偶然看到的刷一刷

-w1083

签到题~

进入题目

-w917

既然签到题F12一下

-w723

真的发现了，有提示打开那个js

-w1192

跑一下就有flag了

你知道正则么？

源码审计

<?php 
highlight_file(__FILE__); 
include('flag.php');  
if (isset ($_GET['jdctf'])) { 
    if (@ereg ("^[1-9]+$", $_GET['jdctf']) === FALSE) 
        echo "must input number!"; 
    else if (strpos ($_GET['jdctf'],'#biubiubiu') !==FALSE) 
        die('FLAG:'.$flag); 
    else 
        echo 'try again'; 
} 
?>

总共两个判断
第一个函数是ereg可以用%00绕过
第二个函数strpos用来判断该字符串中有没有#biubiubiu
因为#在url中有特殊含义所以得用url编码
payload:
http://jdctfweb.ngrok.xiaomiqiu.cn/web3-re/?jdctf=123%00%23biubiubiu

image

还记得hash么?

还是源码

<?php 
error_reporting(0);  
include_once('flag.php');  
highlight_file('index.php');   

$md51 = md5('QNKCDZO');  
$a = $_GET['b'];  
$md52 = md5($a);  
if(isset($a)){  
if ($a != 'QNKCDZO' && $md51 == $md52) {  
    echo $flag;  
} else {  
    echo "false!!!";  
}}  
?>

很简单呀=。=
就是拿一个经常用的
240610708

image

皮皮更健康~

进题目

image

image

image

image

image

image

image

这里有http://ctf.ssleye.com/cvencode.html

-w1156

image

综合实力考察

image

-w222

1. vim备份文件

   默认情况下使用Vim编程，在修改文件后系统会自动生成一个带~的备份文件，某些情况下可以对其下载进行查看；
   index.php普遍意义上的首页，输入域名不一定会显示。 它的备份文件则为index.php~

2. vim临时文件

   vim中的swp即swap文件，在编辑文件时产生，它是隐藏文件，如果原文件名是submit，则它的临时文件 .submit.swp。如果文件正常退出，则此文件自动删除。

找了很久在index.php~发现了。。
源码

<?php
header('content-type:text/html;charset=utf-8');
include './flag.php';
error_reporting(0);
if(empty($_GET['id'])){
    header('location:./1ndex.php');
}else{
    $id = $_GET['id'];
    if (!is_numeric($id)) {
        $id = intval($id);
        switch ($id) {
            case $id>=0:
                echo "蹇嚭鍘诲惂锛岃蛋閿欒矾浜嗭綖锝烇綖<br>";
                echo "杩欎箞绠€鍗曢兘涓嶄細涔堬紵";
                break;
            case $id>=10:
                exit($flag);
                break;
            default:
                echo "浣犺蛋涓嶅埌杩欎竴姝ョ殑!";
                break;
        }
    }
}

?>

这样就过了

-w429

image

PHP

F12源码 23333我喜欢

$user = $_GET["user"];
$file = $_GET["file"];
$pass = $_GET["pass"];
 
if(isset($user)&&(file_get_contents($user,'r')==="the user is admin")){
    echo "hello admin!<br>";
    include($file); //class.php
}else{
    echo "you are not admin ! ";
}

file_get_contents出来的内容要和the user is admin相等用php的伪协议php://input
post里面放 the user is admin

-w1088

<?php
 
class Read{//f1a9.php
    public $file;
    public function __toString(){
        if(isset($this->file)){
            echo file_get_contents($this->file);    
        }
        return "__toString was called!";
    }
}
?>

反序列化
f1a9.php读不到
读一下index.php的代码

<?php
$user = @$_GET["user"];
$file = @$_GET["file"];
$pass = @$_GET["pass"];
 
if(isset($user)&&(file_get_contents($user,'r')==="the user is admin")){
    echo "hello admin!<br>";
    if(preg_match("/f1a9/",$file)){
        exit();
    }else{
        include($file); //class.php
        $pass = unserialize($pass);
        echo $pass;
    }
}else{
    echo "you are not admin ! ";
}
 
?>
 
<!--
$user = $_GET["user"];
$file = $_GET["file"];
$pass = $_GET["pass"];
 
if(isset($user)&&(file_get_contents($user,'r')==="the user is admin")){
    echo "hello admin!<br>";
    include($file); //class.php
}else{
    echo "you are not admin ! ";
}
 -->

原来是因为有一个f1a9的waf怪不得读不到
只要构造一个反序列化 来输出flag

-w496

-w213