polarctf2025秋 - 技术栈

狗黑子的eval

查看源代码并没有什么发现。所以先进行目录扫描看看

发现flag.php和shell.php两个隐藏文件，分别访问看看

访问flag.php发现"tips:gouheizigouheizi=2gouheizi //不要勾八"这段提示，但是有点不太懂

查看源代码发现"payload.php 狗黑子数数喜欢从1开始，不喜欢0",通过这段话我们可以访问一下payload.php看看

发现一段代码，并有一段提示gou=a,gougou=b;

我们根据提示gou=a,gougou=b; 可以知道这不是普通注释，而是 "变量别名映射"：对应字母表的 a，gougou 对应 b 推导规律：gou+数字对应字母 1gou=a、2gou=b、3gou=c

所以$gou1="12gou"对应的字母为l

$gou5="16gou"对应的字母为p

$gou4="5gou"对应的字母为e

$gou6="gou"对应的字母为a

$gou2="22gou"对应的字母是v

$gou3="15gou"对应的字母为o

$gou7="c3Rnbw=="解码后的结果为stgo

gou4+gou2+gou6+gou1+gou5+gou3 → e+v+a+l+p+o → evalpo

$gou8 $34$ → 字符5

$gou8 $10$ → 字符7

$gou8 $15$ → 字符8

$gou8 $105$ → 字符0

$gou8 $51$ → 字符3

$gou14=$ gou12 → 字符8

拼接 gou11+gou13+gou17+gou12+gou10+gou14 → 3+5+7+8+0+8 → 357808

$gou8的原始内容是Unicode 编码的中文，解码后是：经过抖音快手我是一个菜鸡白痴，就是玩不懂 Base64啊哈哈哈 Base64 晕了我我头疼死了。

白痴" 的拼音是baichi，结合 CTF 常见的谐音 / 错别字套路，baizi→ 结合gou（狗）→ goubaizi，这就是最终输出evalpostgoubaizi的核心

复制代码

<?php 
highlight_file(__FILE__);
//gou=a,gougou=b;
$gou1="12gou";$gou5="16gou";$gou4="5gou";$gou6="gou";
$gou2="22gou";$gou3="15gou";
$gou7="c3Rnbw==";
$gou8='5pys572R6aG15piv5LiA5Liq5zyo57q/5bel5YW377yM5Y+v5Lul5oqK5a2X56ym5Liy6L2s5oiQIEJhc2U2NzCDmiJbogIXku44gQmFzzTY0IOi9rOaIkOaIkOWtl+espuS4s';
$gou13=$gou8{34};$gou17=$gou8{10};$gou12=$gou8{15};$gou10=$gou8{105};$gou14=$gou12;$gou11=$gou8{51};

$gou=$gou4.$gou2.$gou6.$gou1.$gou5.$hou3.$gou7.$gou8.$gou11.$gou13.$gou17.$gou12.$gou10.$gou14;
?>

<?php 
highlight_file(__FILE__);
// 变量映射表：
// gou1=12gou → 12→l | gou2=22gou→22→v | gou3=15gou→15→o
// gou4=5gou→5→e | gou5=16gou→16→p | gou6=gou→a
$gou1="12gou";$gou5="16gou";$gou4="5gou";$gou6="gou";
$gou2="22gou";$gou3="15gou";

// Base64解码：c3Rnbw== → stgo
$gou7="c3Rnbw==";
// 修正后的gou8（开头加a，适配字符下标）
$gou8='a5pys572R6aG15piv5LiA5Liq5Zyo57q/5bel5YW377yM5Y+v5Lul5oqK5a2X56ym5Liy6L2s5oiQIEJhc2U2NCDmiJbogIXku44gQmFzZTY0IOi9rOaIkOaIkOWtl+espuS4s';

// PHP7.4+兼容：{}改为[]，截取指定位置字符
$gou13=$gou8[34];  // 5
$gou17=$gou8[10];  // 7
$gou12=$gou8[15];  // 8
$gou10=$gou8[105]; // 0
$gou14=$gou12;     // 8
$gou11=$gou8[51];  // 3

$gou=$gou4.$gou2.$gou6.$gou1.$gou5.$gou3.$gou7.$gou8.$gou11.$gou13.$gou17.$gou12.$gou10.$gou14;

$a=$gou4.$gou2.$gou6.$gou1.$gou5.$gou3; // e+v+a+l+p+o = evalpo
$b=$gou11.$gou13.$gou17.$gou12.$gou10.$gou14; // 3+5+7+8+0+8 = 357808
$dec_gou7 = base64_decode($gou7); // stgo

// 最终拼接
echo "evalpostgo".$b; // evalpostgo357808
echo "<br>evalpostgoubaizi"; 
?>

