buu Web题库(1)

695次阅读

没有评论

很简单的 sql 题，用户名随便写，密码先尝试一下单引号闭合 1'，结果如下

ok, 那明白了，可以直接输入：1' or 1=1 #, 也就是万能密码试试。结果如下：

结束！

页面上啥也没有，先看看源码，在源码上找到如下代码：

很明显了,get 方式传入参数为 dog。

也就是 http://d38dc0d1-a4b8-4df9-a9e6-3ca8697bc23e.node4.buuoj.cn:81/?cat=dog

结束！

同样的，页面上就只有一张滑稽图，看看源码吧，提示我们去 source.php.
进入后，开始代码审计。

里面有个 hint.php, 先去看看，告诉我们
flag not here, and flag in ffffllllaaaagggg
ok，先读代码。

具体来看

<?php
    highlight_file(__FILE__);
    class emmm
    {public static function checkFile(&$page)
        {$whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }
            // 判断 page 参数是否存在，且是否为字符串
            if (in_array($page, $whitelist)) {return true;}
            // 在白名单中匹配 page 参数
            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            // 先看 mb_strpos(str,find_str,offset,encoding): 返回 str 中从 offset(默认为 0) 开始第一次出现 find_str 的位置。此处就是返回第一个? 的位置
            // 再看 mb_strpos()。此处就是截取并返回从字符串开头到第一个? 出现位置的字符串
            if (in_array($_page, $whitelist)) {return true;}

            $_page = urldecode($page);
            // 将参数进行 url 解码,? 解码后仍为?
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {return true;}
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
        // 通过参数名为 file 的参数传入，且为字符串，并且 checkFile 函数返回值为 true
    ) {include $_REQUEST['file'];
        exit;
    } else {echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";}  
?>

通过以上代码的分析，很明显，我们需要让这几个 if 语句全部返回为 true。
因此我们的 payload 为 ?file=source.php?../ffffllllaaaagggg

尝试过后失败，猜测是不是目录出了问题，而文件名提示我们需要先进行四次../
于是最终 payload 为 ?file=source.php?../../../../../ffffllllaaaagggg