曹师傅的网络安全期末考试答案

# ***第一题***

![](/zb_users/upload/2020/11/202011051335195460665.png)
简单的看了一下是通过get方式提交what值

当what=flag时

输出flag

所以我们加上?what=flag

构造url：http://123.206.87.240:8002/get/?what=flag

flagflag{bugku_get_su8kej2en}

![](/zb_users/upload/2020/11/202011051335253506070.png)

# ***第二题***

![](/zb_users/upload/2020/11/202011051335293161562.png)

题目说要查看一下源代码打开看看

![](/zb_users/upload/2020/11/202011051335337795923.png)

发现有个JavaScript用函数unescape()解密了一串东西

那我们将那一串加密的东西解密一下看看

![](/zb_users/upload/2020/11/202011051335371811139.png)

![](/zb_users/upload/2020/11/202011051335417449066.png)

%35%34%61%61%32

![](/zb_users/upload/2020/11/202011051335448002585.png)

因为是eval(unescape(p1) + unescape('%35%34%61%61%32' + p2));

拼接一下就变成了

function checkSubmit(){var a=document.getElementById("password");if("undefined"!=typeof a){if("67d709b2b54aa2aa648cf6e87a7114f1"==a.value)return!0;alert("Error");a.focus();return!1}}document.getElementById("levelQuest").onsubmit=checkSubmit;

分析一下，如果a.value的值为67d709b2b54aa2aa648cf6e87a7114f1他就为真，先试试看让输入框的值为67d709b2b54aa2aa648cf6e87a7114f1

KEY{J22JK-HS11}

![](/zb_users/upload/2020/11/202011051335512693739.png)

# ***第三题***

![](/zb_users/upload/2020/11/202011051335568134478.png)

管理员通常是admin账号密码试试看admin

发现提示用户名或密码错误

既然有注册，那我们注册一个用户试试看

![](/zb_users/upload/2020/11/202011051336009377285.png)

![](/zb_users/upload/2020/11/202011051336049421895.png)

看样子是要用管理员登入了我们注册一个admin试试看

![](/zb_users/upload/2020/11/202011051336081057943.png)

发现已经存在

这里想到用sql约束的方法

它字符串末尾的空格字符都会被删除

注册admin   试试看

发现注册成功

登入

SKCTF{4Dm1n_HaV3_GreAt_p0w3R}

![](/zb_users/upload/2020/11/202011051336166120234.png)

# ***第四题***

![](/zb_users/upload/2020/11/202011051336217077567.png)
查看了一下源代码发现确实什么也没用，那就从数据包分析一下

用BurpSuite抓包发送之后发现它的响应头里面有藏着flag值

flag{Bugku_k8_23s_istra}:

![](/zb_users/upload/2020/11/202011051337485156515.png)

# ***第五题***

![](/zb_users/upload/2020/11/202011051337538719182.png)

![](/zb_users/upload/2020/11/202011051337586757447.png)

先着手sql注入

用sqlmap和BurpSuite

先抓住它提交成绩查询的请求保存为a.txt

![](/zb_users/upload/2020/11/202011051338022691216.png)

用sqlmap –r指定抓到的数据包文件

![](/zb_users/upload/2020/11/202011051338074549162.png)

跑一下出先两个库有

我们要找flag基本上就要冲skctf_flag这个数据库着手

![](/zb_users/upload/2020/11/202011051338188129881.png)

用—table查找表

发现有两个表，先找找看其中有可能的fl4g

![](/zb_users/upload/2020/11/202011051338227958796.png)

用dump列出数据

结果已经出来了

# ***第六题***

![](/zb_users/upload/2020/11/202011051338269690429.png)

刚刚随便登入了一下发现ip被记录了

想起有个请求头里有个属性叫X-Forwarded-For更改来源地址

抓包之后添加X-Forwarded-For: 127.0.0.1

![](/zb_users/upload/2020/11/202011051338299109022.png)

发现果然可以

接下去就要找密码了

按F12查看源码发现

![](/zb_users/upload/2020/11/202011051338336906723.png)

