實驗吧Wp之因缺思婷的繞過

這道題真的是漲了我的知識,也確實interesting

而且章喉,因為我想要加大刷題的量搜锰,不想碼字占用我太多的時間伴郁,所以未來的writeup的格式可能會很簡陋,但是一定會有重點蛋叼,會有該有的東西焊傅。

開始~

題目:http://ctf5.shiyanbar.com/web/pcat/index.php

首先,還是web題的老套路狈涮,抓包狐胎,看源碼,找hint歌馍,審計代碼......

我們在網(wǎng)頁的注釋中發(fā)現(xiàn)了source.txt里面放著源碼握巢,然后開始審計:

<?php
error_reporting(0);

if (!isset($_POST['uname']) || !isset($_POST['pwd'])) {
    echo '<form action="" method="post">'."<br/>";
    echo '<input name="uname" type="text"/>'."<br/>";
    echo '<input name="pwd" type="text"/>'."<br/>";
    echo '<input type="submit" />'."<br/>";
    echo '</form>'."<br/>";
    echo '<!--source: source.txt-->'."<br/>";
    die;
}

function AttackFilter($StrKey,$StrValue,$ArrReq){  
    if (is_array($StrValue)){
        $StrValue=implode($StrValue);
    }
    if (preg_match("/".$ArrReq."/is",$StrValue)==1){   
        print "水可載舟,亦可賽艇松却!";
        exit();
    }
}

$filter = "and|select|from|where|union|join|sleep|benchmark|,|\(|\)";
foreach($_POST as $key=>$value){ 
    AttackFilter($key,$value,$filter);
}

$con = mysql_connect("XXXXXX","XXXXXX","XXXXXX");
if (!$con){
    die('Could not connect: ' . mysql_error());
}
$db="XXXXXX";
mysql_select_db($db, $con);
$sql="SELECT * FROM interest WHERE uname = '{$_POST['uname']}'";
$query = mysql_query($sql); 
if (mysql_num_rows($query) == 1) { 
    $key = mysql_fetch_array($query);
    if($key['pwd'] == $_POST['pwd']) {
        print "CTF{XXXXXX}";
    }else{
        print "亦可賽艇暴浦!";
    }
}else{
    print "一顆賽艇!";
}
mysql_close($con);
?>

比較引人注意的是玻褪,這次的過濾肉渴,很全面,把我們常規(guī)思路大概都過濾掉了带射。

而且同规,后面的mysql_num_rows($query) == 1也讓我們看不到結(jié)果,于是沒有辦法,我只能猜測是基于時間的盲注券勺,但是我們發(fā)現(xiàn)sleep benchmark以及括號都被過濾了绪钥。而且,就算前面的限制都過去关炼,你也不知道pwd程腹。

那么,這是用到了sql語句中的一個叫做rollup的東西儒拂,他是用在groupby后進(jìn)行數(shù)據(jù)統(tǒng)計的寸潦,與他類似的有一個叫做cube的,他和rollup的不同之處也就是我們要利用的地方社痛,講道理见转,用cube也是可以的,因為對于單一分組來說蒜哀,也就一組數(shù)據(jù)報表斩箫。但是嘗試發(fā)現(xiàn)不可以,這里不知道為什么撵儿。

rollupcube呢乘客,其實就是groupby的一個擴(kuò)展功能,叫做超級聚合淀歇,也就是對于分組數(shù)據(jù)進(jìn)行一下統(tǒng)計報表易核。講道理他是和聚合函數(shù)連用的,來產(chǎn)生一個合計的數(shù)據(jù)浪默,但是耸成,同時他也會產(chǎn)生一個NULL的數(shù)據(jù)。

后來浴鸿,我想了一下,為什么是這樣呢弦追?

