CTF on Jay's CTF life

ImaginaryCTF 2025 codenames-1

Tue, 02 Jun 2026 21:40:00 +0800

题目提示：

author: Eth007

I hear that multilingual codenames is all the rage these days. Flag is in /flag.txt.

a. 代码审计

1. 基于 /create_game 上半部分的

打开附件发现有两个附件，app.py 和 bot.py，点开第一个 app.py 前面并没有发现什么异样，直到我们定位到 /create_game 这个路径下，其中存在一个致命的漏洞 —- os.path.join()，当参数中存在绝对地址也就是 / 会抛弃前面所有的路径。

举几个例子：

os.path.join("words", "english.txt")，这是正常拼接，结果为：words/english.txt
os.path.join("words", "/flag.txt")，由于出现 /，要抛弃前面所有路径，结果为：/flag.txt
os.path.join("a/b/c/d", "/etc/passwd")，结果为：/etc/passwd

@app.route('/create_game', methods=['POST']) # 这里是上半部分
def create_game():
 if 'username' not in session:
 return redirect(url_for('index'))
 # generate unique code
 while True:
 code = ''.join(random.choices(string.ascii_uppercase + string.digits, k=6))
 if code not in games:
 break
 # prepare game with selected language word list
 # determine language (default to first available)
 language = request.form.get('language', None)
 if not language or '.' in language:
 language = LANGUAGES[0] if LANGUAGES else None
 # load words for this language
 word_list = []
 if language:
 wl_path = os.path.join(WORDS_DIR, f"{language}.txt")
 try:
 with open(wl_path) as wf:
 word_list = [line.strip() for line in wf if line.strip()]
 except IOError as e:
 print(e)
 word_list = []

在得知了这个漏洞之后，继续审代码，发现在拼接之后，会尝试打开 wl_path，之后把值赋给 word_list。

CISCN 2026 Web easy_time

Tue, 12 May 2026 14:13:01 +0800

我这是复现，所以有些环境可能会有出入，借鉴了一些大佬的思路（第十九届全国大学生信息安全竞赛半决赛 Web 题 easy_time 详细题解：Cookie 伪造 + Zip Slip + SSRF 拿 Flag）。

a. 登录界面

这是一个登录界面，我们的常规思维就是想会不会是 admin+admin 或者 admin+admin123 的这种格式，结果都不是。然后我们打开题目附件发现：

def is_logged_in() -> bool:
 return flask.request.cookies.get("visited") == "yes" and bool(flask.request.cookies.get("user"))

这是成功登录的条件：在 Cookie 头里面传入两个参数，一个是 visited，值为 yes；另外一个是检查 Cookie 头里面 user 是否存在赋值。于是我们构建 payload：

Cookie: visited=yes; user=admin

但是随后我们用 bp 将该 payload 发包给目的网址，发现没有任何反应，于是我们继续代码审计，发现有两处代码说得很清楚。

1. 抓包路径必须为根目录

@app.route('/')
def home():
 if is_logged_in():
 return flask.redirect(flask.url_for("dashboard"))
 return flask.redirect(flask.url_for("login"))

因为登录校验是在根目录做的校验，所以抓包也应该在根目录进行。当满足登录条件的时候，网页会重定向到 /dashboard 这个界面，反之不满足就应该跳转回 login。

CISCN 2026 Web MediaDrive

Fri, 08 May 2026 18:08:01 +0800

a. 漏洞概述

在 preview.php 这个文件中，通过特定文件名的拼接，利用函数 iconv() 的转码漏洞，实现文件读取，最终获得 flag。

b. 代码审计

$user = null;
if (isset($_COOKIE['user'])) {
 $user = @unserialize($_COOKIE['user']);
}
if (!$user instanceof User) {
 $user = new User("guest");
 setcookie("user", serialize($user), time() + 86400, "/");
}

将 user 这个对象序列化，存到 cookie 中，使用的时候再将它反序列化，赋值给变量 $user。

$f = (string)($_GET['f'] ?? "");
if ($f === "") {
 http_response_code(400);
 echo "Missing parameter: f";
 exit;
}
$rawPath = $user->basePath . $f;

采用 GET 方式获取 f 的值，之后将它和 user 对象里面的 basePath 拼接，赋值给变量 $rawPath。其中 basePath 是 user 对象里面的一个属性，是我们构造特定文件名的利用点。

SWPUCTF 2021 新生赛 hardrce

Wed, 18 Mar 2026 13:42:26 +0800

本体总来讲还是比较简单的，主要就是考察 RCE 绕过，不过也给新入门的小伙伴提供了一个新思路，就是无字母的 RCE，可以进行绕过，例如异或、取反、自增自减等。

a. 源代码

<?php
header("Content-Type:text/html;charset=utf-8");
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['wllm']))
{
 $wllm = $_GET['wllm'];
 $blacklist = [' ','\t','\r','\n','\+','\[','\^','\]','\"','\-','\$','\*','\?','\<','\>','\=','\`',];
 foreach ($blacklist as $blackitem)
 {
 if (preg_match('/' . $blackitem . '/m', $wllm)) {
 die("LTLT说不能用这些奇奇怪怪的符号哦！");
 }
 }
 if(preg_match('/[a-zA-Z]/is',$wllm))
 {
 die("Ra's Al Ghul说不能用字母哦！");
 }
 echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？";
 eval($wllm);
}
else
{
 echo "蔡总说：注意审题！！！";
}
?>

b. 代码审计

大部分都是常见的代码，本题唯一重要的两个点就是两个 preg_match() 函数用于过滤：第一个 preg_match() 用于过滤特殊符号，第二个 preg_match() 将大小写所有字母过滤。

c. 具体解法

我们已知的是将所有字母过滤，特殊符号过滤了 ^，但没有过滤 ~（取反），所以我们能用取反编码的方式来解决这个题。

GXYCTF 2019 Ping Ping Ping

Mon, 16 Mar 2026 00:17:57 +0800

a. 方法一

进入题目我们发现需要 ping 地址，那我们就输入常见的 127.0.0.1，正常回显：

之后试着在地址之后加上指令 ls 来读取文件：

看到两个 php 文件之后，我们第一时间想着去读取试试，结果返回的是：

127.0.0.1;cat /index.php
1fxck your symbol!

