[BJDCTF2020]EasySearch （SSI注入漏洞）

这题ctrl+U发现往index.php提交数据，但是我目录，git泄露，sqlmap，爆破admin密码都没有作用，数据包页面也没有什么重置密码注册的功能

这种三无题多半是要拿源码做的，我又拿我备份文件字典扫了一下结果发现index.php.swp为源码备份文件，字典也给你们丢下面了

常见的网站源码备份文件

dweb.tar
website.tar
backup.tar
back.tar
www.tar
wwwroot.tar
temp.tar
web.tar.gz
website.tar.gz
backup.tar.gz
back.tar.gz
www.tar.gz
wwwroot.tar.gz
temp.tar.gz
web.zip
website.zip
backup.zip
back.zip
www.zip
wwwroot.zip
temp.zip
web.rar
website.rar
backup.rar
back.rar
WWW.rar
wwwroot.rar
temp.rar
.index.php.swp
.index.php~
index.php.bak_Edietplus
index.php.~
index.php.~1~
index.php
index.php~
index.php.rar
index.php.zip
index.php.7z
index.php.tar.gz
www.7z
web.7z
web.tar
index.phps
index.php.swp
index.php.swo
index.php.php~
index.php.bak
index.php.txt
index.php.old

审计代码：

该代码定义了一个名为get_hash()的函数，该函数用于生成一个SHA1哈希值。

在函数内部，首先定义了一个包含字母、数字和特殊字符的字符串$chars，用于生成随机字符串。然后使用mt_rand()函数从$chars字符串中随机选择5次字符，并将这5个字符拼接起来，形成一个随机字符串$random。

接下来，使用uniqid()函数生成一个唯一的字符串，并将其与$random拼接在一起，形成最终的字符串$content。

最后，使用sha1()函数对$content进行SHA1哈希运算，并返回哈希值。

因此，调用get_hash()函数将返回一个随机生成的SHA1哈希值。

下面这里发现只要username存在不为空，并且只有截取md5函数加密后的password前六个字符等于6d0bc1，才能进行下面的写文件操作

我用ai写了个python脚本，通过枚举的方式找到满足条件的字符串。

import hashlib

def generate_md5(prefix):
    count = 0
    while True:
        data = prefix + str(count)
        md5_hash = hashlib.md5(data.encode()).hexdigest()
        if md5_hash.startswith(prefix):
            return md5_hash, data
        count += 1

prefix = input("请输入六个字符的前缀：")
md5_hash, data = generate_md5(prefix)
print("MD5值：", md5_hash)
print("加密前的数据：", data)

运行结果