BugKu Web WP

变量1

这道题要好好说一下，因为以前不太知道这个套路。

我们来看看源码：

这个代码最重要的两部分：一是正则匹配，对我们输入的进行检查。二是 var_dump($$args) 这句代码。

我们可以想到如果我们的 $args 的值刚好是这个php代码中的一个变量名称，那么我们是不是就可以通过 $$args 将这个变量打印出来了。例如：

那么接下来，我们就该想到，我们的 $args 应该是什么，才能把 flag 打印出来呢？

我们来了解一下 php 中的一个全局数组变量 GLOBALS

$GLOBALS 是一个关联数组，每一个变量为一个元素，键名对应变量名，值对应变量的内容。$GLOBALS 之所以在全局范围内存在，是因为 $GLOBALS 是一个超全局变量。以下范例显示了超全局变量的用处：

所以我们可以将 $args 的值设为 GLOBALS，这样我们会将 Php代码中的所有变量全都打印出来。

Web5

提示了JSFuck, 直接看网页源代码，然后发现了一大堆JSFuck的编码，直接解码即可

头等舱

感觉是为了让大家熟悉 burp suite 的用法，直接抓包看响应包头即可。

网站被黑

这道题重点是为了告诉大家在实战中善用扫描器。

不过，我刚开始使用脚本扫描没有扫到这个 shell.php，后来换了御剑扫描器，就扫到了。

访问 shell.php，这里应该就很简单了，弱密码可以直接使用 burp suite 爆破解密。

Web4

我们查看源码，里面是 url 加密的。

我将上面的进行url 解密整理之后，得到了如下代码：所以很简单，我们就得到了password的值。

Cookies欺骗

这道题涉及到文件包含的问题，大家可以自己多去了解一下文件包含漏洞。

我们可以发现这里访问的filename 是一个base64加密的，所以我们对其进行解密，发现他是 keys.txt。所以我们更改他的值为 index.php，读取 index.php的内容。读取的第一行如下：

当我们将整个index.php读取完的代码如下：

这个代码逻辑很简单，我们只需要将我们的cookie设置为 margin 就可以读取 keys.php的内容。

那么我们用burp suite 将cookie设置为 margin，将 filename 设置为 keys.php 的base64加密。

成绩单

这道题是一个 sql 注入。

题目正常，没有对我们的注入语句进行过滤，所以我们可以按照正常的注入语句，一步一步爆出flag。

下面是爆表爆列名爆flag 的注入语句：

0'Union select 1, table_name ,3,4 from information_schema.tables where table_schema = 'skctf_flag'#

0' union select 1,column_name,3,4 from information_schema.columns where table_name='fl4g' #


0' union select 1,skctf_flag,3,4 from fl4g #

点击一百万次

这道题我们直接查看JS,发现我们点击的次数需要 > 100000，刚开始我以为只需要修改本地JS的代码，就准备将 1000000 修改小一点，后来发现不行。是因为他会将我们的点击次数发送给后台，所以我们这里需要修改的是我们的点击次数。

那么我们直接使用 hackbar 工具，将我们的 clicks 变量修改为 1000000 发送给服务器。

请输入密码

这道题，直接使用 burp suite 进行爆破

flag在index里

看到如下的url 形式，我们就想到了和上面类似的漏洞本地文件包含漏洞，所以我们直接读取 index.php的内容，为了将

index.php的内容一次读取完，我们将其进行 Base64 编码，然后在进行解密。

解密的代码如下：

Never give up

直接查看源码：

发现了一个网址，我们访问，但是这里发现访问这个网址会被重定向到另一个网页，所以我们直接查看这个网页的源码：

我们发现了许多加密的密文，这段密文首先需要先用 url 解密，再用 base64 解密，解密之后的代码如下：

";if(!$_GET['id'])
{
	header('Location: hello.php?id=1');
	exit();
}
$id=$_GET['id'];
$a=$_GET['a'];
$b=$_GET['b'];
if(stripos($a,'.'))
{
	echo 'no no no no no no no';
	return ;
}
$data = @file_get_contents($a,'r');
if($data=="bugku is a nice plateform!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
{
	require("f4l2a3g.txt");
}
else
{
	print "never never never give up !!!";
}
?>

这里就是一个代码审计的问题了：

首先 $id == 0，这个可以通过 PHP 的弱比较，直接绕过。

然后是 $b 需要长度大于 5，同时 eregi("111".substr($b,0,1),"1114")，也就是 111 和 $b 的第一个字符连接需要和 1114匹配，还有 substr($b,0,1)!=4 $b的第一个字符不能是4。那么这个如何绕过呢？我们想到了 0x00 截断，也就是 substr($b,0,1) 函数在读取$b中的字符时，如果中途遇见了 0x00 也就是空格，那么他就会停止读取，直接返回。如果我们这里将 $b 的第一个字符设置为 0x00，那么再读取到 $b 的第一个字符时，碰见空格， substr就会返回。同时 111 与 1114 匹配。 $b的第一个字符为空格不为4。所以我们就成功进行了绕过。

最后 $data = @file_get_contents($a,'r'); $data=="bugku is a nice plateform!" 。也就是从 $a 文件中读取出来的内容要为这个字符串。

看到 file_get_contents() 函数，我们就想到了文件写漏洞，我们可以使用 php://input，将我们的 post 的内容写入 $a 这个文件。关于这个漏洞其实是和文件包含漏洞一体的，大家可以自行研究。

那么我们最终的输入如下：

此处，注意 $b 的第一个字符如果输入 0x00, 那么在上传时也会被截断，所以我们将其修改为 url 编码的 %00。

过狗一句话

这道题我们根据提示，其实可以发现是 assert() 命令执行漏洞。那么我么可以将 $s 的值设为我们想要执行的命令。

那么我们可以输入查看当前路径文件命令，这个命令我找了很久也找了很多个，最终发现这个可以成功，其他的都没有尝试成功，找到了有一个 flag.txt。直接进去查看即可。

前女友

看到这题，题目感觉像是出题人的真实情感经历，哈哈！

代码审计： md5 这个都很熟悉了，主要是有两种绕过方法：一是我们传入数组对象，因为数组对象在进行md5 加密时，都会返回 false，所以因为弱比较我们可以直接绕过。第二种是：因为弱比较，所以如果我们比较一个以数字开头但是后面是字母的字符串时，弱比较只会比较刚开始的数字是否相同。所以这里就存在一个漏洞，我们可以查找那些 md5值的开头数字值相同的字符串，这样也可以绕过，下面我放几个我经常用的这种字符串，他们产生的md5 值都是以 0e 开头：