如何建手机网站14版哥斯拉的官方做的宣传网站

一、常见的题目类型

1、直接给出题目源码

2、源码泄露

二、HCTF 2018 Warmup

url二次编码绕过WAF

查看源代码发现有提示

source.php

hint.php

回到source.php，包含文件之前有三个校验

checkfile里先是一个白名单，传入的file就是里面的hint，判断是否为str类型和判断是否在白名单里

用mb_substr取问号之前的字符，取了字符后判断是否在白名单里，再进行url解码，再取问号之前的字符是否在白名单里

这个安全检查机制存在逻辑漏洞。它只检查了问号 ?之前的部分是否在白名单内。这意味着攻击者可以在白名单文件名后拼接路径遍历（…/） payload​ 来绕过检查。

漏洞原理：​

攻击者传入 file=source.php?/…/…/…/…/fffflllllaaaaagggg

checkFile函数会截取问号前的内容：source.php

source.php在白名单中，所以安全检查通过。

但是，最终执行 include语句时，PHP 包含的完整路径是 source.php?/…/…/…/…/fffflllllaaaaagggg。

在PHP中，?在文件路径中会被解释为截断符。/…/…/…/…/fffflllllaaaaagggg这部分路径会成功地将目录向上遍历，最终包含系统根目录下的 fffflllllaaaaagggg文件。

三、0ctf 2016 piapiapia

打开后是一个登录框

源代码中也没有什么提示

这种一般都会有源码泄露，输入www.zip找到一个源码，也可以通过其他扫描器扫描目录

解压后的文件目录

config.php中有一个flag变量，可以猜测，flag是在这个文件中的

中目录中可以获取到有注册页，所以可以先注册一个

注册后登录需要更新信息，随便填写更新后跳转到新页面，这就是所有的功能

代码审计

源码泄露的题目一般考的都是反序列化，直接搜索反序列号函数

它会把传入的值进行反序列化

这里代码的功能是把profile值反序化后，读取里面的phone、email、name和photo其中，photo的位置有get_contents函数可以读取文件内容，由于之前观察到之前的config有flag值，就需要利用这里的函数读取config文件获取flag

这个profile是通过$user里面的show_profile函数通过username查询到的，user这里没有定义，那就是在包含的class.php文件中

class文件的末尾有一个user

调用了这个类的show_profile()

第一行filter函数是用来过滤的，进入函数后可以看到，会把关键词替换成hacker

后面定义了where变量，用户名为传入的值，查询后返回了查询到的结果，查询后如果返回为空则跳转更新数据页面

否则的话就反序列化获取，所以得找到控制photo输入的点

这些信息是在updata.php里面输入的，接着看

if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {$username = $_SESSION['username'];if(!preg_match('/^\d{11}$/', $_POST['phone']))die('Invalid phone');if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))die('Invalid email');if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)die('Invalid nickname');$file = $_FILES['photo'];if($file['size'] < 5 or $file['size'] > 1000000)die('Photo size error');move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));$profile['phone'] = $_POST['phone'];$profile['email'] = $_POST['email'];$profile['nickname'] = $_POST['nickname'];