最终拼接出来的evalpostgoubaizi这段像一句话木马eval post goubaizi

直接进行命令执行

但是执行后无回显，所以使用重定向输出

post：goubaizi=system("ls / >index.php");

然后访问index.php，会发现

没有发现存放flag的文件，使用：find / -name "*flag*" 2>/dev/null来查找flag在哪里

输入 goubaizi=system("find / -name '*flag*' 2>/dev/null >index.php");

发现flag在 /etc/flag

所以查看flag

输入 goubaizi=system("cat /etc/flag >index.php");

flag{31b657d6f6cb8a63b8d06e1682d526a0}

狗黑子的登录

打开题目便是一个登录页面，尝试弱密码发现是不可以的

使用dirsearch来进行目录扫描，发现有源码泄露

我们可以使用GitHack来下载泄露的源码

index.php文件内容

复制代码

<?php
session_start();

if (isset($_SESSION['logged_in']) && $_SESSION['logged_in'] === true) {
    header('Location: admin.php');
    exit;
}


if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['seclients_can_register'])) {
    $registerValue = $_POST['seclients_can_register'];
    // 明确处理0和1两种情况
    if ($registerValue == 1) {
        $_SESSION['show_register'] = true;  
    } elseif ($registerValue == 0) {
        $_SESSION['show_register'] = false; 
    }
}

// 处理登录
$error = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['login'])) {
    $username = $_POST['username'] ?? '';
    $password = $_POST['password'] ?? '';
    
    require 'config.php';
    
    if (isset($users[$username]) && $users[$username] === $password) {
        $_SESSION['logged_in'] = true;
        $_SESSION['username'] = $username;
        header('Location: admin.php');
        exit;
    } else {
        $error = '用户名或密码不正确';
    }
}
?>
<!DOCTYPE html>
<html lang="zh-CN">
<head>
    <meta charset="UTF-8">
    <title>狗黑子的小破站</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            display: flex;
            justify-content: center;
            align-items: center;
            height: 100vh;
            margin: 0;
            background-color: #f0f0f0;
        }
        .login-container {
            background-color: white;
            padding: 2rem;
            border-radius: 8px;
            box-shadow: 0 0 10px rgba(0,0,0,0.1);
        }
        .form-group {
            margin-bottom: 1rem;
        }
        label {
            display: block;
            margin-bottom: 0.5rem;
        }
        input {
            width: 100%;
            padding: 0.5rem;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        button {
            width: 100%;
            padding: 0.5rem;
            background-color: #007bff;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background-color: #0056b3;
        }
        .error {
            color: red;
            margin-bottom: 1rem;
        }
        .register-btn {
            margin-top: 1rem;
            font-size: 0.8rem;
            padding: 0.3rem;
            background-color: #6c757d;
        }
        .register-btn:hover {
            background-color: #5a6268;
        }
    </style>
</head>
<body>
    <div class="login-container">
        <h2>用户登录</h2>
        <?php if ($error): ?>
            <div class="error"><?php echo $error; ?></div>
        <?php endif; ?>
        
        <form method="post">
            <div class="form-group">
                <label for="username">用户名</label>
                <input type="text" id="username" name="username" required>
            </div>
            <div class="form-group">
                <label for="password">密码</label>
                <input type="password" id="password" name="password" required>
            </div>
            <button type="submit" name="login">登录</button>
            
            <?php if (isset($_SESSION['show_register']) && $_SESSION['show_register'] === true): ?>
                <button type="button" class="register-btn" onclick="window.location.href='register.php'">注册</button>
            <?php endif; ?>
        </form>
    </div>
</body>
</html>

admin.php文件内容

vb 复制代码

`<?php
session_start();

if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
    header('Location: index.php');
    exit;
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['seclients_can_upload']) && $_POST['seclients_can_upload'] == 1) {
    $_SESSION['show_upload'] = true;
}

$upload_message = '';
if (isset($_SESSION['show_upload']) && $_SESSION['show_upload'] === true && $_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['file'])) {
    $target_dir = "uploads/";
    if (!file_exists($target_dir)) {
        mkdir($target_dir, 0777, true);
    }
    
    $target_file = $target_dir . basename($_FILES["file"]["name"]);
    $uploadOk = true;
    

    if ($_FILES["file"]["size"] < 200 * 1024) {
        $upload_message = "文件太小了。";
        $uploadOk = false;
    }
    