经过尝试我们发现这里过滤了空格。然后我们尝试 ${IFS} 去绕过，发现还是不行，我们继续尝试 $IFS$9：

<?php
if(isset($_GET['ip'])){
 $ip = $_GET['ip'];
 if(preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{1f}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
 print_r($match);
 print($ip);
 echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
 die("fxck your symbol!");
 }
 else if(preg_match("/ /", $ip)){
 die("fxck your space!");
 }
 else if(preg_match("/bash/", $ip)){
 die("fxck your bash!");
 }
 else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
 die("fxck your flag!");
 }
 $a = shell_exec("ping -c 4 ".$ip);
 echo "<pre>";
 print_r($a);
}
?>

这里的源代码也可以看出来过滤了空格和大括号。然后我们想着试一下 cat$IFS$9flag.php，发现不能直接用——因为里面既过滤了 flag 整个字段，同时把顺带的 * 通配符也过滤了。因此我们选择一个变量赋值的取巧方法，用 q 变量拼接出 flag：

SWPUCTF 2021 新生赛 no_wakeup

Tue, 10 Mar 2026 20:10:02 +0800

源代码

<?php
header("Content-type:text/html;charset=utf-8");
error_reporting(0);
show_source("class.php");

class HaHaHa{
 public $admin;
 public $passwd;

 public function __construct(){
 $this->admin = "user";
 $this->passwd = "123456";
 }

 public function __wakeup(){
 $this->passwd = sha1($this->passwd);
 }

 public function __destruct(){
 if($this->admin === "admin" && $this->passwd === "wllm"){
 include("flag.php");
 echo $flag;
 }else{
 echo $this->passwd;
 echo "No wake up";
 }
 }
}

$Letmeseesee = $_GET['p'];
unserialize($Letmeseesee);
?>

a. 代码审计

首先定义了两个变量 admin 和 passwd。

__construct()：该方法和 Java 里面构造函数的作用很类似，它是 PHP 里面的构造函数，当代码出现 new 对象的时候自动调用这个函数，为两个变量赋初值。
__wakeup()：这是 PHP 的内置魔术方法，$this->passwd = sha1($this->passwd) 这句话会将 passwd 的值进行哈希加密，之后赋给变量 passwd，而且当代码出现反序列化操作的时候就会触发这个函数。
__destruct()：当输入的内容经过一系列操作之后（包括触发了哈希加密之后）仍然符合条件，即 $admin === "admin" 并且 $passwd === "wllm" 时，包含一个 flag.php 文件，同时返回 flag。

最后的话就是通过 GET 方式赋初值，之后进行反序列化操作。

SWPUCTF 2021 新生赛 babyrce

Thu, 05 Mar 2026 19:13:30 +0800

附题目链接：https://www.nssctf.cn/problem/425

源码

<?php
error_reporting(0);
header("Content-Type:text/html;charset=utf-8");
highlight_file(__FILE__);
if($_COOKIE['admin'] == 1)
{
 include "../next.php";
}
else
 echo "小饼干最好吃啦！";
?>

a. 代码审计

error_reporting(0)：这是 PHP 的内置报错控制函数，无论代码哪里出现错误都不会显示。
$_COOKIE['admin'] == 1 的意思是当 cookie 中 admin 的值为 1 的时候，执行包含一个 php 文件。

b. 具体执行

根据前面的代码审计，给 cookie 的 admin 赋值为 1：

操作之后包含了一个名为 rasalghul.php 的文件，我们将它添加到端口之后获得以下源码：

<?php
error_reporting(0);
highlight_file(__FILE__);
error_reporting(0);
if (isset($_GET['url'])) {
 $ip = $_GET['url'];
 if(preg_match("/ /", $ip)){
 die('nonono');
 }
 $a = shell_exec($ip);
 echo $a;
}
?>

通过 GET 传参的方式获取一个叫 url 的参数，随后将这个参数赋给变量 ip。preg_match 是 PHP 的内置函数，将变量 ip 和 "/ /" 里面的东西比较，如果说有相同就执行 die——这里的话是跟空格比较，也就是过滤了空格：

SWPUCTF 2021 新生赛 easy_md5

Tue, 03 Mar 2026 10:19:09 +0800

题目链接：https://www.nssctf.cn/problem/386

需要使用到的工具是 HackBar：

源代码

<?php
highlight_file(__FILE__);
include 'flag2.php';
if (isset($_GET['name']) && isset($_POST['password'])){
 $name = $_GET['name'];
 $password = $_POST['password'];
 if ($name != $password && md5($name) == md5($password)){
 echo $flag;
 }
 else {
 echo "wrong!";
 }
}
else {
 echo 'wrong!';
}
?>

a. 代码审计

代码通过 $_GET['name'] 和 $_POST['password'] 分别为 name 和 password 赋初值。
if ($name != $password && md5($name) == md5($password)) 的意思是当变量 name 和变量 password 的值不相等，且两者 MD5 哈希值弱相等（==）时输出 flag，否则输出 wrong。

b. 具体解法

由以上我们可以得知：当且仅当 name 和 password 的值不相等，且两者进行 MD5 加密之后的值弱相等，则能得到我们要的 flag。