2017年全国大学生信息安全竞赛 wanna to see your hat?

刺骨的言语ヽ痛彻心扉 2022-02-01 02:55 299阅读 0赞

**题目内容：[http://117.50.3.97:1515/route.php?act=index][http_117.50.3.97_1515_route.php_act_index]**

进入题目后，由于没有找到什么特别的信息，

因此这里对这个网页进行目录扫描和源码泄露扫描，

发现有源码泄露

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 1][]

源码恢复工具 -->>

[https://github.com/kost/dvcs-ripper][https_github.com_kost_dvcs-ripper]

在kali中用这个工具获得源码

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 3][]

部分关键代码：

if (isset($_SESSION['hat'])) {
        if ($_SESSION['hat'] == 'green') {
            output("<img src='green-hat-1.jpg'>", 10);
        } else {
            output("<img src='black-fedora.jpg'>", 1);
            echo $flag; //输出flag session必须是非green        
        }
        echo "<br><br><br><a href='logout.php'>I give up!</a>";
    } else {
        output("<img src='white-hat.jpg'>", 10);
        echo "<br><br><br><a href='login.php'>I want to check the color of my hat!</a>";
    }

找到设置session的位置

if (isset($_POST["name"])) {
        $name = str_replace("'", "", trim(waf($_POST["name"]))); //waf后剥离两端空格 把'换为空
        if (strlen($name) > 11) {
            echo ("<script>alert('name too long')</script>");
        } else {
            $sql = "select count(*) from t_info where username = '$name' or nickname = '$name'";
            echo $sql;
            $result = mysql_query($sql);
            $row = mysql_fetch_array($result);
            if ($row[0]) { //如果$_rows[0]存在
                $_SESSION['hat'] = 'black'; //设置session
                echo 'good job';
            } else {
                $_SESSION['hat'] = 'green';
            }
            header("Location: index.php");
        }
    }

if($\_rows\[0\])的意思就是必须查出数据，即输入的name查询结果返回值不能为空。

我们只要利用 or 1=1就能让结果不为空了。

还有一点就是，在每一个进去的时候都会走route.php过、

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 4][]

route.php  是把post和get的数据addslashes了的，所有进入数据的会转义。

用/\*\*/代替空格  然后通过or 1=1以及\#注释掉后面的语句让整个语句恒真即可

最后构造Payload：**or/\*\*/1=1\#'**

[http_117.50.3.97_1515_route.php_act_index]: http://117.50.3.97:1515/route.php?act=index
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70]: /images/20220201/70b857f8759d4175853c6c4a2915212d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 1]: /images/20220201/b65313b2c0c34aeb9b5c9c987757676e.png
[https_github.com_kost_dvcs-ripper]: https://github.com/kost/dvcs-ripper
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 2]: /images/20220201/801ffc40c69d46baa8a544d8d1aa98af.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 3]: /images/20220201/e370eeb63c8c421ba15ffa13d6517b42.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2R5d182NjY2NjY_size_16_color_FFFFFF_t_70 4]: /images/20220201/91f68a49339a4bbfb8242d0557160f8b.png