BUUCTF web wp (五)

Love The Way You Lie 2022-09-01 14:54 183阅读 0赞

### 文章目录 ###

*  \[ACTF2020 新生赛\]BackupFile——备份文件
 *  \[HCTF 2018\]admin
 *   *  方法1
     *  方法2
 *  \[极客大挑战 2019\]BuyFlag——PHP函漏洞

# \[ACTF2020 新生赛\]BackupFile——备份文件 #

**由题目可提示，这道题的考点是备份文件**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center]

> 常见的备份文件后缀名有: .git .svn .swp .~ .bak .bash\_history。

逐一尝试常见的备份文件后缀名，发现为`.bak`,页面随即跳转到网页源码。

/index.php.bak

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 1]

> PHP中的弱类型比较  
> `==` 仅比较两个变量的值  
> `===`比较两个变量的值和类型

源码中要求`get`传参传入变量`key`，传入的`key`与$`str`作弱比较，且要求传入的变量均为数字，于是令`key=123`即可得到`flag`。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 2]

# \[HCTF 2018\]admin #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 3]  
点击`HCTF`![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 4]  
点击`404：Not Found`，页面没有任何跳转。  
页面有右上角有两个按钮，登录和注册  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 5]

访问登录的页面

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 6]  
再访问注册的页面

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 7]  
注册时随便输入一个账号和密码，我输入的账号和密码均为`123`（第一次注册时使用`admin`提示已经被注过），使用注册成功的账号密码进行登录。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 8]  
这种方法不可以，我们再次查看题目源码![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 9]

``猜测如果以`admin`登录成功，则可能的到flag。我们在使用注册的账号登录成功后，发现右上角有三个按钮![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 10]  
我们三个操作均尝试并查看网页源码，寻找可用的信息。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 11]

> `index`页面和之前的`index`页面查看源代码是一样的。  
> `posts`页面进入只会显示`404`，就算再后面新增了文章也是一样。  
> `edit`页面是一个类似博客编写页面，有两个文本框，但试了一下`XSS`都被过滤了。  
> `change`页面是一个修改密码的页面。可能存在逻辑漏洞，尝试一下发现不需要输入之前的密码直接输入新密码就行，这样就不存在多步骤校验可能存在的逻辑绕过。而且查看报文发现报文中没有写用户名，里面只有一个新密码。证明用户名是通过`session`来获取的，所以也不存在中间截获修改的漏洞。

> `Session`：  
> 在计算机中，尤其是在网络应用中，称为“会话控制”。`Session`对象存储特定用户会话所需的属性及配置信息。这样，当用户在应用程序的`Web`页之间跳转时，存储在`Session`对象中的变量将不会丢失，而是在整个用户会话中一直存在下去。当用户请求来自应用程序的 `Web`页时，如果该用户还没有会话，则`Web`服务器将自动创建一个 `Session`对象。当会话过期或被放弃后，服务器将终止该会话。`Session` 对象最常见的一个用法就是存储用户的首选项。例如，如果用户指明不喜欢查看图形，就可以将该信息存储在Session对象中。

> **session的工作原理**：  
> （1）当一个`session`第一次被启用时，一个独一的标识被存储于本地的`cookie`中。  
> （2）首先使用`session_start()`函数，`PHP`从`session`仓库中加载已经存储的`session`变量。  
> （3）当执行`PHP`脚本时，通过使用`session_register()`函数注册`session`变量。  
> （4）当`PHP`脚本执行结束时，未被销毁的`session`变量会被自动保存在本地一定路径下的`session`库中，这个路径可以通过`php.ini`文件中的`session.save_path`指定，下次浏览网页时可以加载使用。

我们在`change password`选项的网页源码中发现了一个有关`github`的网址，尝试访问。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 12]  
下载该网站的`flask`文档【`Flask` 是一个用 `Python` 编写的Web应用程序框架】，并解压![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 13]  
解压后打开文件夹的`index.html`文件，![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 14]

{
        % if current_user.is_authenticated and session['name'] == 'admin' %}
    <h1 class="nav">hctf{
        xxxxxxxxx}</h1>

只要从`session`中得到的值`name`为`admin`就会显示`flag`，即能够使用`admin`登录即可拿到`flag`。

## 方法1 ##

继续审代码，在`routes.py`文件中，发现了`strlower`小写函数，猜测如果使用`ADMIN`进行注册，即可登录成功获得`flag`。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 15]

## 方法2 ##

直接抓包使用`burp`来爆破字典获得密码`123`。

# \[极客大挑战 2019\]BuyFlag——PHP函漏洞 #

打开链接为三叶草安全技术小组的招新信息。  
查看网页源码，发现了`index.php`和`pay.php`。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 16]  
访问`index.php`,与之前的网页没什么不一样。访问`pay.php`,发现了提示得到`flag`的条件![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 17]  
查看网页源代码，发现了一段注释![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 18]  
在控制台发现`user`值只有一个值为0![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 19]  
修改`user`的值为`1`时，页面发生了变化![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 20]  
由于上面源码中注释的内容为`POST`传参，则使用post方式传入`money=100000000&password=404`，提示password不能为数字。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 21]  
再次传入`money=100000000&password=404mach`，则提示密码太长![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 22]

这里对字符进行了判断，对字符处理的函数在PHP漏洞中比较常见，使用数组进行传参来绕过判断即可得到`flag`。

money[]=1&password=404mach

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 23]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center]: /images/20220829/45a0c1341ea64f1a9da208b10d211f8f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20220829/638c9d267e184e8a93aca996f04cc66d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20220829/c5dded9ded234222bab5186460f80da6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20220829/a04fc9f4179e4d838fa5826d50be97d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20220829/d874738d45d1471a9d4cbed6f077b6f1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20220829/cea3716de0534ad6a68ecbff1e1e608c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20220829/a9118f0fe40f4b9c91e8d6ead9781580.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20220829/1d0521f9bec7470d9356eb16d82d05d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20220829/4650e20ba3294e8d8a4a6e913716561d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20220829/e803c6f2f5fb4f1caca83c6026230fda.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20220829/5c34da2699474ac68a5f9cd6c7ad4ad9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20220829/c03faade0d934ad19f472ad8edc3fcd4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20220829/63560d249f6e445fa9c682dbcc51900a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20220829/68228bf20cfa425b90fd691505cf160d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 14]: /images/20220829/0dd8bcf6d3734faf8b8686426cf6b0d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 15]: /images/20220829/82cb640a82e44e6aa6ceeb5a8fb7c52c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 16]: /images/20220829/911ddfc9063d4e50a32b061400ffa869.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 17]: /images/20220829/f0283c627d994ebf87a7fcdc3255b063.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 18]: /images/20220829/3edb8fe24578464387644ee75d87c8e7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 19]: /images/20220829/d7cce4ec8eb34bf6aba38d0caf7a65a9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 20]: /images/20220829/7dfdbba461d9490c8502e2fbe93ca411.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 21]: /images/20220829/737cfc72d4054bed864a68b505ac2e2c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 22]: /images/20220829/296fcde35dee4e1281a9ce4f72968d00.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU1ODU0Njc5_size_16_color_FFFFFF_t_70_pic_center 23]: /images/20220829/8241aeea9bb74078abfe1c3ef70dbd68.png