NSS刷题

1、[SWPUCTF 2021 新生赛]gift_f12

打开题目后查看源码无发现，用f12发现flag

2、[GDOUCTF 2023]hate eat snake

打开链接是一个贪吃蛇小游戏，f12找到js文件中有一个speed++的语句，该语句的作用是使速度增加，因此，将该语句删除后运行等待6即可通关。

将其注释掉后得到flag

3、[FSCTF 2023]是兄弟，就来传你の🐎！

页面是一个文件上传，上传正常的一句话木马，显示不被允许，尝试修改MIME类型和文件名

修改后上传显示 get out hacker!!!

说明题目对eval（）或者php存在过滤，将eval替换成request后再次上传，发现没有效果再对php进行替换，

显示太长，想到php短标签

php短标签

<? echo '123';?> #前提是开启配置参数short_open_tags=on
<?=(表达式)?> 等价于 <?php echo (表达式)?> #不需要开启参数设置
<% echo '123';%> #开启配置参数asp_tags=on，并且只能在7.0以下版本使用
<script language="php">echo '123'; </script> #不需要修改参数开关，但是只能在7.0以下可用。

PHP 中的反引号

PHP中，反引号可以直接命令执行系统命令，但是如果想要输出执行结果还需要使用 echo 等函数：

	<?php echo `ls /`;?> // Linux
	<?php echo `dir`;?> // Windows

因为限制了长度，所以使用php短标签，短标签不闭合也能执行，尽可能缩短内容长度，把GIF89A也写成BM。

BM<? `cat /`;?>

上传成功，直接访问路径得到flag（注意语句闭合！！！）

4、[SWPUCTF 2022 新生赛]ez_ez_php

打开题目是个文件包含的题目，通过get传参传入参数file,用substr函数处理刚刚传入的file函数

substr

(PHP 4, PHP 5, PHP 7, PHP 8)

substr — 返回字符串的子串

说明 ¶

substr(string $string, int $offset, ?int $length = null): string

返回字符串 string 由 offset 和 length 参数指定的子字符串。

例：

<?php echo substr('abcdef', 1); // bcdef echo substr("abcdef", 1, null); // bcdef; 在 PHP 8.0.0 之前，返回空字符串 echo substr('abcdef', 1, 3); // bcd echo substr('abcdef', 0, 4); // abcd echo substr('abcdef', 0, 8); // abcdef echo substr('abcdef', -1, 1); // f

这题是文件包含，想到php伪协议，根据代码意思，应该以php开头

构造payload

file=php://filter/read=convert.base64-encode/resource=flag.php

base64解码

发现提示了flag的位置，再次构造payload：

file=php://filter/read=convert.base64-encode/resource=flag

再次base64解码得到flag

5、[SWPUCTF 2022 新生赛]webdog1__start

查看源码得到一段php代码，要求是get传参，传入变量web，将web的值赋给first，MD5加密后的值要与初始值相等。了解到0e215962017这个值加密之后还是0e开头，因此构造

?web=0e215962017

出现了许多链接，尝试后只有第一个可以打开，打开后是一个网页，没有找到有关信息f12查看后发现了一个start.php，里面有一个hint，，提示了先查看f14g.php

打开后发现没有可用信息，但是又指向了一个F1l1l1l1l1lag.php

再次尝试查看，发现了一段php代码

strstr()

strstr() 函数是 PHP 中用于在字符串中查找子字符串的函数，该函数返回在字符串中第一次出现的子字符串及其后面的所有内容。

strstr(string $haystack, string $needle, bool $before_needle = false): string|false

第一个判断语句尝试判断访问本页面时是否正确传递 get 查询字符串参数。若有，则将 get 查询字符串参数的值传递给 变量 get。第二个判断语句尝试判断 get 变量的值中是否存在 空格。若存在，则立即终止程序并向终端或页面输出 nonono。若不存在，则将 get 变量中的 flag 子文本（不区分大小写）替换为包含单个空格的字符串。第三个判断语句尝试判断 get 变量的值所占据的内存空间是否大于 18 字节。若是，则终止程序并向终端或页面输出 This is too long.。若不是，则通过 eval() 函数将 get 变量中值作为 PHP 代码进行执行。