PORT51
該題提示我們需要使用51端口進(jìn)入該站點(diǎn)
然而此站為
http://web.jarvisoj.com:32770/ 它的端口已經(jīng)是確定了的，所以只能更改我們的port了。本來用的是kali虛擬機(jī)，不能通過外網(wǎng)，命令如下
curl --local-port 51 http://web.jarvisoj.com:32770/自己試試，我就懶得弄win上的curl命令了
LOCALHOST
這道題跟上面的很像啊，道理還是一樣的，就是通過localhost來訪問該站點(diǎn)咯
可以瞅瞅
Login
提示說要通過獲得密碼才能得到flag
第一個(gè)念頭就是用burpsuit。。得到了網(wǎng)站的response
這里可以看到一點(diǎn)小提示：
Hint: "select * fromadminwhere password='".md5($pass,true)."'"說明可以構(gòu)造：select * from
admin where password='"or 1=1 這樣的繞過語句so我們要找到一個(gè)password，這個(gè)password經(jīng)過md5加密后可以變成類似"or 1=1 之類的語句繞過
password：ffifdyop
這種題還是在別的地方見過幾次的，都是一樣的payload
神盾局的秘密
F12里面啥都沒，就一段圖片的連接，剛開始沒注意，還以為問題出在圖片里隱寫了，后來也沒看出來，才想到了圖片鏈接的問題
http://web.jarvisoj.com:32768/showimg.php?img=c2hpZWxkLmpwZw==
這個(gè)img后面肯定是base64了，解密看一下：http://web.jarvisoj.com:32768/showimg.php?img=shield.jpg
我們把showing.phpbase64編碼一下，得到c2hvd2ltZy5waHA=，然后放到"img= "后面,頁面爆出php代碼
由此發(fā)現(xiàn)，img參數(shù)可以打開任意文件，那么我們打開index.php文件，查看一下里面除了那個(gè)白頭鷹還有什么內(nèi)容。
http://web.jarvisoj.com:32768/showimg.php?img=aW5kZXgucGhw
在這里可以看到，又有一層php文件，我們跟著打開shield.php
http://web.jarvisoj.com:32768/showimg.php?img=c2hpZWxkLnBocA==
結(jié)果發(fā)現(xiàn)并不是。。
仔細(xì)看看前面的php，我們可以利用通過class傳參到pctf.php得到內(nèi)容。
在index.php中傳參得到了flag
IN A Mess
這個(gè)是一點(diǎn)辦法都沒有，一開始還以為問題出在id上，試了幾個(gè)id參數(shù)都一樣。然后burpsuit抓包也沒看出啥東西來。后來才知道是用phps來代碼審計(jì)
通過
if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)來獲得flag；eregi()函數(shù)在一個(gè)字符串搜索指定的模式的字符串。
在這里我們需要傳遞的data為"1112 is a nice lab!" a參數(shù)由于設(shè)置了stripos($a,'.')限制，只能用php偽協(xié)議，這里附帶一個(gè)為協(xié)議的相關(guān)知識(shí)：http://blog.csdn.net/Ni9htMar3/article/details/69812306?locationNum=2&fps=1;
php弱類型相等（$id==0）>>id=a ;
strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)這里要求b參數(shù)長度大于5，and第一個(gè)字符為4，and第一個(gè)字符不等于4. 可以用00截?cái)嗬@過：b=%004123456如圖：
讓我們繼續(xù)
出現(xiàn)了hi666
報(bào)出了這個(gè)sql語句，可能是想讓我們sql注入，畢竟phps源碼沒了，讀不到文件了。
繼續(xù)，爆出顯示位
不斷得到庫test 表content 字段 id，context，title 這后面就簡單一點(diǎn)了
RE？
flag在管理員手里