首先岳链,我們構(gòu)造的sql里面groupby 卻沒有聚合,所以得到的就是單獨的一列內(nèi)容劲件,然后在這單獨的一列上rollup得到的就是null

所以掸哑,只要我們的password不傳值進(jìn)去,我們就通過驗證了零远。

最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
  • 序言:七十年代末苗分,一起剝皮案震驚了整個濱河市,隨后出現(xiàn)的幾起案子牵辣,更是在濱河造成了極大的恐慌摔癣,老刑警劉巖,帶你破解...
    沈念sama閱讀 222,681評論 6 517
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件,死亡現(xiàn)場離奇詭異择浊,居然都是意外死亡戴卜,警方通過查閱死者的電腦和手機(jī),發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 95,205評論 3 399
  • 文/潘曉璐 我一進(jìn)店門琢岩,熙熙樓的掌柜王于貴愁眉苦臉地迎上來投剥,“玉大人,你說我怎么就攤上這事担孔〗牵” “怎么了?”我有些...
    開封第一講書人閱讀 169,421評論 0 362
  • 文/不壞的土叔 我叫張陵糕篇,是天一觀的道長啄育。 經(jīng)常有香客問我,道長娩缰,這世上最難降的妖魔是什么灸撰? 我笑而不...
    開封第一講書人閱讀 60,114評論 1 300
  • 正文 為了忘掉前任,我火速辦了婚禮拼坎,結(jié)果婚禮上浮毯,老公的妹妹穿的比我還像新娘。我一直安慰自己泰鸡,他們只是感情好债蓝,可當(dāng)我...
    茶點故事閱讀 69,116評論 6 398
  • 文/花漫 我一把揭開白布。 她就那樣靜靜地躺著盛龄,像睡著了一般饰迹。 火紅的嫁衣襯著肌膚如雪。 梳的紋絲不亂的頭發(fā)上余舶,一...
    開封第一講書人閱讀 52,713評論 1 312
  • 那天啊鸭,我揣著相機(jī)與錄音,去河邊找鬼匿值。 笑死赠制,一個胖子當(dāng)著我的面吹牛,可吹牛的內(nèi)容都是我干的挟憔。 我是一名探鬼主播钟些,決...
    沈念sama閱讀 41,170評論 3 422
  • 文/蒼蘭香墨 我猛地睜開眼,長吁一口氣:“原來是場噩夢啊……” “哼绊谭!你這毒婦竟也來了政恍?” 一聲冷哼從身側(cè)響起,我...
    開封第一講書人閱讀 40,116評論 0 277
  • 序言:老撾萬榮一對情侶失蹤达传,失蹤者是張志新(化名)和其女友劉穎篙耗,沒想到半個月后迫筑,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體,經(jīng)...
    沈念sama閱讀 46,651評論 1 320
  • 正文 獨居荒郊野嶺守林人離奇死亡鹤树,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點故事閱讀 38,714評論 3 342
  • 正文 我和宋清朗相戀三年铣焊,在試婚紗的時候發(fā)現(xiàn)自己被綠了。 大學(xué)時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片罕伯。...
    茶點故事閱讀 40,865評論 1 353
  • 序言:一個原本活蹦亂跳的男人離奇死亡曲伊,死狀恐怖,靈堂內(nèi)的尸體忽然破棺而出追他,到底是詐尸還是另有隱情坟募,我是刑警寧澤,帶...
    沈念sama閱讀 36,527評論 5 351
  • 正文 年R本政府宣布邑狸,位于F島的核電站懈糯,受9級特大地震影響,放射性物質(zhì)發(fā)生泄漏单雾。R本人自食惡果不足惜赚哗,卻給世界環(huán)境...
    茶點故事閱讀 42,211評論 3 336
  • 文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望硅堆。 院中可真熱鬧屿储,春花似錦、人聲如沸渐逃。這莊子的主人今日做“春日...
    開封第一講書人閱讀 32,699評論 0 25
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽茄菊。三九已至疯潭,卻和暖如春,著一層夾襖步出監(jiān)牢的瞬間面殖,已是汗流浹背竖哩。 一陣腳步聲響...
    開封第一講書人閱讀 33,814評論 1 274
  • 我被黑心中介騙來泰國打工, 沒想到剛下飛機(jī)就差點兒被人妖公主榨干…… 1. 我叫王不留脊僚,地道東北人期丰。 一個月前我還...
    沈念sama閱讀 49,299評論 3 379
  • 正文 我出身青樓,卻偏偏與公主長得像吃挑,于是被迫代替她去往敵國和親。 傳聞我的和親對象是個殘疾皇子街立,可洞房花燭夜當(dāng)晚...
    茶點故事閱讀 45,870評論 2 361

推薦閱讀更多精彩內(nèi)容