南邮CTF-部分题目writeup

1.签到题

题目非常简单，在审查元素中就可以发现flag

题目传送门：http://chinalover.sinaapp.com/web1/

2.md5 collision

这道题利用了php的弱比较和md5值碰撞

而源码要求a和QNKCDZO的md5值相同，但a和它不相等

QNKCDZO的md5值为：0e830400451993494058024219903391

php在用==做比较的时候会将0e开头的数字视为0

因而只需要让a的md5值为0e开头即可解出，我们赋予a：s878926199a

题目传送门：http://chinalover.sinaapp.com/web19/

源码（PHP）

$md51 = md5('QNKCDZO');
$a = @$_GET['a'];
$md52 = @md5($a);
if(isset($a)){
if ($a != 'QNKCDZO' && $md51 == $md52) {
    echo "nctf{*****************}";
} else {
    echo "false!!!";
}}
else{echo "please input a";}

3.签到2

题目传送门：http://teamxlc.sinaapp.com/web1/02298884f0724c04293b4d8c0178615e/index.php

题目要求我们输出芝麻开门的口令，审计网站代码时发现maxlength为10，而我们需要输入的值有11位

因此我们既可以使用burp截断后，赋予值，也可以在网站处将maxlength改为11

4.这题不是web

题目传送门：http://chinalover.sinaapp.com/web2/index.html

进去发现只有一张图片，好吧我们下载这张图片

然后我选择使用记事本打开，拉到最后，惊奇的发现了flag..好吧。。真的不是web

5. 层层递进

题目传送门：http://chinalover.sinaapp.com/web3/

进去之后先申代码。。找了好久发现有一个SO.html,在SO里发现了S0.html…好吧再进S0.html,依次发现了SO.htm,S0.htm,好吧这也许就叫做层层递进吧。。终于我们发现了404.html，进去之后在一堆注释里发现了flag…得亏眼睛尖啊。。

开始还手贱点了后退。。。心塞塞的。。

6.单身20年

题目链接：http://chinalover.sinaapp.com/web8/

申代码的时候发现了./search_key.php，点击进去被重定向到no_key_is_here_forever.php

那么用burp抓包->发到中间人->Go,得到flag

7.php decode

题目传送门：https://cgctf.nuptsast.com/challenges#Web

申代码，发现字符串经过了gzinflate和base64_decode的加密，这里只有一层加密，所以只需要把eval改成echo运行就可以了

8.文件包含

题目传送门：http://4.chinalover.sinaapp.com/web7/index.php

可以通过构造file=php://filter/read=convert.base64-encode/resource=index.php

LFI是能够打开并包含本地文件的漏洞，我们使用伪协议来访问

然后base64解码便可以得到flag

9.AAencode

题目传送门：http://homura.cc/CGfiles/aaencode.txt

emmmm,可能是编码问题，撇到乱码恢复

然后打开chrome控制台，回车便可得到flag

10.单身100年也没用

题目传送门：http://chinalover.sinaapp.com/web9/

老办法，看代码时发现链接是index.php，但点击之后变成了no_key_is_here_forever.php

所以我们

11.COOKIE

题目传送门：http://chinalover.sinaapp.com/web10/index.php?id=1

还是抓个包吧。。。

发现coolie :login=0，改成1然后go，得到flag

12.MYSQL

题目传送门：http://chinalover.sinaapp.com/web11/

百度百科可以看看robots.txt,大概是搜索引擎能爬啥不能爬啥，那么我们进入看看

以题目的尿性，id=1024不会轻易出现，那么我们试试1024.1

13.x00

题目传送门：http://teamxlc.sinaapp.com/web4/f5a14f5e6e3453b78cd73899bad98d53/index.php

方法一：00截断？nctf=2%00%23biubiubiu

方法二：利用数组让判断成立?nctf[]=1

14.by pass again

题目传送门：http://chinalover.sinaapp.com/web17/index.php

两种方法，一：a不能等于b，但md5值相同

a=QNKCDZO b=s878926199a;

二：利用数组a[]=1 b[]=2;

15.变量覆盖

题目传送门：http://chinalover.sinaapp.com/web18/index.php

构造让thepassword_123=pass的值

16.上传绕过

题目传送门：http://teamxlc.sinaapp.com/web5/21232f297a57a5a743894a0e4a801fc3/index.html

随便先上传一个文件

我们试着上传一个.php文件

emmmm,用burp抓包

修改一下

把空格的20改为00

得到flag

17.sql注入1

题目传送门：http://chinalover.sinaapp.com/index.php

看看source

发现了这一句

构造万能密码admin’)#，得到flag

18.GBK injection

题目传送门：http://chinalover.sinaapp.com/SQL-GBK/index.php?id=1

先试试’

宽字节注入，我们试试%df‘

报错了，看来注入点找对了，那么开始注入

先用order by语句来看看有几列

然后试试union select语句?id=-1%df%27%20union%20select%201,2%20%23

看来只有2能用，查看一下使用的数据库?id=-1%df%27%20union%20select%201,concat_ws(char(32),database())%20%23

得到数据库，那么查看表名

报错了。。忘了’会被转义成\’了。。使用16进制发现还是错的。。emmmm，检查发现where后面的database应该改成table_schema….

id=-1%df%27%20union%20select%201,group_concat(char(32),table_name,char(32))%20from%20information_schema.tables%20where%20table_schema=0x7361652d6368696e616c6f766572%20%23好啦