CTF-Show-爆破系列

水军大提督 · 2024-5-9 00:51:28

CTF-Show-爆破系列

Problem 1

前置知识

burp的四种爆破模式：

上述内容来自：https://blog.csdn.net/m0_74097148/article/details/128901184
思路

下载题目中给定的字典。打开页面发现是一个登录框，猜测用户名为admin，密码直接使用burp来进行字典爆破。

字典的内容为：

尝试填写表单数据(admin admin)并抓包：

发现并没有我们输入的admin admin。但是我们发现Authorization字段的值为Base64编码，将其进行解码发现：

找到了我们输入的表单内容。该网站会将我们输入的用户名和密码进行Base64编码后，再进行检验。
因此，我们将用户名固定为admin，密码进行字典爆破，在爆破的同时，使用Base64编码。使用Burp，步骤如下：

对于抓来的包，单击右键 send to intruder
选择sniper模式，payload set选择如下图
选择payloads模块
payload type: Custom iterator
Position 1:admin(用户名固定为admin)
Position 2: 中间固定为
Position 3:加载所下载的字典(密码进行字典爆破)
Pyload processing 为 base64 encode
取消勾选Pyload encoding
单击 start attack 开始爆破
看到返回状态码为200，代表爆破成功

对该Base64进行解码，得到明文账号密码，进行登录，得到flag。

Problem 2

前置知识

爆破不光可以应用在用户名密码猜解，还可以用在域名中。
子域名爆破可以扩大我们的资产，对于SRC挖掘有着非常好的帮助。
思路

使用在线子域名爆破工具：http://z.zcjun.com/
输入域名：ctf.show，尝试爆破子域名。

将爆破出来的子域名一个一个的访问，最终都会得到flag。
Problem 3

打开页面，发现一段代码，开始阅读：

[/code]阅读上述的代码，发现这个明文是很难构造的，只能通过爆破来猜解。
使用burp来字典爆破，数字遍历token的值即可。（这里的数字采用1-10000000）
[img]https://img2023.cnblogs.com/blog/2206600/202402/2206600-20240226105524406-2007587555.png[/img]
[img]https://img2023.cnblogs.com/blog/2206600/202402/2206600-20240226105538785-1484716583.png[/img]
[img]https://img2023.cnblogs.com/blog/2206600/202402/2206600-20240226111323727-647303220.png[/img]
发现当token=422时，满足上述代码的要求(length跟其他的请求不同)，进而得到flag。
[img]https://img2023.cnblogs.com/blog/2206600/202402/2206600-20240226111430716-1353793552.png[/img]
[img]https://img2023.cnblogs.com/blog/2206600/202402/2206600-20240226111008784-1407428341.png[/img]
[size=5]Problem 4[/size]
[size=4]前置知识[/size]
php伪随机数漏洞：
简单来说：如果mt_srand(seed)函数种子确定，那么无论进行多少次请求，mt_rand()的值均是确定的.
换句话说，我们也可以通过mt_rand()的值，来反推种子。
更多内容查看：[url=https://blog.csdn.net/BrosyveryOK/article/details/127061458]https://blog.csdn.net/BrosyveryOK/article/details/127061458[/url]
[size=4]思路[/size]
打开页面，发现一段代码，进行阅读：
[code]error_reporting(0);
include("flag.php");
//r通过get传参
if(isset($_GET['r'])){
$r = $_GET['r'];
//播种种子372619038
mt_srand(372619038);
//如果输入的值和生成的值(mt_rand生成随机数)相等
//由于种子确定，那么mt_rand()的值也是确定的。（无论进行多少次请求，多少次重新运行）
if(intval($r)===intval(mt_rand())){
//输出flag
echo $flag;
}
}else{
highlight_file(__FILE__);
echo system('cat /proc/version');
}

复制代码

由于mt_rand的值是固定的，因此我们可以采用burp来进行字典爆破（时间很长）。
或者，我们可以重新书写一个php文件，得到mt_rand()的值，然后给r即可得到flag。

mt_srand(372619038);
echo mt_rand(); //1155388967

复制代码

将该值给到r，进行get传参，得到flag。

Problem 5

前置知识

在上一题的基础上，seed值不公开了。
更多内容参考：https://blog.csdn.net/BrosyveryOK/article/details/127061458
思路

