用/proc目录Linux系统上的/proc目录是一种文件系统，即proc文件系统。与其它常见的文件系统不同的是，/proc 是一种伪文件系统（也即虚拟文件系统），存储的是当前内核运行状态的一系列特殊文件，用户可以通过这些文件查看有关系统硬件及当前正在运行进程的信息，甚至可以通过更改其中某些文件来改变内核的运行状态。
简单来讲，/proc 目录即保存在系统内存中的信息，大多数虚拟文件可以使用文件查看命令如cat、more或者less进行查看，有些文件信息表述的内容可以一目了然，但也有文件的信息却不怎么具有可读性。
/proc 目录中包含许多以数字命名的子目录，这些数字表示系统当前正在运行进程的进程号(PID)，里面包含对应进程相关的多个信息文件：
1ls -al /proc
每一个进程对应许多相关文件
1ls -al /proc/1289
一些常见的进程文件：
cmdlinecmdline 文件存储着启动当前进程的完整命令，但僵尸进程目录中的此文件不包含任何信息。可以通过查看cmdli ...
Fastjson全版本检测及利用
91c827ed6356faec7d5d54af17272f1da0cf8a1bbaf182e09375a182ffaf87c9c2a8a8b97f9ed797312b31d8508469d9c6272df6408799508a8c1e9b9d722b8f0aa6f2fb1c9e8ece6e5205a2b1b97f1249bc89860527cfdccd623e6dd2d968d975e082edb1d0453009f148ece5b1b69ff16b39abbb3f1da720e932d2d834b912bfa8dded072c9612f46af9cc809b014882147c7a88fbdbd711b2225a547b6ecb0570d586647b02f6d440a53f4e0ae670828dcc5e3d217f4efd90a65123295831d34f6354fec891669db58d0b6380267cdc83527026b8e530185a3b96821abded02bdf882f5853bee2ff9974ca6895bf1a9bbdaaf62db18407 ...
最近的一些小自述吧
83433ea486119d7dc207c4e82ca6353e1b74aacdae3cff7174398ea6d1f64e1ca9d4d0f543b493cfe5e6c0966ae8a1e5138b0119aac6bae350b8c84b943c19aafdc48b41bb9caca2060e4817cd4d6e77746b3cf72d84e021319b875eb7b55db4bd8895e835eb3f9a7c9a527409264efa1f3b3a75be3e5cc71ef058c771f722e2fc1ea3150cf15b42bfda5c0b7ef5701ac08e6445b965309ccdcdc2088025e66257eed105967ddb25f35dfe4ed5e353a41c63312c928d86503748f2aa93563771be7760549f35332d3ca33762b6c449033e5ad6b24e6794249a1419aa6c6a0e135fb067b689bcab515500b3a32e91b9367266b6fdb572ba7e2 ...
2024WKCTF Wp
2024WKCTF wpWebqiandao页面源码提示？file+flag在根目录下
直接读flag
ez_tp
蚁剑连上
ez_phphint.php
发现Can you find index.php ?source_code
猜测可以读源码
想读index.php,发现直接卡死，那应该是文件包含了
配合伪协议读取源码
1http://110.40.35.73:15558/index.php?source_code=php://filter/convert.base64-encode/resource=index.php
1234567891011121314151617181920212223242526272829303132333435363738394041424344454647<html><head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/> <title>Uplo ...
打靶-Lazysyadmin
打靶-Lazysyadmin前言Lazysysadmin靶场下载：
https://download.vulnhub.com/lazysysadmin/Lazysysadmin.zip
渗透过程1arp-scan -l
nmap -sV 192.168.31.224 -A
22：可能存在ssh服务；
80：http服务；
139：NetBIOS/SMB服务，可能存在共享文件；
3306 mysql
先扫扫目录
发现用户名可能有用吧
看到6667端口有irc
什么是IRC
IRC（Internet Relay Chat的缩写，“因特网中继聊天”）是一种透过网络的即时聊天方式。其主要用于群体聊天，但同样也可以用于个人对个人的聊天。IRC使用的服务器端口有6667（明文传输，如irc://irc.freenode.net）、6697（SSL加密传输，如ircs://irc.freenode.net:6697）等。
芬兰人雅尔可·欧伊卡利宁（Jarkko Oikarinen）于1988年8月创造了IRC来取代一个叫做MUT的程序。
简单说明
不需要注册，但要在连接前设 ...
AWDP
AWDP国赛加油啊！！
全全的waf喂满我
123456789101112function wafrce($str){ return !preg_match("/openlog|syslog|readlink|symlink|popepassthru|stream_socket_server|scandir|assert|pcntl_exec|fwrite|curl|system|eval|assert|flag|passthru|exec|chroot|chgrp|chown|shell_exec|proc_open|proc_get_status|popen|ini_alter|ini_restore/i", $str);}function wafsqli($str){ return !preg_match("/select|and|\*|\x09|\x0a|\x0b|\x0c|\x0d|\xa0|\x00|\x26|\x7c|or|into|from|where|join|sleexml|extractvalue|+|r ...
打靶-Hacksudo-Thor
打靶-hacksudo-Thor前言靶机下载地址：https://download.vulnhub.com/hacksudo/hackdudo2.rar
靶机ip:192.168.31.210
kali ip：192.168.31.215
靶机难度：中等
目标：取得root权限
渗透过程开局依旧给ip
直接扫
1nmap -sV 192.168.31.210 -A
开放饿了21 22 80端口
扫目录吧
好多页面都需要登录，找找密码吧
/README.md存在信息泄露，发现项目地址
zakee94
发现账号密码admin/password123
尝试登录
最后在这个页面登录成功
里面可以看到其他用户的信息，包括账号密码
额，暂时没发现有啥用
继续看其他目录
news.php发现!– cgi-bin —!>
有问题，破壳漏洞，之前在Ctfshow大赛原题做过
使用dirsearch对/cgi-bin这个目录进行爬取，找cgi和sh结尾的目录，在这里我们找到了两个目录/cgi-bin/backup.cgi和&# ...
网鼎杯 2020 青龙组-Filejava
[网鼎杯 2020 青龙组]filejava上传文件过后对下载文件进行抓包发现存在任意文件读取
尝试读取flag发现禁止读取
将web.xml下的类都读取一遍看看
123456DownloadServlet?filename=../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/DownloadServlet.class DownloadServlet?filename=../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/ListFileServlet.class DownloadServlet?filename=../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/UploadServlet.class
发现 ...
打靶-Moneybox
打靶-Moneybox前言靶场下载：http://www.vulnhub.com/entry/moneybox-1,653/#download靶机和攻击机均为桥连模式
ip网段在192.168.31.0/24下
渗透过程1arp-scan -l
扫主机
扫描开放端口
1nmap -sV 192.168.31.8 -A
发现开放了21 22 80端口，且21端口利用anonymous可以登陆
登陆之后只有一张图片
1get trytofind.jpg
查看了也没啥
1gwenview trytofind.jpg
访问80端口，啥也没有
扫目录
源代码里藏东西了
1<!--the hint is the another secret directory is S3cr3t-T3xt-->
提示在另一个秘密字典里S3cr3t-T3xt
拿到一个key Secret Key 3xtr4ctd4t4
猜测应该和图片有关，
1steghide extract -sf trytofind.jpg
123456Hello..... renu ...