BUUCTF-Web Comment

dirsearch扫出/.git/目录

遂用航神写的Githacker脚本   https://github.com/wangyihang/githacker

出来的源码并不完整，使用git log --reflog查看下记录

 选择第一条修改的记录的commit执行git reset --hard bfbdf218902476c5c6164beedd8d2fcf593ea23b

这是恢复后的源码

<?php
include "mysql.php";
session_start();
if($_SESSION['login'] != 'yes'){
    header("Location: ./login.php");
    die();
}
if(isset($_GET['do'])){
switch ($_GET['do'])
{
case 'write':
    $category = addslashes($_POST['category']);
    $title = addslashes($_POST['title']);
    $content = addslashes($_POST['content']);
    $sql = "insert into board
            set category = '$category',
                title = '$title',
                content = '$content'";
    $result = mysql_query($sql);
    header("Location: ./index.php");
    break;
case 'comment':
    $bo_id = addslashes($_POST['bo_id']);
    $sql = "select category from board where id='$bo_id'";
    $result = mysql_query($sql);
    $num = mysql_num_rows($result);
    if($num>0){
    $category = mysql_fetch_array($result)['category'];
    $content = addslashes($_POST['content']);
    $sql = "insert into comment
            set category = '$category',
                content = '$content',
                bo_id = '$bo_id'";
    $result = mysql_query($sql);
    }
    header("Location: ./comment.php?id=$bo_id");
    break;
default:
    header("Location: ./index.php");
}
}
else{
    header("Location: ./index.php");
}
?>

回到题目的登录界面，根据提示对密码后三位进行爆破，最后得到密码：zhangwei666

进入留言板，审计源码可以发现存在二次注入。三个参数存入board表的时候进行了转义，但之后查询的时候没有转义，造成二次注入。

 sql语句有多行所以使用/**/过滤

在category

构造payload

 在留言区提交*/#闭合就能显示结果了

 

 利用load_file()读linux文件

www用户对bash进行了操作，查看.bash_history

 发现.DS_Store文件

文件显示不全利用hex()读文件

发现flag文件

查看该文件，解码后得flag