目录
1、web21
2、web22
3、web23
4、web24
1、web21
爆破什么的,都是基操
需要认证才能访问
随便输一个用户名和密码抓包看看:
多出来一个认证的头 Authorization: Basic YWRtaW46MTIzNDU2
base64 解码看看:
就是我们刚才输入的用于测试的用户名和密码
发到攻击模块进行爆破,设置爆破的位置
有限载荷选择自定义迭代器,因为它这里的用户名和密码合并在了一起,使用冒号隔开的,如果是相互独立的参数,多个参数我们会采用其他的攻击模式而不是使用狙击手。
设置位置一:用户名(其实一般我们猜都是猜 admin )
设置位置二:冒号
设置位置三:密码
我这里最开始用字典没爆破出来,看了它的提示,密码是 shark63(这里主要是做测试)
之后我们需要对 payload 进行base64 编码
注意这里需要将 URL 编码取消掉:
查看爆破结果,筛选长度不同的:YWRtaW46c2hhcms2Mw==
解码为:
登录:
拿到 flag:ctfshow{1ccf243b-8b20-4db4-b956-8c571066c0c5}
参考了一下它这个代码,有点问题:
自己重新写了个简单的:其中 test.txt 是我们自定义的一个密码字典
import requestsimport base64url = 'https://bc4afed2-ccc8-4ecc-a665-be5a5420435c.challenge.ctf.show/'with open("test.txt", "r") as f: for i in f: i = i.strip() payload = "admin:"+i header = {"Authorization": "Basic {}".format(base64.b64encode(payload.encode()).decode())} # payload.encode() 将字符串 payload 转换为字节串 re = requests.get(url, headers=header) # print(re.status_code) if re.status_code == 200: print(re.text)
运行即可拿到 flag:ctfshow{3233c118-e8d4-461e-aba5-ba801a420a31}
2、web22
域名也可以爆破的,试试爆破这个ctf.show的子域名
flag.ctf.show 页面无法访问(前面有一个查这个域名的 DNS 的 TXT信息的题也是有问题)
使用 layer 挖一下 ctf.show 的子域名
网上说是在 vip.ctf.show ,将鼠标悬停在标题处,但是我试了一下现在已经不行了
flag 为:flag{ctf_show_web}
3、web23
还爆破?这么多代码,告辞!
php 函数介绍:
(1)intval 函数用于将变量转换为整数
示例:
echo intval("42"); // 输出 42echo intval("42abc"); // 输出 42echo intval("abc42"); // 输出 0
(2)substr 函数用于从字符串中提取子字符串
用法:
$substring = substr($string, $start, $length);
参数说明:
string:要提取子字符串的字符串。
start:开始位置,从 0 开始。如果是负数,则从字符串末尾开始计算位置。
length(可选):提取的子字符串长度。如果省略,则提取从 start 到字符串末尾的所有字符。
示例:
echo substr("Hello, world!", 4);echo substr("Hello, world!", 4, 5);
代码审计:
以 get 方式提交参数 token;
md5($_GET['token']) 会将 token 参数转换为一个 32 字符的十六进制字符串;
substr($token, 1,1) === substr($token, 14,1) && substr($token, 14,1) === substr($token, 17,1)
比较 MD5 哈希的第 2、15 和 18 个字符是否相同;
(intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1) === intval(substr($token, 31,1)) 将第 2、15 和 18 个字符转换为整数相加,再除以第 2 个字符的整数值,检查结果是否等于第 32 个字符的整数值;
上述条件都满足则会输出 flag。
写个Python 脚本来遍历出符合要求的字符串:
import hashlibimport itertoolsdef check_token(token): """ 检查给定的 token 是否符合特定的条件。 1. token 的 MD5 哈希值的第 2、15 和 18 个字符相同。 2. 这些字符的整数值与第 32 个字符满足特定的算术关系。 """ hashed_token = hashlib.md5(token.encode()).hexdigest() # 条件1:检查第 2、15 和 18 个字符是否相同 if not (hashed_token[1] == hashed_token[14] == hashed_token[17]): return False # 条件2:检查特定的算术关系 try: char1 = int(hashed_token[1]) char31 = int(hashed_token[31]) # 避免除零错误 if char1 == 0: return False if (3 * char1) / char1 == char31: # 第 2、15 和 18 个字符是相同的,因此它们转成整数值也是相同的,所以直接用 3 倍关系 return True except ValueError: return False return False# 定义包含所有字母和数字的字符集characters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"# 遍历所有可能的组合(这里以长度为1到5为例,可以根据需要调整)for length in range(1, 6): # 尝试长度从 1 到 5 的组合 for candidate in (''.join(c) for c in itertools.product(characters, repeat=length)): if check_token(candidate): print(f"符合条件的 token 是: {candidate}") break # 找到符合条件的 token 后停止 else: continue # 如果内循环没有中断,则继续外循环 break # 找到符合条件的 token 后,退出外循环else: print("没有找到符合条件的 token") # 如果所有组合都不符合条件,输出消息
构造 payload:?token=ZE
拿到 flag:ctfshow{3ee12286-7b8f-4962-bf3c-ebbc8c04ce10}
4、web24
爆个?
代码审计:
mt_srand(372619038); 使用 mt_srand() 函数设置 Mersenne Twister 随机数生成器的种子为固定值 372619038,这会使随机数生成器生成的随机数序列在每次运行时都相同,因为种子值固定了;if(intval($r)===intval(mt_rand())){ 检查 GET 参数 r 转换为整数后是否等于调用 mt_rand() 生成的随机数的整数值,等于则输出 flag。
我们只需要使用给定的种子生成对应的随机数再转为整数即可
<?php mt_srand(372619038); echo intval(mt_rand());?>
运行得到:1155388967,传给 r
拿到 flag:ctfshow{8e8f18d8-f1b5-465d-b27a-1738b6909279}