[极客大挑战 2019]EasySQL

万能密码 admin' or 1=1# 密码随便

[极客大挑战 2019]Havefun

查看源码?cat=dog

[ACTF2020 新生赛]Include

直接伪协议

[HCTF 2018]WarmUp

查看源码发现source.php,然后有发现hint.php,发现ffffllllaaaagggg

[ACTF2020 新生赛]Exec

[GXYCTF2019]Ping Ping Ping

通过尝试发现” ‘ ? * flag \ {等被禁

[极客大挑战 2019]Secret File

查看源码发现/Archive_room.php,点击按钮后快速跳转网页,进行抓包发现

secr3t.php

使用伪协议

[ACTF2020 新生赛]BackupFile

使用dirsearch扫,发现/index.php.bak,下载后查看发现代码

[极客大挑战 2019]Upload

上传文件抓包,发现直接改后缀没用,修改Content-Type文件内容格式为image/png

尝试发现可以使用phtml作为后缀,同时过滤

发现还是不行,在前面添加一个GIF89a(相当于在16进制格式添加gif文件头)成功上传

访问/upload/1.phtml

[ACTF2020 新生赛]Upload

传简单的一句话木马的png抓包改为phtml

[MRCTF2020]你传你🐎呢

上传文件.htaccess

上传文件1.png

Content-Type: 都改为image/jpeg,蚁剑连接,根目录找到flag

[GXYCTF2019]BabyUpload

步骤与上一题一样,一句话木马改为

[极客大挑战 2019]Knife

直接蚁剑连接,flag在根目录

[极客大挑战 2019]PHP

使用dirsearch扫发现/www.zip,下载解压发现是反序列化

利用对象属性个数的值大于真实属性个数绕过__wakeup()

[极客大挑战 2019]BuyFlag

在payflag页面查看源码,发现相关信息

直接传发现没反应,用bp抓包,传了还是没反应,看见cookie:user=0,改为1

提示Nember lenth is too long

改为科学计数法

[RoarCTF 2019]Easy Calc

查看源码发现calc.php

利用%20绕过对num的检测,查看phpinfo()可以看到禁用函数

利用chr函数构造进行绕过

[HCTF 2018]admin

直接爆破,密码是123

[ZJCTF 2019]NiZhuanSiWei

通过data协议包含输入流然后利用伪协议读取useless.php

解码后得到

即可

[MRCTF2020]Ez_bypass

即可

[网鼎杯 2020 青龙组]AreUSerialz

可以发现如果要触发flag

由于is_valid($s)限制,无法成功获取flag

php7.1+反序列化对类属性不敏感

[NPUCTF2020]ReadlezPHP

查看源码,发现time.php?source

assert是php之中的断言，如果传入的是字符串则会把它作为php代码执行

[BSidesCF 2020]Had a bad day

随便点一点发现?category=woofers,猜测直接命令执行,结果显示Sorry, we currently only support woofers and meowers.并且后面会拼接.php尝试截断发现Warning: include()…

应该就是文件包含,然后直接伪协议

[网鼎杯 2020 朱雀组]phpweb

抓包发现参数尝试看目录失败,尝试看文件

应该是反序列化

[BJDCTF2020]The mystery of ip

在flag.php看见ip,尝试修改xxf发现会回显修改的值,猜测是ssti

[极客大挑战 2019]BabySQL

通过1’ 1=2—+发现是字符型注入,尝试发现有3列

通过爆破发现or and from ,select union where等会被替换为空

[SUCTF 2019]EasySQL

通过爆破发现union,from,and,or,information等被禁

输入1,2,3时发现

Array ( [0] => 1 [1] => 2 [2] => 1 ) 按理说最后应该是3,但是为什么是1呢

当查询时进行逻辑运算时会出现这种情况

[极客大挑战 2019]LoveSQL

判断为字符型注入,闭合符为’,列数为3,使用union注入

[GXYCTF2019]BabySQli

字符型注入,’闭合,有3列,查看源码发现有大串编码,解密得到:select * from user where username = '$name’

传入admin发现会由之前wrong user变为wrong pass 说明有admin账户

通过

看一篇wp说直接猜测search.php源码,直接人麻了,翻了几篇博客才发现题目那里可以看源码

会对传入的密码进行MD5加密然后与数据库的密码对比,若为真就输出flag

联合查询并不存在的数据时，联合查询就会构造一个虚拟的数据表

[安洵杯 2019]easy_web

抓包发现?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd= CyberChef解码发现是555.png尝试读取index.php,进行hex加密然后两次base64

