i春秋WEB CTF 2

题6：SQL，出题人就告诉你这是个注入，有种别走！

解题：这是一个存在sql注入漏洞的题目， 通过手工测试发现程序对"SELECT","ORDER"进行了识别，即判断为注入行为，虽然对"AND"不进行识别，但如果其后面有"="同样认定为注入行为。同时发现了对"<>"进行了过滤，因此可将以上3个关键字换成"SELEC<>T"，"ORDE<>R"，"AN<>D"。编写sqlmap的脚本： 

通过sqlmap就可获取库、表、字段及内容信息

 

题7：123，12341234，然后就解开了 

解题：做了sql注入尝试，始终只提示"登录失败"。通过查看源代码给的提示，考虑可能会是源码泄漏，果真存在user.php.bak。下载下来后用burpsuite进行暴破。

 

 

 

 

 

 

 

 

题8：SQLi，后台有获取flag的线索 

解题：刚开始打开页面，查看源代码有注释信息“login.php?id=1”，做了注入测试，只提示“welcome admin”或“something error”，其实这是一干扰信息。。。题目给的链接是一个302重定向，在http头有个提示参数“page: l0gin.php?id=1”，这个“l0gin.php?id=1”是存在sql注入漏洞的。

 通过手工测试发现，其对参数进行了处理：1）如果参数非数字开头，则会把获取的参数输出；2）如果参数是以数字开头，且后面跟着字符，则只留数字进行查询，如果数据存在就输出查询结果，如果无数据则输出获取的参数。通过第二点可以利用“l0gin.php?id=1 and 2=3%23”，在1后面输入单引号和双引号进行测试。当用双引号时即“l0gin.php?id=1" and 2=3%23”，能输出查询结果，说明参数后面的字符被截断，只留“1”进行查询；当用单引号时即“l0gin.php?id=1' and 2=3%23”，没能查询结果，且“l0gin.php?id=1' and 2=2%23”，能输出查询结果，这说明sql语句用单引号对参数进行引用且没有过滤单引号。另外测试还发现了对逗号进行了处理，碰到逗号就把它及后面的所有字符也全过滤掉了。接下来用sqlmap做测试，在tamper目录下，找到了两个处理逗号的脚本commalesslimit.py和commalessmid.py，分别用于处理limit和mid里常用的逗号，由于sqlmap里还在探测库表及数据时还常用ifnull，ifnull同样有用到逗号，所以特意用ifnull做一处理脚本。

 即把ifnull换成不需要逗号的case的方式，保存为commalessifnull.py文件。运行sqlmap，最终得到的结果：

 

 

题9： Vld，没有什么好介绍的

解题 ：打开首页，查看源码如下图，

存在index.php.txt文件，直接在URL浏览

通过GET三个参数进行比较，构造“index.php?flag1=fvhjjihfcv&flag2=gfuyiyhioyf&flag3=yugoiiyhi”进行访问，

根据提示可下载1chunqiu.zip得到源码

通过login.php文件可以看出，对username参数除了做addslashes，还有过滤了number参数的内容，再无其它过滤。考虑到addslashes会到单引号进行转义，即前面加"\"，所以优先考虑把"\"做掉。从代码中看出，可以借助过滤number参数内容。因为number参数必须是数字，否则，将过滤username参数里的字符"1"，因些把username设为abc%00xabcd1234%27，number设为0xabcd1234，其中username会被转义为abc\0xabcd1234\'，最终username会被处理为abc\\' ，即可使用sqlmap注入测试。

列出所有库：

结果显示有两个库，对ctf进行查表：

结果显示有两个表，其中有一个flag，查表中数据：

查出的数据并无我们需要的flag，两同时去查了users表也并没有我们需要的数据。按正常逻辑我们要的数据应该在flag表里，于是不死心，去查information_schema库：

在 information_schema库，查COLUMNS表，并没有显示 ctf 表的相关列，但查看sqlmap的输出目录下的csv文件，却能找出有flag表的flag字段： 

目前也没能弄为什么会出现这情况？直接查询flag字段的内容：

 

 

题10： YeserCMS

解题 ：打开首页，根据页面底部信息，百度查找相关cms漏洞信息：

未查询到关于YeserCMS信息，将站点进行cms指纹识别，识别出这是一个CmsEasy：

 

接着百度查询得存在/celive/live/header.php的SQL注入漏洞及后台模板编辑可以获取任意文件内容。先用sqlmap查询数据库存名称：

查询得数据名称后可获取该库的所有表：

发现有一用户表“yesercms_user”，紧接着就是获取表字段及数据：

获得admin密码，尝试在线解密：

顺利获得密码原文后登录进行模板设置：

修改拦截的请求包的参数，获得flag.php内容：

 

查看更多》》》