进到actionphp页面 参数file=2.txt 文件包含 利用伪协议filter读取index与action源码

$_POST name 会被写到session里 尝试读一下session位置

读出来，然后往name值注入PHP 代码 就会被include视为php执行
payload:name='); ?> 回包username|s:68:“”; http测试一下shell.php 成功传马 蚁剑连接 在目录下找到flag文件

只给了一个pyre.exe 图标看起来像pyinstaller打包的 检查是否需要使用 pyinstxtractor.py 来逆向为pyc文件
python .\pyinstxtractor.py .\pyre.exe 执行后多出一个目录 目录下1可以看到.pyc就是原文件 但是无法反编译
试着修头，将struct.pyc前16个字节覆盖1.pyc的前十六个字节 修复1pyc的头部 然后放入在线反编译网站进行源码编译

def check():     a = input('plz input your flag:')     c = [         144,         163,         158,         177,         121,         39,         58,         58,         91,         111,         25,         158,         72,         53,         152,         78,         171,         12,         53,         105,         45,         12,         12,         53,         12,         171,         111,         91,         53,         152,         105,         45,         152,         144,         39,         171,         45,         91,         78,         45,         158,         8]     if len(a) != 42:         print('wrong length')         return 0     b = None     for i in range(len(a)):         if ord(a[i]) * 33 % b != c[i]:             print('wrong')             return None     print('win')  check() 

b未知，先爆b。

#ord('f') *33 % b = 114 flag = 'flag' for b in range(1,4125):     if((ord('f') * 33) % b == 144):         if((ord('l') * 33) % b == 163):             if ((ord('a') * 33) % b == 158):                 if ((ord('g') * 33) % b == 177):                     print(b) //179 

逆向取余，爆破脚本

c = [         144, 163, 158 177, 121, 39, 58, 58, 91, 111, 25, 158, 72, 53, 152,
        78, 171, 12, 53, 105, 45,
        12, 12, 53, 12, 171, 111, 91, 53, 152, 105, 45, 152, 144, 39, 171, 45, 91, 78, 45, 158, 8]
b = 179
for i in range(len(c)):
    for d in range(1,24):	//ord('}')=125,125*33 / 179 = 23 得到最大爆破次数
        if((b*d + c[i]) % 33 == 0):
            print(chr((b*d + c[i]) // 33),end='')	//flag{2889e7a3-0d6b-4cbb-b6e9-04c0f26c9dca}