两个==估计是**base****64****加密网上解密一下试试**

![](/zb_users/upload/2020/11/202011051338361079315.png)

既然是管理员，那账号猜一下是不是admin

账号admin

密码test123

The flag is: 85ff2ee4171396724bae20c0bd851f6b

![](/zb_users/upload/2020/11/202011051339064833021.png)

发现flag值已经出来了

# ***第七题***

首先我们看看是用什么请求的数据

是post请求的

![](/zb_users/upload/2020/11/202011051339107597316.png)

![](/zb_users/upload/2020/11/202011051339144927719.png)

我们将这个请求的数据复制下来保存为a.txt文件

![](/zb_users/upload/2020/11/202011051339172771819.png)

![](/zb_users/upload/2020/11/202011051339193026194.png)

我们用sqlmap指定这个文件作为我们需要进行注入测试的数据请求

Sqlmap.py -r a.txt --dbs --batch

![](/zb_users/upload/2020/11/202011051339266842865.png)

找出这里有两个数据库，我们试着获取一下bugkusql1数据库的数据表有几个

![](/zb_users/upload/2020/11/202011051339298468115.png)
用-D指定最有可能的bugkusql1数据库列出表

![](/zb_users/upload/2020/11/202011051339336687521.png)

同—dump列出flag1数据表下的全部数据

发现flag已经出来了

# ***第八题***

![](/zb_users/upload/2020/11/202011051339378181036.png)

既然他说要给他图片，不能给他php那我们上传一个php试试看

![](/zb_users/upload/2020/11/202011051339401246441.png)
无效文件

查看了一下前端没有任何的js脚本

也就是检查文件的设在服务端

![](/zb_users/upload/2020/11/202011051339433925872.png)

抓包，试试看修改它的文件后缀

![](/zb_users/upload/2020/11/202011051339475114155.png)

可能还缺点什么

修改一下MIME 类型为image/jpeg

![](/zb_users/upload/2020/11/202011051339522081979.png)

发现什么都没有提示了

再试试看00截断

![](/zb_users/upload/2020/11/202011051339557352806.png)
好像成功上传了一个jpg，这个方法也不行

那试试看php的别名

phps, php2, php3, php4, php5,

发现还是不行

![](/zb_users/upload/2020/11/202011051340019263095.png)

最后发现一点MIME的类型没改，还有请求体的

还在请求头那边的MIME类型进行了黑名单检测，用大小写绕过即可

KEY{bb35dc123820e}

![](/zb_users/upload/2020/11/202011051340055774501.png)

# ****第九题****

script 转换成 scr_ipt
on 转换成 o_n
src 转换成 sr_c
data 转换成 da_ta
href 转换成 hr_ef
大小写失效
" 还被编码，但是尖括号<> ，单引号 ’ ,% ，# ，& 符号没有被过滤，输出点在a标签内，href属性中，

我们用HTML字符实体转换工具：https://www.qqxiuzi.cn/bianma/zifushiti.php

![](/zb_users/upload/2020/11/202011051340218833378.png)

试试看将javascript:alert(1)转为

javascript:alert(1)

放入链接点击之后即可

![](/zb_users/upload/2020/11/202011051340256435810.png)

答案：

javascript:alert(1)

村口曹师傅

欢迎来到秘境

渗透测试 网络安全 sql注入 xss注入 CTF

曹师傅的网络安全期末考试答案

村口曹师傅发表于2020-11-05 13:34:40 浏览1445 评论1

少长咸集

群贤毕至

« 2024年7月 »
一	二	三	四	五	六	日
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30	31

欢迎来到秘境

渗透测试 网络安全 sql注入 xss注入 CTF

曹师傅的网络安全期末考试答案

村口曹师傅 发表于2020-11-05 13:34:40 浏览1445 评论1

少长咸集

群贤毕至

渗透测试网络安全 sql注入 xss注入 CTF

村口曹师傅发表于2020-11-05 13:34:40 浏览1445 评论1