[BT]BUUCTF刷题第12天（3.31）

最新推荐文章于 2025-02-05 14:32:15 发布

Bluetuan_aaa

最新推荐文章于 2025-02-05 14:32:15 发布

阅读量871

点赞数 3

分类专栏： BUUCTF学习之路文章标签：安全学习笔记

本文链接：https://blog.csdn.net/qq_46135022/article/details/137211809

版权

BUUCTF学习之路专栏收录该内容

29 篇文章

订阅专栏

本文介绍了在IT安全课程中的实践过程，包括如何在基本设置中使用X-Real-IP，解决跨站请求伪造问题，识别并利用XXE漏洞构造Payload，以及在XSS场景中使用cookie。通过实例展示了攻击和防御技术的应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

第12天

Basic

BUU BURP COURSE 1

在这里插入图片描述

经过尝试，在这里X-Forwarded-For不管用，要用X-Real-IP

BP抓包添加X-Real-IP:127.0.0.1（注意这一行前面不要有空行）

在这里插入图片描述

发送后返回提示了用户名和密码，这里直接给了，登录即可

在这里插入图片描述

BP中添加一行：username=admin&password=wwoj2wio2jw93ey43eiuwdjnewkndjlwe

在这里插入图片描述
成功拿到flag

在这里插入图片描述

BUU XXE COURSE 1

在这里插入图片描述

打开网站是个登录页面，随便输入一个用户名和密码

在这里插入图片描述

发现我们的用户名以弹窗的形式被弹出，F12发现按钮执行的是与XML有关的函数，即用户数据的传输方式为 XML

在这里插入图片描述

同时BP抓包后也可以看到<?xml version="1.0" encoding="UTF-8"?>，说明可能存在XXE漏洞

XXE原理
XML实体简介：XML支持定义实体，这些实体可以是文档内部的，也可以是外部的。实体可以被视为变量，用于在XML文档中重用内容。外部实体（External Entities）是指定义在XML文档外部的数据。
利用外部实体：当XML解析器处理含有对外部资源引用的实体时，默认情况下可能不会充分验证或限制这些引用。如果解析器允许包含外部实体的XML输入并对其进行解析，攻击者就可以构造特殊的XML输入，通过定义指向恶意资源的外部实体，来实现对系统的攻击。

在这里插入图片描述

构造Payload：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY admin SYSTEM "file:///flag"> /*定义了一个名为admin的外部实体，其内容是从系统文件file:///flag获取的。
这意味着，解析XML文档时，实体&admin;会被替换为file:///flag文件的内容。*/
]>
<root>
<username>&admin;</username>
<password>11</password>
</root>