​ 文章首发于安全客，地址：https://www.anquanke.com/post/id/170708

过年前做了一下，感觉还是挺有意思的。比赛官方也开源了比赛源码。

闲来无事想起安恒开了1月的周周练，就拿来练练手。

自己只做了web的部分。

Web1 easy

题目很直接的给出了源码

<?php  
@error_reporting(1); 
include 'flag.php';
class baby 
{   
    public $file;
    function __toString()      
    {          
        if(isset($this->file)) 
        {
            $filename = "./{$this->file}";        
            if (file_get_contents($filename))         
            {              
                return file_get_contents($filename); 
            } 
        }     
    }  
}  
if (isset($_GET['data']))  
{ 
    $data = $_GET['data'];
    preg_match('/[oc]:\d+:/i',$data,$matches);
    if(count($matches))
    {
        die('Hacker!');
    }
    else
    {
        $good = unserialize($data);
        echo $good;
    }     
} 
else 
{ 
    highlight_file("./index.php"); 
} 
?>

很明显的一个php反序列化漏洞，但是需要绕过/[oc]:\d+:/i这个条件，而我们对象序列化出来的必须是

​ 本文首发于补天平台，地址：https://mp.weixin.qq.com/s/Hm6TiLHiAygrJr-MGRq9Mw

在NUAACTF_2018中，我出了一道比较水的采用Spring框架的SSRF+Java Deserialization+Command Injection。个人觉得在出题时候也学习到了不少知识，特别是在Command Injection这一块让我对Command Injection有了新的看法。

NUAACTF 2018 writeup

[TOC]

Web

Web1 Asuri-Information-System

题目描述

http://ctf.asuri.org:8001

听说有五个很厉害的人，一个是admin,一个是admin1,一个是admin2,一个是admin3,一个是admin4。听说打败他们其中一个就可以拿到flag啦

flag格式为NUAACTF{.*}

信息收集

根据题目描述，我们要做的肯定就是要去登录admin[1-4] || admin了。

这次比赛在赛前看规则我觉得还挺有意思的，毕竟是采用一种新的AWD形式，Web方面采用的是正则配waf的形式去防御，然后当初给@Mio师傅看的时候，他表示也挺想来的。可惜他们学校没报销就没来了。这次就写写这两天的比赛经验吧。