将结果解码

利用\绕过命令的过滤,由于进行了类型转换,不能使用数组

使用以下进行md5强比较绕过

[BJDCTF2020]ZJCTF，不过如此

通过php://input,php://filter进行绕过

抓包传入

将结果解码

获取第一个get传入的参数与它的值,通过正则\S*绕过

[BUUCTF 2018]Online Tool

函数名	用途	作用对象	示例	处理效果
`escapeshellarg()`	安全转义参数	单个参数值	`ls 'abc; rm -rf /'`	加引号包裹 + 内部转义
`escapeshellcmd()`	安全转义整个命令行	整条命令	`ls\; cat /etc/passwd`	特殊字符前加反斜杠

[极客大挑战 2019]RCE ME

无数字字母rce,通过取反构造进行绕过

使用蚁剑连接,flag在根目录但是看不到,通过插件绕过disable_functions执行/readflag得到flag

[网鼎杯 2018]Fakebook

注册账号并可以成功登录,发现?no=1尝试命令执行发现

[*] query error! (Unknown column 'ls' in 'where clause')

是sql注入

最后发现

sanye4e2e603ad32bb2e1335b383c6d4b9a6d353cca643f2808e389a06cb1af930dd661ba77ad76061192ef5baf562297bcc6aeb5e9580c7f6f7ec6b7a353fc96d03d

O:8:"UserInfo":3{s:4:"name";s:5:"sanye";s:3:"age";i:18;s:4:"blog";s:5:"4.com";} wp说有robots.txt,得到user.php.bak

通过反序列化写入file://伪协议进行读取flag

web89

web90

web91

web92

相关知识：强比较“===”/弱比较“==“

web93

web94

web95

web96

web97

web98

如果使用GET方式传参,GET传参会被赋值为POST传参的,又要求$_GET['HTTP_FLAG']=='flag’，所以只要同时使用GET,POST传参HTTP_FLAG=flag即可

相关知识：PHP中的三元运算符

web99

file_put_contents() 函数：写入文件当n在随机数中，可以向以n命名的文件写入 ?n=1.php content= #向1.php写入一句话木马访问1.php 1=system('ls'); 然后cat

web100

web101+103

flag少一位一个个试

https://blog.csdn.net/Xxy605/article/details/110109147

web102

file_put_contents($v3, $str);的作用就是把变量$str中的内容写入到由$v3指定的文件中，默认会覆盖原有内容，并返回写入的字节数或在失败时返回FALSE

$v2要为纯数字，最终会写入$v3作用后的$v2第三位起的字符，

web104+106

web105

web107

web108

web109

看到eval("echo new $v1($v2());");想起web101的反射类

web110

web111

web112+114

https://www.php.net/manual/zh/wrappers.php

web113

web115

用脚本跑

web123

只要保证有参数CTF_SHOW.COM，CTF_SHOW存在，fl0g不能直接用，所以利用eval("$c".";");

在php中变量名字是由数字字母和下划线组成的，所以不论用post还是get传入变量名的时候都将空格、+、点、[转换为下划线，因此直接使用CTF_SHOW.COM会被转义为CTF_SHOW_COM,但php中有个特性就是如果传入[，它被转化为_之后，后面的字符就会被保留下来不会被替换

web125

web126

https://blog.csdn.net/Jayjay___/article/details/131638620

web127

web128

gettext():_()是gettext()的拓展函数在开启相关设定后,_("666")等价于gettext("666")，且就返回其中的参数

get_defined_vars：返回由所有已定义变量所组成的数组，因为包含了flag.php，所以flag.php里面肯定有$flag储存了flag。

web129

web130

web131

利用溢出绕过preg_match

web132

web133

利用curl -F带出flag.php

https://www.cnblogs.com/Hi-blog/p/Burp-Collaborator-Usage.html

https://www.ruanyifeng.com/blog/2019/09/curl-reference.html

web134

web135

web136

利用tee命令

web137

直接调用类，然后查看源码

web138

web139

web137

free time

ctfshow misc

misc30

解压要密码，放010看看，发现是伪加密，修改解压后得到MP3文件，foremost分离出一张jpg图片，发现高度似乎不对，宽高处理后发现猪圈密码，解密得到flag

𝓪𝔀𝓸𝓿𝓴𝓳'𝓑𝓵𝓸𝓰

misc总结

没有提示一般步骤

音频处理

1.MP3stego

2.Audacity

3.deepsound

4.silenteye(静默之眼)wav

misc之jpg解密

1.Steghide

2.Jphs工具

3.要爆破

编码

XXencode：字母有大小写，++

Ook编码：

猪圈密码

建站

建站要求：梯子,vercel、notion、github账号

视频教程：【NotionNext-Vercel部署】 https://www.bilibili.com/video/BV1fM4y1L7Qi/?share_source=copy_web&vd_source=e008185615b8f6dd46fa341976fa7e24

文字教程：https://docs.tangly1024.com/article/vercel-deploy-notion-next

github项目地址：NotionNextGithubNotionNextOwnertangly1024UpdatedSep 17, 2025

文件上传

文件上传可解析后缀

学习日记-5(buu)