青岑 Web 入门 CTF 靶场 Writeup

靶场介绍

青岑 Web 入门靶场对新手友好，涵盖多种常见 Web 安全漏洞类型。建议通过源码分析、抓包修改及 Payload 构造等方式进行练习。

1. Basic

解题思路： 先看源码和抓包，再找注入点和逻辑问题，最后构造 payload 拿 flag。

• Basic: 直接 F12 查看源码获取 flag。
• BASIC_1: 前端被封禁，查看源码获取 flag。
• basic_2: 抓取提交包，发现 is_admin 始终为 0，修改参数后获取 flag。
• basic_3: 查看源码，将 JS 代码放入控制台运行得到密码，进而获取 flag。
• basic_4: 查看源码中的数组 _0，将其转换为字符串得到邀请码 QCCTF_VIP_2026。
• basic_5: 积分计算在前端，加密函数全局可见。可直接调用页面加密函数伪造 1000 积分发送给后端，或使用自动脚本批量答题领取奖励。

import requests
import json
import base64

def get_flag():
    TARGET_URL = "http://docker.qingcen.net:38964/claim"
    payload = {"score": 1000}
    json_str = json.dumps(payload, separators=(',', ':'))
    encrypted_bytes = base64.b64encode(json_str.encode('utf-8'))
    encrypted_data = encrypted_bytes.decode('utf-8')
    headers = {'Content-Type': 'application/json'}
    data = {"data": encrypted_data}
    try:
        response = requests.post(TARGET_URL, headers=headers, json=data)
        res_json = response.json()
        if "data" in res_json:
            dec_bytes = base64.b64decode(res_json["data"])
            dec_str = dec_bytes.decode('utf-8')
            result = json.loads(dec_str)
            if "flag" in result:
                print(result["flag"])
    except Exception as e:
        print(e)

2. EZ_PHP

• EZ_PHP: PHP 弱类型比较漏洞。要求 a 能通过 if 判断且等于 0，b 不是数字但大于 2026。
  • Payload: /?a=abc&b=3333as
• ezphp_1: JSON 解析漏洞。需传入 JSON 字符串解析成数组，寻找键值为 "QCCTF" 的键名索引为 1。
• ezphp_2: json_decode 配合 array_search 的弱类型绕过。利用 true 与字符串比较的特性。
  • Payload: http://.../?qc={%22A%22:%22QCCTF%22,%22n%22:[true]}

3. EZ_MD5

• ezmd5_1: MD5 碰撞。两个数不同但 MD5 值相同（科学计数法）。Payload: ?a=QNKCDZO&b=s214587387a
• ezmd5_2: 数组绕过。md5() 处理数组返回 NULL，导致比较相等。Payload: /?a[]=2323&b[]=43
• ezmd5_3: 强类型比较下的数组绕过。注意 === 不会自动转换。
• ezmd5_4: 工作量证明 (PoW)。暴力穷举 MD5 尾部特征。使用 Python 脚本爆破。
• ezmd5: 魔术哈希。寻找 MD5 值为 0 的科学计数法。Payload: ?QC=26120
• ezmd5_5: SHA-1 魔术哈希。使用已知魔术字符串绕过。
• ezmd5_6: 再次利用数组绕过特性。

4. EZ_CMD

• ezcmd: escapeshellcmd() 过滤特殊符号。直接查看根目录文件获取 flag。
• ezcmd_1: 无过滤命令执行。使用分号 ; 拼接命令读取 flag。
• ezcmd_2: 无回显 (Blind)。重定向输出到 /dev/null。使用注释符 # 或分号绕过。
• ezcmd_3: 禁止空格。使用 $IFS 替代空格，或使用 < 重定向读取文件。若 cat 被禁用，可使用 tac, tail, head 等替代。
• ezcmd_4: 正则黑名单 + 转义。使用 eval 二次解析，拆分敏感词 flag 为变量拼接。
• ezcmd_5: 禁止字母。使用八进制 ASCII 码表示字符，如 $' 143 g141 g164' 表示 cat。
• ezcmd_6: 基础命令执行，打印目录并读取 flag。
• ezcmd_7: GET 参数黑名单过滤 flag。使用通配符 * 绕过。
• ezcmd_8: system() 被禁。尝试 passthru(), exec(), shell_exec() 或反引号。
• ezcmd_9: 禁止空格。使用 PHP 原生函数 show_source(), readfile() 无需空格；或利用 ${IFS} 替代空格。
• ezcmd_10: 禁止分号。使用 ?> 结束 PHP 标签从而执行后续命令。
• ezcmd_11: 未知路径。使用 highlight_file(__FILE__) 查看当前文件源码。
• ezcmd_12: 特殊符号限制。使用函数套娃法，结合 getcwd(), scandir(), array_flip(), array_rand() 动态获取文件名并高亮显示。
• ezcmd_13: preg_replace /e 修饰符漏洞。PHP 5.5 以下版本危险特性，替换内容会被当作代码执行。利用 {${}} 结构触发系统命令。

5. EZ_INFOLEAK

• ezinfoleak: Base64 解码信息，遍历目录查找。
• ezinfoleak_1: 目录穿越过滤 ../。使用 ....// 绕过。
• ezinfoleak_2: 常规信息泄露。
• ezinfoleak_4: .git 源码泄露。使用 dirsearch 扫描，配合 GitHack 工具还原。
• ezinfoleak_5: .git 泄露变种，POST 请求获取文件。
• ezinfoleak_6: .svn 源码泄露。新版本的 SVN 包含 SQLite 数据库 wc.db，使用 dvcs-ripper 还原。
• ezinfoleak_7: .hg (Mercurial) 源码泄露。
• ezinfoleak_8: Vim 缓存文件泄露 (.swp)。
• ezinfoleak_9: Mac 系统文件 .DS_Store 泄露。下载后用 strings 读取。

6. EZ_FU

• ezfu: 文件上传。上传一句话木马，GET 传参执行命令。
• ezfu_1: 后缀名检查。将 php 改 jpg 上传，抓包改回后缀。
• ezfu_2: 内容检查。GIF 头伪造失败，尝试其他绕过方式。

7. EZ_FL

• ezfl: 源码线索提示 /flag.txt。
• ezfl_1: 文件包含 LFI。使用 php://filter 伪协议读取文件内容。
• ezfl_2: 编码转换读取。使用 convert.iconv 过滤器。