需要提交的captcha满足等式&＃xff0c;肯定就是MD5碰撞了
附上脚本
1 import hashlib
2
3
4 def func(md5_val):
5 for x in range(1,100000000):
6 md5_value&＃61;hashlib.md5(str(x)).hexdigest()
7 if md5_value[:6]&＃61;&＃61;md5_val:
8 return str(x)
9
10
11 print func(raw_input(&＃39;md5_val:&＃39;))
12
13
14 raw_input(&＃39;ok&＃39;)
尝试后发现登录处存在sql注入&＃xff0c;于是用 &＃39; or 1# 登录
看了下下载的几个文件发现都没有什么用&＃xff0c;不过这个下载链接让我想到了文件包含/Challenges/file/download.php?f&＃61;
尝试读取index.php,构造../inedx.php,但是发现只要文件名包含 任意字符&＃43;斜杠 都会提示 flag{wow!!!but not true}&＃xff0c;看来是屏蔽了目录穿越&＃xff0c;多次尝试绕过无果&＃xff0c;后来看了眼其他wp&＃xff0c;这里并没有屏蔽斜杠&＃xff0c;所以还可以用绝对路径&＃xff0c;通过返回的header " X-Powered-By: PHP/5.5.9-1ubuntu4.19 " 得知服务器系统是ubuntu&＃xff0c;一般网站的路径即为 /var/www/html 。
所以构造/Challenges/file/download.php?f&＃61;/var/www/html/Challenges/flag.php
看到这个 " echo file_get_contents("helloctf.php"); " 想直接包含改文件&＃xff0c;但是发现提示error&＃xff0c;所以继续审代码
第一眼觉得很麻烦&＃xff0c;不过细看一下觉得这个实在没难度&＃xff0c;构造 flag&＃61;flag; &＃xff0c;注意有分号的&＃xff0c;因为eval()执行的是一句完整的php代码&＃xff0c;当然要以分号结尾。然后eval() 那句执行的就是 $spaceone &＃61; flag; &＃xff0c;然后没反应&＃xff1f; 查看源码就可以看见了
京公网安备 11010802041100号