打开网页，源码如下：

error_reporting(0);
include("flag.php");
//r为get传参
if(isset($_GET['r'])){
$r = $_GET['r'];
//从$flag中获取seed
mt_srand(hexdec(substr(md5($flag), 0,8)));
//将r的值和mt_rand()值相减
$rand = intval($r)-intval(mt_rand());
//如果差为0
if((!$rand)){
//如果token的值（cookie传参）等于两次生成随机数的值相加
if($_COOKIE['token']==(mt_rand()+mt_rand())){
//得到flag
echo $flag;
}
}else{
//如果差不为0，那么得到差值
echo $rand;
}
}else{
highlight_file(__FILE__);
echo system('cat /proc/version');
}

复制代码

这道题由于不知道seed，因此mt_rand()值无法确定，我们可以通过php_mt_seed工具来反推seed。
但是，这里反推seed，需要一个前提条件：你得事先知道mt_rand()的值，才可以进行反推。这道题的源码中当：将r的值和mt_rand()值相减不为0时，会输出差值。我们可以通过这种途径来知道mt_rand()的值，从而反推seed，否则这道题无解。
php_mt_seed工具下载地址：https://www.openwall.com/php_mt_seed/
过程：
访问如下url：http://c9f3ac04-3f97-43af-8db0-e9b9e75304d4.challenge.ctf.show/?r=0
得到mt_rand()的随机数：-1638561645 => 1638561645
通过该工具，得到seed

由于该网站的PHP版本为7.x,因此seed为：2759183718
我们根据该seed来生成随机数

[/code]结果为：
[code]1638561645
1983296972
1583738348
第二个和第三个随机数相加结果为：3567035320

复制代码

将如上结果进行传入，得到flag

Problem 6

打开页面，进入安装页面，查看该页面的源代码

<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="initial-scale=1,maximum-scale=1, minimum-scale=1">
<meta name="viewport" content="width=device-width, initial-scale=1">
<meta name="apple-mobile-web-app-capable" content="yes">
<meta name="viewport" content="width=device-width, initial-scale=1.0, minimum-scale=1.0, maximum-scale=1.0, user-scalable=no">
<title>ctfshow系统安装界面</title>
<link href="css/style.css" rel="stylesheet">
</head>
<body>
<center><h1>CTFshow flag管理系统安装</h1></center><br><br>
<form action="">
<input id="a" type="text" placeholder="数据库地址：localhost">
<input id="p" type="text" placeholder="端口：3306">
<input id="d" type="email" placeholder="数据库:ctf">
<input id="u" type="email" placeholder="用户名:root">
<input id="pass" type="tel" placeholder="密码：123456">
<button onclick="check();">确认无误，开始安装</button>
</form>
</body>
</html>

复制代码

根据上述的代码，当用户单击按钮时，会触发ajax请求，将表单中的信息传递给checkdb.php，如果各种信息都正确，那么会提示正确，否则错误。
我们可以根据发送的ajax请求，抓一个包看看：

结果发现flag藏在响应数据(json)里。
Problem 7

思路

打开页面

我们并不知道学生的学号和密码，单击下方的录取名单，下载文件，得到如下信息。

身份证号码不全面，先放这，单击学生学籍信息查询系统，得到如下页面

代表需要身份证号码，才可以获得学号。由于身份证号码不全面，因此我们需要进行爆破。

导入字典，这里我们使用如下python脚本来生成一个8位数的字典（也可以使用下图的字典）

for i in range(0,99999999,1):
i = str(i)
if len(i) != 8:
for j in range(0,8):
if len(i) == 8:
break
else:
i = '0' + i
with open('dict.txt','a') as file:
file.write(i+"\n")

复制代码

得到字典后，将其导入，进行爆破，获得学号

发现有一个身份证号长度不同，代表爆破成功！

得到了一串unicode编码，将其进行解码

得到了学号和身份证号后，进行登录，得到flag

Problem 8

思路

根据url：http://4844b84d-afc6-413a-a0f7-5abaf91e5dec.challenge.ctf.show/0/1/2.txt
我们发现：前两个目录是可以进行爆破的，我们采用burp来进行爆破。

开始爆破，得到flag。（时间比较长，大概需要10000次）

有一个请求，长度不同(/72/20)。代表爆破成功！

总结

常见爆破手段

字典+base64编码
子域名爆破
数字爆破
伪随机数漏洞（seed爆破）
普通字典爆破
双/多字典爆破
...

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

		自动登录	找回密码
密码			立即注册

CTF-Show-爆破系列

本帖子中包含更多资源

0 个回复

快速回复

楼主热帖

标签云