[RCTF2019]Nextphp
# [RCTF2019]Nextphp
<?phpif (isset($_GET['a'])) { eval($_GET['a']);} else { show_source(__FILE__);}非常简洁的页面：包禁了好多函数的直接 phpinfo...
more...
[FBCTF2019]Event
# [FBCTF2019]Event
#
进入是这样的
直接注册 / 登录：
F12 发现有个 event_important 参数：用__dict___发现有回显，为 ssti
发现有可疑的 session user，可能在环境变量里面有密钥：
直接：
__class__.__init__.__globals__[app].config
密钥：
fb+wwn!n1yo+9c(9s6!_3o#nqm&&_ej$tez)$_ik36n8d7o6mr#y
有密钥后：
from flask import Flaskfrom flask.sessions...
more...
[SWPU2019]Web3
# [SWPU2019]Web3
F12 发现可疑 session：
用一些解密 session 的脚本运行：（flask-unsign（无需密钥），flask_session_cookie_manager (需要密钥)）
得到：
{'id': b'100', 'is_login': True, 'password': 'admin', 'username': 'admin'}
怀疑是 id 的原因，不能 upload（可以怀疑是 linux...
more...
[PwnThyBytes——2019]Baby_SQL
# [PwnThyBytes——2019]Baby_SQL
ctrl+u 最下面：
</script> <!-- /source.zip --></body></html>下载发现 /template 目录下的漏洞：
!isset($_SESSION) AND die("Direct access on this script is not allowed!");
include 'db.php';
$sql = 'SELECT...
more...
[CSAWQual2016]i_got_id
# [CSAWQual2016]i_got_id
开局三个超链接：
helloworld 提示 perl：
Forms 登陆页面，没有有用的信息，正常显示，无二次注入点，SQL 注入，ssti 都没有
就是 files 上传文件了，可以发现要上传 perl 文件：
直接猜测后端代码：
use strict;use warnings;use CGI;my $cgi= CGI->new;if ( $cgi->upload( 'file' ) ){my $file= $cgi->param( 'file' );while (...
more...
[GYCTF2020]NodeGame-nodejs
# [GYCTF2020]NodeGame-nodejs
源码：
var express = require('express');var app = express();var fs = require('fs');var path = require('path');var http = require('http');var pug = require('pug');var morgan = require('morgan');const multer =...
more...
[watevrCTF-2019]PickleStore
# [watevrCTF-2019]PickleStore
题目名字的描述就是 pickle，感觉就是 pickle 反序列化，F12cookie 是
session=gAN9cQAoWAUAAABtb25leXEBTfQBWAcAAABoaXN0b3J5cQJdcQNYEAAAAGFudGlfdGFtcGVyX2htYWNxBFggAAAAYWExYmE0ZGU1NTA0OGNmMjBlMGE3YTYzYjdmOGViNjJxBXUu
pickle：
# pickle.dumps( obj )
序列化对象，并将结果数据流写入到文件对象中。参数 protocol 是序列化模式，默认值为...
more...
[羊城杯2020]Blackcat
# [羊城杯 2020] Blackcat
源码看看：发现他要我们听听歌，发现可以下载，直接编辑一下发现：
#
if(empty($_POST['Black-Cat-Sheriff']) || empty($_POST['One-ear'])){ die('$clandestine = getenv("clandestine");if(isset($_POST['White-cat-monitor'])) $clandestine = hash_hmac('sha256',...
more...
