notsosecure CTF 2014

PS:比赛已经结束，处处乱翻到的。

题目连接http://ctf.notsosecure.com/9128938921839838/

0x01

打开页面发现是一个登陆页面，而后右键源代码。发现以下注释

<!--H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA —>

　　

而后复制下来

echo 'H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA' | base64 -d |hexdump 

而后发现是gzip的文件而后执行

echo 'H4sIAAAAAAAAAAsyTs80LTEu0ssoyc0BACMzGYUNAAAA' | base64 -d | gzip –d

发现注册页面

而后访问它。

注册后登陆，提示

说我不是admin，蛋疼这该肿么办。

0x02

MYSQL存在这样的问题，若是入库的时候，你插入的字符超出了MySQL的字段长度，MySQL会自动截断到最大长度而后插入，并不会出错。

因而注册用户名为admin                                                                          a的用户（中间有不少个空格）

注册成功登陆

 

常见文件的前十个字节

http://note.youdao.com/share/?id=87513421ad65b26f7b8eb2cf736f5a90&type=note