notsosecure CTF 2014

PS:比賽已經結束，處處亂翻到的。

題目連接http://ctf.notsosecure.com/9128938921839838/

0x01

打開頁面發現是一個登陸頁面，而後右鍵源代碼。發現以下注釋

<!--H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA —>

　　

而後複製下來

echo 'H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA' | base64 -d |hexdump 

而後發現是gzip的文件而後執行

echo 'H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA' | base64 -d | gzip –d

發現註冊頁面

而後訪問它。

註冊後登陸，提示

說我不是admin，蛋疼這該腫麼辦。

0x02

MYSQL存在這樣的問題，若是入庫的時候，你插入的字符超出了MySQL的字段長度，MySQL會自動截斷到最大長度而後插入，並不會出錯。

因而註冊用戶名爲admin                                                                          a的用戶（中間有不少個空格）

註冊成功登陸

 

常見文件的前十個字節

http://note.youdao.com/share/?id=87513421ad65b26f7b8eb2cf736f5a90&type=note