网鼎杯_2018 _Web_fakebook

2021-03-03 23:28

阅读:446

标签:题目   class   实验   使用   fun   top   int   有一个   过滤   

0x01

进入页面如下,我们发现有两个按钮,login和join

技术图片

一般第一步我们应该是先对网站进行扫描,看看有没有扫描目录和文件,但是我在扫描的时候发现返回的状态码全是200,显然是做了手脚,但是这里我们还可以通过返回的页面长度来判断,因为不存在的页面都重定向到一个页面,发现存在robots.txt和flag.php,查看flag.php什么也看不到,那么查看robots.txt,结果如下

技术图片

提示我们有备份文件,我们下载下来,代码如下:

name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

}

这段代码我第一眼看到的就是__construct(),为什么呢?因为做过比较多了序列化和反序列化的题目,所以看到这个就跟敏感,就有中要用到序列化或者反序列的预感,事实验证了我的猜测,getBlogContents()其中这个调用了blog这个变量,那看来一会一定要用到这个函数,所以要想法调用这个函数才行,到此,我们先把这段代码给放一放

0x02

思路到这里似乎停滞不前了,好像突然断了,那我们想想还有什么没有用到的地方,想到这里想起来,我们还有一个按钮没点呢,就是join,我们点击看一看

技术图片

随便输入一下

技术图片

然后回显到页面结果如下,看到回显的第一瞬间其实我是想到sql注入,但是这里尝试没有注入,与此同时看到回显结果的时候有一个地方引起了我的注意,就是username,其他的都是黑色的,只有这个是蓝色的,是有连接的,所以点击1

然后我们来到了这里

技术图片

看到这里我就更加断定这里肯定有注入,所以单引号尝试一下,果然有注入,那么接下来注入开始

判断字段数

技术图片

技术图片

通过以上结果,我们知道字段数为4

判断数据库名

结果如下

技术图片

那看来是过滤了,通过验证不是过滤的select,也不是union,而是过滤的union select这个整体,所以我们可以把中间的空格改变一下就可以绕过,这里可以用/**/代替空格

结果如下

技术图片

技术图片

判断表名

技术图片

得到表名users

判断列名

技术图片

查数据

技术图片

O:8:"UserInfo":3:{s:4:"name";s:1:"1";s:3:"age";i:1;s:4:"blog";s:11:"www.123.com";} 

得到了一段序列化代码,巧了,和之前代码分析的一段连上了

0x03

到目前为止,我们先思考一下,首先我们发现了一段代码,这段代码提示我们可能需要序列化,其次我们在后续的注入过程中发现的数据是序列化的,这两者联系起来告诉我们什么?告诉我们,我们需要在data数据上进行操作,什么操作?读取文件!可是该如何读取文件呢?这里很自然联想到了file协议,使用file协议来进行文件读取

序列化代码:

payload:

view.php?no=-1 union/**/select 1,2,3,‘O:8:"UserInfo":3:{s:4:"name";s:1:"1";s:3:"age";i:1;s:4:"blog";s:29:"file:///var/www/html/flag.php";}‘--+

查看页面源代码:

技术图片

很明显的提示,base64解密一下,结果如下:

技术图片

拿到flag

总结:

CTF中常考序列化和反序列化,对于序列化中常见的一些函数一定要敏感,像这个题,我在看到备份文件代码的那一刻,就知道一定会用到序列化或者反序列化,再加上最后注入得到的data数据形式,无不在验证我的想法。

网鼎杯_2018 _Web_fakebook

标签:题目   class   实验   使用   fun   top   int   有一个   过滤   

原文地址:https://www.cnblogs.com/Jleixin/p/13270165.html


评论


亲,登录后才可以留言!