Polar CTF Web 简单题型解题复盘

浮生日记

F12 查看代码，发现 title 属性可能触发弹窗。无 SSTI，结合题目名称考虑 JS 注入。

写入 <script>alert(1)</script> 会导致输入为空，说明存在过滤。尝试闭合 value 值并双写绕过：

"><scriscriptpt>alert(1)</scriscriptpt>

点击即可获得 Flag。

$$

题目涉及变量覆盖和正则绕过。GET 传参 c 给变量 $a（符号为 $），绕过下方的符号检查。

尝试 FLAG 输出为 NULL，利用超全局变量 GLOBALS 构造：

?c=GLOBALS

即可查看变量内容。

爆破

PHP 代码检查 MD5 加密后字符串的第 2、15、18 位字符是否相同，并进行数学计算验证。先访问 /?pass=text，使用 Burp Suite 爆破长度，找到可疑之处获取 Flag。

也可直接访问 flag.php。

XFF

提示涉及 XFF 头。直接构造 XFF 请求头发送给重放器，观察响应变化。

RCE1

GET 传入 ip 参数，通过正则过滤空格后执行 ping -c 4 {$ip}。利用管道符绕过空格限制：

127.0.0.1|ls

返回 fllllaaag.php，右键查看源码获取 Flag。

GET-POST

根据代码逻辑，需先 GET 传参，再 POST 传参即可完成流程。

被黑掉的站

扫描目录发现 index.php.bak，获取字典信息。访问 shell.php 进行字典爆破，获取权限。

签到题

BP 抓包发现 Cookie 初始值为 no。改为 yes 发包，收到 Base64 加密字符串。在线解码后访问链接。

分析代码，GET 传参 file 过滤了 ../ 并拼接 .php。结合 PHP 伪协议与双写绕过，以 Base64 编码读取内容：

file=base64_decode(...)

解密后获取 Flag。

签到

提交按钮无法点击，F12 删除元素的 disabled 属性。调整 maxlength 限制，复制不全时调大数值，提交获得 Flag。

Session 文件包含

POST 传入 name 参数时，PHP 将 Session 数据写入本地文件。若 name 中包含恶意 PHP 代码，可利用 include($_GET['file']) 的 LFI 漏洞执行代码。

1. 抓包获取 PHPSESSID。
2. 将一句话木马包含到 sess_ctf 文件中发送。
3. 传入文件名参数，执行木马获取 Flag。

Don't touch me

F12 查看源代码发现 2.php。点击 click 按钮前，删除 disabled 属性。再次查看源码发现 fla.php，访问即可。

Robots

根据提示访问 robots.txt，继续访问其中列出的路径即可。

PHP Very Nice

题目涉及 PHP 反序列化。类中存在 __destruct 魔术方法调用 eval()。

构造 Example 类对象，将 $sys 属性改为执行命令，序列化后通过 ?a= 传入：

<?php class Example { public $sys="system('tac cat flag.php');"; }
$a = new Example(); var_dump(serialize($a)); ?>

运行后 GET 传参即可。

Ezupload

限制上传 GIF 文件。上传一句话木马并将后缀改为 gif，抓包修改为 1.php 发包。使用蚁剑连接获取 Flag。

Cookie 欺骗

网页提示只有 admin 用户才能获得 Flag。前端修改无效，抓包修改 Cookie 中的用户标识为 admin 即可。

Upload

上传图片无回应，查看源码发现信息。利用 str_ireplace 过滤 php，采用双写 pphphp 绕过。蚁剑连接后找到 Flag。