实验吧web解题记录

Posted 2020-09-11

     自以为sql注入掌握的还是比较系统的，然而，做了这些题之后才发现，大千世界无奇不有，真是各种猥琐的思路...还是要多学习学习姿势跟上节奏呀

登录一下好吗？？

http://ctf5.shiyanbar.com/web/wonderkun/web/index.html

     试了一下发现他过滤了/ or union select - #

     虽然and ‘ " = + %没有被过滤，但用%0b和%23都没效，于是还在想这是用了多麻烦的WAF，越想越复杂我竟然还去用xss，真是跑题了...

     然而最后的payload是这样的...跪了，果然题刷的太少吗

    

 

who are you?

http://ctf5.shiyanbar.com/web/wonderkun/index.php

     进入这个页面，发现他获取了我的ip，首先想到的就是user agent注入，用updatexml试一下，什么错的没有报...看来这个思路不行

     百度了才知道这是一道伪造IP的题，相关知识可以看这里：http://www.cnblogs.com/x2048/articles/1794020.html

     总结下，伪造IP的HTTP头都有这些：

X-Forwarded-For
Client-IP
x-remote-IP
x-originating-IP
x-remote-addr

     一般用的最多的就是前两个，这里我们用X-Forwarded-For来伪造

    

     但是很奇怪，不管构造的是什么语句，都会返回到页面，看了下别人的writeup发现，他的后台处理过程大致是这样的，首先获取到HTTP-X-Forwarded-For，对他进行字符串的处理，只截取逗号前的内容，然后直接将其输出到页面，再插入到数据库，但应该没有对插入结果做处理，即没有输出数据库的报错仅输出空，所以想从数据库的报错获取信息应该是不行了，返回页面也是不具判断性的，那么可以考虑时间型的盲注

     这里解决的方法可以有三种:

     1、写个盲注脚本跑

     这是跑出来的库名：

    

     表名：

    

     字段：

    

     于是，我们知道了flag存储在flag表的flag字符里，且长度为32，接下来直接跑就行了

    

     2、用burp进行时间盲注

     3、用sqlmap进行http头的盲注

     然后，要注意的是跑出来的结果要加在ctf{xxx}里....被坑的很惨，跑出来flag一直提交不对，最后发现花括号用的中文字符输入的...

 

因缺思汀的绕过

http://ctf5.shiyanbar.com/web/pcat/index.php

     查看网页的源码，发现登录的源码路径是source.txt

     于是拿到源码如下：   

 1 <?php
 2 error_reporting(0);
 3 
 4 if (!isset($_POST[‘uname‘]) || !isset($_POST[‘pwd‘])) {
 5     echo ‘<form action="" method="post">‘."<br/>";
 6     echo ‘<input name="uname" type="text"/>‘."<br/>";
 7     echo ‘<input name="pwd" type="text"/>‘."<br/>";
 8     echo ‘<input type="submit" />‘."<br/>";
 9     echo ‘</form>‘."<br/>";
10     echo ‘<!--source: source.txt-->‘."<br/>";
11     die;
12 }
13 
14 function AttackFilter($StrKey,$StrValue,$ArrReq){  
15     if (is_array($StrValue)){
16         $StrValue=implode($StrValue);
17     }
18     if (preg_match("/".$ArrReq."/is",$StrValue)==1){   
19         print "姘村彲杞借垷锛屼害鍙禌鑹囷紒";
20         exit();
21     }
22 }
23 
24 $filter = "and|select|from|where|union|join|sleep|benchmark|,|\\(|\\)";
25 foreach($_POST as $key=>$value){ 
26     AttackFilter($key,$value,$filter);
27 }
28 
29 $con = mysql_connect("XXXXXX","XXXXXX","XXXXXX");
30 if (!$con){
31     die(‘Could not connect: ‘ . mysql_error());
32 }
33 $db="XXXXXX";
34 mysql_select_db($db, $con);
35 $sql="SELECT * FROM interest WHERE uname = ‘{$_POST[‘uname‘]}‘";
36 $query = mysql_query($sql); 
37 if (mysql_num_rows($query) == 1) { 
38     $key = mysql_fetch_array($query);
39     if($key[‘pwd‘] == $_POST[‘pwd‘]) {
40         print "CTF{XXXXXX}";
41     }else{
42         print "浜﹀彲璧涜墖锛?";
43     }
44 }else{
45     print "涓€棰楄禌鑹囷紒";
46 }
47 mysql_close($con);
48 ?>

     从源码中可以知道这些全都被过滤了：and|select|from|where|union|join|sleep|benchmark|,|\\(|\\)

     并且数据库中只有一条数据

if (mysql_num_rows($query) == 1) {

     最核心的部分是这里

$sql="SELECT * FROM interest WHERE uname = ‘{$_POST[‘uname‘]}‘";

     大致的执行过程是先将用户输入的uname作为查询条件，在数据库中查询uname和pwd，然后将查询到的pwd与用户输入的pwd进行比较，内容一致才输出flag

     这里的思路是，利用group by pwd with rollup在查询中的一个特点，他可以返回pwd所在的那一条记录，通过limit控制返回哪一条，因此他不可以返回多条，一旦返回2条及以上，pwd就会为空，但同一条记录中的其他字段则是正常的

     那么利用这一点令查询结果为空，我们输入的pwd也为空值，则构成了if(null == null)为true

    

 

简单的sql注入之三

http://ctf5.shiyanbar.com/web/index_3.php

    看源码，是一个用get方式传参数id的查询，于是手工注入一波，发现单引号引起报错，加上注释后回显正常，id在1~3的范围都可以正常回显“Hello!”，否则返回空，尝试逻辑运算，可以正常返回，那这就很好办了

    然后，我就开始入了手注的坑...

    首先来试试有几个字段

   

   

     2报错了，说明只查询出一个字段，那么用union试试

    

     没有想要的结果回显，很奇怪，看来这个Hello不是输出的位置，应该是后台在获取到id的值后，执行sql语句，如果存在查询的结果，那么就输出Hello，但不输出结果

     如果是这样的话，那么只能从报错回显入手了，先试试双注入

    

     很尴尬，做了报错处理？那试试xpath的报错

    

     还是不行...好吧，报错这条路也被堵了，那就考虑盲注吧

     ，

    

     根据上面页面中的不同返回，我们可以写一个bool型的盲注脚本来爆数据库，当然也可以用burp搞定

     这里偷个懒，因为已经知道ctf的套路了，所以可以直接来猜表名和字段

    

 

 

参考文献：

http://www.jianshu.com/p/5d34b3722128