-
[FSCTF 2023] web题解
源码！启动!
打开题目，发现右键被禁了
直接ctrl+u查看源码得到flag
webshell是啥捏
源码
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
php中变量与变量之间用点号连接表示拼接
题目拼接结果为passthru
那么我们直接ls /
得到flag
细狗2.0
简单的命令执行绕过
payload?hongzh0=;ca\t$IFS$1/fl*g- 1
得到flag
ez_php1
源码
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
分析一下，就是简单的MD5绕过和php解析特性
得到hint
访问./L0vey0U.php- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
exp
- 1
- 2
- 3
得到第二个hint
访问./P0int.phpa = file_get_contents("php://filter/read=convert.base64-encode/resource=g0t_f1ag.php"); } public function __destruct() { echo $this->b; } } @unserialize($_POST['data']); ?>- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
非常简单的变量引用
exp如下b=&$C->a; echo serialize($C);- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
解码得到flag
Hello,you
简单的命令注入，用分号隔断命令
1;ls- 1
反斜杠绕过和星号绕过1;ca\t f*- 1
EZ_eval
源码
". $word); }else{ highlight_file(__FILE__); }- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
简单分析下，eval函数中已经闭合前面
?>，那么我们要自己输入php的头，由于问号被过滤了
这里用secript（文件上传做的多会很快想到），然后就是一些常规过滤，用%09代替空格，反斜杠绕过关键字检测?word=- 1
得到flag
巴巴托斯！
前面按照要求来修改
然后试试目录穿越，查看用户信息
想尝试直接读，发现有报错，且为include函数
直接php伪协议读取
解码得到flag
是兄弟，就来传你の🐎！
考点：文件头BM绕过，pht后缀绕过
打开题目，提示上传php文件
直接上传一句话木马，发现不行
修改MIME还是不行
经过测试，.pht后缀可以
然后是添加文件头
提示不能有php
把php改为等于号
提示长度过长
这里有好几种payload，如下
payload1BM- 1
注：nl命令读取根目录下所有文件
payload2
BM
- 1
payload3
GIF- 1
访问得到flag
CanCanNeed
考点：create_function命令执行
源码如下
param1;
$b=$this->param2;
if(preg_match('/fil|cat|more|tail|tac|less|head|nl|tailf|ass|eval|sort|shell|ob|start|mail|\`|\{|\%|x|\&|\*|\||\<|\"|\'|\=|\?|sou|\.|log|scan|chr|local|sess|b2|id|show|cont|high|reverse|flip|rand|source|arra|head|light|print|echo|read|inc|flag|1f|info|bin|hex|oct|pi|con|rot|input|y2f/i', $this->param2)) {
die('this param is error!');
} else {
$a('', $b);
}
}
}
if (!isset($_GET['file'])){
show_source('index.php');
echo "Hi!Welcome to FSCTF2023!";
}
else{
$file=base64_decode($_GET['file']);
unserialize($file); }
?>
Hi!Welcome to FSCTF2023!
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
反序列化用base64编码绕过，然后就是简单的过滤关键字，利用create_function内部执行eval函数
exp如下
