知识点
wp
- 抓包,同样看到一个source=0
- 修改source=1查看源代码
- 根据代码得知:username=admin,password!= admin,getmein由md5(secret,username,password)构成,其中只知道secret长度为15
- 其中有代码,输出的md5( s e c r e t . u r l d e c o d e ( “ a d m i n “ . “ a d m i n “ ) ) 作 为 c o o k i e 输 出 , 结 合 前 面 的 数 据 包 我 们 可 以 知 道 输 出 的 值 为 571580 b 26 c 65 f 306376 d 4 f 64 e 53 c b 5 c 7 , 可 是 这 串 m d 5 是 由 secret . urldecode(“admin“ . “admin“))作为cookie输出,结合前面的数据包我们可以知道输出的值为571580b26c65f306376d4f64e53cb5c7,可是这串md5是由 secret.urldecode(“admin“.“admin“))作为cookie输出,结合前面的数据包我们可以知道输出的值为571580b26c65f306376d4f64e53cb5c7,可是这串md5是由secret 'adminadmin’转md5而得到的,如果我们在password输入admin将不满足password!=admin
- 构造admin=admin,password=admin+扩展值+abc,由于secret为15字节长,再加上两个admin长度为25字节即200位(16进制的c8),因此到448位应该填充1个\x80、30个\x00,再填充长度为1个\xc8、最后再填充7个\x00
- password构造为admin%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%c8%00%00%00%00%00%00%00abc,getmein构造为7db18a2831cdab27425f299ca09f034e