    $image_types = array('image/jpeg', 'image/png', 'image/gif', 'image/webp');
    $file_type = $_FILES["file"]["type"];
    
    if (!in_array($file_type, $image_types)) {
        $upload_message = "只允许上传图片文件 (JPG, PNG, GIF, WEBP)。";
        $uploadOk = false;
    }
    

    if ($uploadOk && move_uploaded_file($_FILES["file"]["tmp_name"], $target_file)) {
        $upload_message = "文件 " . htmlspecialchars(basename($_FILES["file"]["name"])) . " 上传成功。";
    } elseif ($uploadOk) {
        $upload_message = "文件上传失败。";
    }
}
?>
<!DOCTYPE html>
<html lang="zh-CN">
<head>
    <meta charset="UTF-8">
    <title>狗黑子的小破站</title>
    <style>
        body {
            font-family: Arial, sans-serif;
            padding: 2rem;
        }
        .upload-section {
            margin-top: 2rem;
            padding: 1rem;
            border: 1px solid #ddd;
            border-radius: 4px;
        }
        .message {
            margin: 1rem 0;
            padding: 1rem;
            border-radius: 4px;
        }
        .success {
            background-color: #d4edda;
            color: #155724;
        }
        .error {
            background-color: #f8d7da;
            color: #721c24;
        }
        button {
            padding: 0.5rem 1rem;
            background-color: #dc3545;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        button:hover {
            background-color: #c82333;
        }
        input[type="file"] {
            margin: 1rem 0;
        }
        input[type="submit"] {
            padding: 0.5rem 1rem;
            background-color: #28a745;
            color: white;
            border: none;
            border-radius: 4px;
            cursor: pointer;
        }
        input[type="submit"]:hover {
            background-color: #218838;
        }
    </style>
</head>
<body>
    <h1>恭喜进来<?php echo htmlspecialchars($_SESSION['username']); ?>！</h1>
    <p><a href="logout.php"><button>退出登录</button></a></p>
    
    <?php if ($upload_message): ?>
        <div class="message <?php echo strpos($upload_message, '成功') !== false ? 'success' : 'error'; ?>">
            <?php echo $upload_message; ?>
        </div>
    <?php endif; ?>
    
    <?php if (isset($_SESSION['show_upload']) && $_SESSION['show_upload'] === true): ?>
        <div class="upload-section">
            <h2>文件上传</h2>
            <form method="post" enctype="multipart/form-data">
                <input type="file" name="file" id="file">
                <br>
                <input type="submit" value="上传文件" name="upload">
            </form>
        </div>
    <?php endif; ?>
</body>
</html>
`

在index.php中我们知道seclients_can_register 这个 POST 参数可以控制是否显示注册按钮（值为 1 显示，0 隐藏）所以我们可以先通过POST传seclients_can_register=1来开启注册，注册账号后登录。

点击注册来注册用户，注册成功后就进行登录

根据admin.php代码，知道这里可以进行文件上传，但是要通过POST传seclients_can_upload=1才能显示出来

根据源码我们知道这里只检查MIME和文件大小，代码提到文件大小如果小于200k就会返回文件太小了而上传失败，代码还提到只能上传图片文件，但是检查的是MIME

文件上传成功后就可以进行蚁剑连接

flag在根目录下的flag.txt

flag{aa1e3ea993e122de5de6e387db6c8609}

ZGZH

打开题目便是这样的页面，要求提交您的序列化用户信息

我们先将user进行一个反序列化，但是就只知道一个user类，其他的成员变量等什么信息都不知道

所以先进行目录扫描

发现了flag文件，先进行访问

返回"还没结束呢账号弄完了再去pass里搞个密码吧"

所以先访问pass.php页面

这时会来到安全验证中心，这里有五点要求，所以密码要满足这五点要求，最重要的是和857是弱比较

我们可以输入857.00E+0000

就会返回flag：flag{you_found_the_correct_password}

老刘的小店

打开题目便是要求只有登录成功才能进入老刘的polar牢店，但是下面也写有你说你不是老刘的粉丝那还不赶快加一个

所以，我们相加入成为粉丝

进入便是这样，可以买商品，但是这里的商品都比我现在所拥有的金币要多，根本买不了

在查看源码中发现了，我们这里有，添加前端验证，限制转账金额在1-9之间，这是前端验证，我们可以抓包进行修改转金额

所以重新再创建一个账号，点击转账，然后抓包

这样账户2就有了很多金币

这时我们来购买一下最贵的老刘的秘密钥匙

购买成功后，获得一个用户名和密码

用这个用户名密码来进行登录

进入了老刘的个人页面，这些都是老刘的平生简介

查看源代码发现了

复制代码

if (isset($_GET['id'])) {
$id=$_GET['id'];
    if(preg_match("/ls|dir|flag|type|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i",$id)) {
        $output = '你想干什么？';
    }else{
     system($id);
    }
}

