Polar CTF Web 简单题目解题思路总结

召唤神龙

游戏界面，查看源代码发现 main.js 中有加密文本。

识别为 JSFuck，使用在线工具解密。

seek flag

访问 robots.txt 获取 flag3。

使用 Burp Suite 抓包，在响应中找到 flag2。

修改 Cookie 的 id 为 1 发送请求获取 flag1。

拼接得到完整 Flag（Web 类 Flag 动态变化）。

jwt

登录界面。

在源代码网络请求中发现 Base64 加密字符串，解码后无明显信息。

注册普通用户，查看源码发现 JWT 及值。

使用 jwt-cracker 爆破密钥为 SYSA。

伪造 JWT，用户名改为 admin。

使用 Yakit 构造请求。

login

按 F12 有登录提示，输入显示登陆成功。

使用 Burp Suite 抓包，尝试攻击，学号不断递增，从 2 开始每个学号对应的请求返回 Flag 的一部分。

拼接得到 Flag。

iphone

打开界面，Enter 无信息。

查看代码提示改 UA，使用 Burp Suite 或 HackBar 将 User Agent 改为 iPhone。

浮生日记

F12 看代码，Title 提示弹窗。

无 SSTI，结合题目名想到 JS 注入。

写入 输入变空。

闭合 value 值，双写绕过：

"><scriscriptpt>alert(1)</scriscriptpt>

点击获得 Flag。

$$

得到 PHP 代码。

重点是变量覆盖和正则绕过，用 GET 传参 c 给变量 (符号为$) a，正则绕过下面的符号。

先尝试 FLAG，输出 NULL；使用超全局变量 GLOBALS，构造 ?c=GLOBALS 查看。

爆破

一段 PHP 代码。

检查经过 MD5 加密后的字符串特定位置字符是否相同（第 2、15、18 位）。若相同，计算第 2、15、18 位整数值相加除以第 2 位，结果等于第 32 位整数值。

访问 /?pass=text，Burp Suite 爆破。

根据长度找到可疑之处，得到 Flag。

还可直接访问 flag.php。

XFF

提示使用 XFF 构造。

构造 XFF 发送给重放器，查看响应。

rce1

由 PHP 代码可知，GET 传入 ip 参数，通过正则表达式过滤空格，无空格才执行 ping -c 4 {$ip} 命令。

使用管道符，输入命令 127.0.0.1|ls，返回 fllllaaag.php。

直接查看源码。

GET-POST

根据代码，先 GET 传参，再 POST 传参即可。

被黑掉的站

扫目录，访问 index.php.bak 获取字典。

访问 shell.php，字典爆破。

签到题

BP 抓包，发现 cookie 初始值为 no。

改为 yes，发包，发现一串 Base64 加密字符串，在线解密。

直接访问。

分析代码，GET 传参 file，过滤把 ../替换为空，拼接.php 后缀，包含文件。

PHP 伪协议结合双写绕过，用伪协议以 base64 编码进行内容读取。

Base64 解密即可。

签到

提交无法点击，F12 查看源代码，在元素里将 disabled 删去。

随便输一个数给提示，发现复制不全。

把 maxlength 调大一点，提交获得 Flag。

session 文件包含

随便输入无信息。

查看源码，发现是 PHP 伪协议。

当通过 POST 传入 name 参数时，PHP 会把 Session 数据写入服务器本地的 Session 文件。如果在 name 里传入恶意 PHP 代码，这段代码会被写入 Session 文件。再利用 include($_GET['file']) 的 LFI 漏洞，包含这个 Session 文件，PHP 就会执行里面的恶意代码。

先抓包，看到 PHPSESSID，将 PHP 语句包含到 sess_ctf 文件中，发送，再传入一句话木马。

发现了 flaggggg 文件，继续查看发送即可。

Don't touch me

F12 查看源代码，发现有 2.php，访问。

发现 click 不能点击，查看源代码，有个 disabled，删掉即可。

click，查看源代码，发现有 fla.php，访问即可。

robots

根据题目提示，访问 robots.txt。

继续访问即可。

php very nice

一段 PHP 代码，是 PHP 反序列化。

对 $_GET['a'] 进行了 unserialize 反序列化操作，且类中存在 __destruct 魔术方法调用了危险的 eval() 函数执行代码。

构造一个 Example 类的对象，把 $sys 属性改成想执行的 PHP 代码，再将对象序列化成字符串，通过 ?a= 传入。

<?php class Example { public $sys = 'system("ls");'; }
$a = new Example();
echo urlencode(serialize($a));
?>

运行，GET 传参。

发现有 flag.php，但直接访问不行，需要通过代码，将 ls 换成查看 flag.php，需使用 tac 命令。

<?php class Example { public $sys="system('tac cat flag.php');"; }
$a = new Example();
var_dump(serialize($a));
?>

运行，GET 传参即可。

ezupload

上传 GIF 文件，上传一句话木马，把文件后缀改成 gif，上传并抓包，将 1.gif 换成 1.php 发包。

蚁剑连接，找到 Flag。

cookie 欺骗

根据网页提示，只有 admin 用户才能获得 Flag。

先看源代码，尝试修改，发现改不了；抓包修改即可。

upload

上传图片，尝试上传图片没有回应，查看源码发现信息。

访问，有代码。

分析一下代码，利用 str_ireplace 函数过滤了 php，那就双写 pphphp。

蚁剑连接，找到 Flag。