[0CTF 2016]piapiapia WP

打开题目扫描一下发现wwww.zip文件下载

 下载后可以看到

打开文件，查看内容，敏感处

profile.php有两处：
unserialize和file_get_contents。

update.php的serialize

 

查看参数是怎么传到file_get_contents中

在profile.php中，是$profile数组里健名为photo的键值

 

$profile是通过show_profile函数传入，传入了username参数

 

 show_profile函数在class.php中，查看该函数

 调用了父类的filter函数，select函数

查看filter函数，这里是替换字符串中的单引号和反斜杠为下划线 ，并且替换多个字符串为hacker。
implode函数是表示把数组拼接起来，拼接符是 “|”：

 select函数

 可以看到数据是从表里取出来的，那就要看什么时候插入数据了，全文搜索insert或者update，在select函数的下面找到：

 继续找update_profile函数的调用，在update.php文件里找到

 profile.php的file_get_contents =》 show_profile() =》 class.php里的select() =》 数据库 =》 class.php里的update() =》 update_profile() =》 update.php里调用传参。

nickname参数

利用序列化的拼接+伪造  对nickname参数攻击，

insert/select/update/delete都是6位长度，hacker也是6位长度，where是五位，

where执行替换操作，通过替换吧五位的where换成6位的hacker

、在update.php中，传入数组就可以绕过

play构造

这个时候，我们的nickname[]数组实际长度是39位，除了where，多出来了34位。这个时候strlen('where') == 5 != 39，不是指定的长度会报错，所以我们要想办法把where那块地方，在序列化之后（注意时间点）再增长34位。

之前不是说过吗，我们的where变成hacker之后，从5变成了6，成功增长了一位，那么我们输入34个where，不就可以增长34位了吗？

所以最后的payload： wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}
进入注册页面  register.php，随便输入账号密码注册

在注入的页面上传图片 抓包

将nickname改为nickname[]

 点击链接profile.php 在出查看器中找到image里面的base64字符串，解码得到flag