[AHU2021校内赛] ez-injection

最新推荐文章于 2024-10-17 00:14:23 发布

原创最新推荐文章于 2024-10-17 00:14:23 发布 · 653 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php #mysql #web安全

博客讲述了通过解压rar和zip文件获取index.php源码的过程，代码中揭示了防止SQL注入的措施，但存在XPath注入漏洞。作者利用XPath注入构造payload访问XML文档并获取所有节点，从而揭示了安全问题。

题目首先给了一个 index.rar 文件，直接可以解压
第二个hint.txt文件，打开后提示
打开文件里面有个source.zip文件，有密码解压不了，点进去一看里面也有个hint.txt，尝试明文攻击
一开始先用WinRAR添加到hint.zip的，发现ARCHPR报错**“在选定的档案中没有匹配的文件”**
后来发现直接右键，发送到zipped文件夹就能执行明文攻击了
开始明文攻击
口令获得成功
打开解压后的文件夹，里面有个index.php就是我们想要的源码

<?php

  $re = array('and','or','count','select','from','union','group','by','limit','insert','where','order','alter','delete','having','max','min','avg','sum','sqrt','rand','concat','sleep');

setcookie('injection','c3FsaSBpcyBub3QgdGhlIG9ubHkgd2F5IGZvciBpbmplY3Rpb24=',time()+100000);

 

if(file_exists('slain.xml')) {

     $xml = simplexml_load_file('slain.xml');

     $user=$_GET['user'];

     $user=str_replace($re, ' ', $user);

//$user=str_replace("'", "&apos", $user);

     $query="user/username[@name='".$user."']";

     $ans = $xml->xpath($query);

     foreach($ans as $x => $x_value)

     {

        echo $x.":  " . $x_value;

         echo "<br />";

      }

 }

代码中setcookie里面有一段c3FsaSBpcyBub3QgdGhlIG9ubHkgd2F5IGZvciBpbmplY3Rpb24=用burp里面的解码器解出**“sqli is not the only way for injection”**说SQL不是唯一一种注入方式
然后结合这两段代码发现过滤掉了很多SQL关键字

$user=str_replace($re, ' ', $user);

$re = array('and','or','count','select','from','union','group','by','limit','insert','where','order','alter','delete','having','max','min','avg','sum','sqrt','rand','concat','sleep');

SQL注入肯定不能用了，然后中间有一段

$xml = simplexml_load_file('slain.xml');

查阅资料，可以用xpath注入
提交一个单引号，返回的响应证明确实有xpath注入漏洞
利用这行代码

$query="user/username[@name='".$user."']";

构造payload：?user=']|//*|//*['
可以用这个payload访问这个xml文档里面的所有结点

flag到手
写WP的时候其实还发现了个更简单的办法

$xml = simplexml_load_file('slain.xml');

这行代码说明服务器存在一个slain.xml文件，说不定能够直接访问

试一下，还真行