要求通过GET传入id参数，参数的值不能有正则匹配中的内容，这里可以使用转义字符来绕过

先输入ls /发现了flag文件，进行查看一下flag文件的内容

输入?id=c\at /f\lag，就得到了flag

flag：flag{thegiftforliuge520}

Squirtle的论坛

打开便是这张页面，这里讲这里的user可以是任何人，但master只能是Squirtle

查看源代码并没有看到有用的信息，所以进行目录扫描，发现一些路径

访问/admin.php，返回无权限访问

看到无权限访问想到的是master只能是Squirtle，看看是不是伪造cookie值将master=Squirtle

进入到admin.php页面

这里可以发表帖子还可以进行文件上传，看到这个页面想到的是xss和文件上传漏洞

先看看文件上传，上传一句话木马文件。内容为：<?php @eval($_POST $'cmd'$ );?>

上传成功，点击1.php文件查看一下，获取上传的目录

进行命令执行

flag{PolarD&N_YYDS}

狗黑子的舔狗日记

也没有什么就只有微信，朋友圈，我，我中只有退出登录可以点，源代码中也没有发现什么信息，就尝试扫描目录看看有没有什么信息

发现flag.php文件和一个压缩包文件还有源码文件

访问flag.php

就一个表白页面，看了源代码也没有什么发现

访问压缩文件

是一个密码字典

访问index.php文件

到微信界面，但是之前的微信界面的url是?page=xiaoxi.php

所以应该是通过?page参数来访问index.php,尝试目录穿越，但是显示不支持其他操作

尝试使用伪协议来读取文件

解码

发现了flag的base64的加密

知道了flag的内容是女神的名字MD5加密的结果

也得知了女神微信号：nvshen。加上前面的密码字典和上面目录扫描的/index.php/login/

可以登录女神的微信

/index.php/login/这个路径没用，只能从我，退出登录，然后重新登录

密码是：nvshen345。登录成功

尝试了，这个页面只可以发消息

尝试发了个不想去就会名字了

名字：柳茹烟

进行MD5加密

flag{aa1e3ea993e122de5de6e387db6c8609}

狗黑子的跳转

在index中看到这个表单是通过post传数据，而且还显示了这个按钮的id是moveBtn，所以通过POST看看

就进入到这个上传页面

我们还可以禁用JS，这样按钮就不会乱动了

上传一句话木马文件，点击选择文件发现这个是只能上传图片马

所以上传图片马文件cmd.png内容是<?php @eval($_POST $'cmd'$ );?>

抓包，将png改为php后放行，发现上传成功，这只是一个前端检验

虽然上传成功但是没有返回路径

但是看url会发现./ghzgouheizi.php?gou=ghzgouheizi.php 这是一个文件包含，使用php://filter来读取ghzgouheizi.php的内容，发现：

复制代码

<?php

if (!isset($_GET['gou'])) {
    header("Location: ?gou=ghzgouheizi.php");
    exit;
}


$gou = $_GET['gou'];


if (strpos($gou, '../') !== false) {
    die("不允许访问上级目录！");
}

$blockProtocols = ['php://input', 'data://', 'phar://'];
foreach ($blockProtocols as $proto) {
    if (strpos($gou, $proto) === 0) {
        die("禁止使用危险协议！");
    }
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['file'])) {
    $file = $_FILES['file'];

    $allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
    if (!in_array($file['type'], $allowedTypes)) {
        die("只允许上传图片文件！");
    }

    $ext = pathinfo($file['name'], PATHINFO_EXTENSION);
    if (empty($ext)) {
        die("文件缺少扩展名！");
    }

    $originalName = $file['name'];
    $base64Name = base64_encode($originalName);
    $md5Name = md5($base64Name);
    $filename = $md5Name . '.' . $ext;

    $uploadDir = './uploads/';
    if (!is_dir($uploadDir)) {
        mkdir($uploadDir, 0755, true);
    }

    $uploadPath = $uploadDir . $filename;
    if (move_uploaded_file($file['tmp_name'], $uploadPath)) {
        echo "文件上传成功！";
    } else {
        die("文件上传失败！");
    }
}

$currentFile = basename(__FILE__);
if ($gou !== $currentFile) {
    $includePath = './' . $gou;
    if (strpos($gou, 'php://filter') === 0) {
        include($gou);
    } elseif (is_file($includePath)) {
        include($includePath);
    } else {
        die("包含的文件不存在或不是有效文件！");
    }
    exit;
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>狗黑子的小破站</title>
</head>
<body>
<form method="post" enctype="multipart/form-data">
    <input type="file" name="file" accept="image/*">
    <button type="submit">上传</button>
</form>
</body>
</html>