2301_81040377的博客

随便上传了个文件发现后缀被转为php也就是说会被解析成php文件。没有东西怎么构造字符串，那么汉字也是在可控范围内的，这是一个特性。上面两个payload是别的师傅构造的这个是我自己构造的。过滤了怎么办呢，没关系，我们只要有php头即可正常解析。基本是和自增差不多的只不多我们这里使用取反来做。的时候不能直接写我就是贪了然后浪费了一些时间。这道题原理不难就是fuzz比较难做。最后把格式调整一下上传的是这个。那么这道题就可以任意命令执行了。那么我们要构造一个shell。诶那么这里思路就很明确了。

欸那么为什么要加一个属性呢，这里回到最开始的测试，题目本身自带了user和function,而获取flag还要有img，所以有三个属性，才能正常反序列化，少了一个当然不行。少了字符，但是反序列化是不会停止的，他会持续的往后推移吃掉所需要的字符。之前学过字符串逃逸但是又可能是不懂底层原理吧这道题卡了很久。此时少了24个字符就会往后面补吞24个字符。这是结束的标志所以这里这段代码就可以看出。本地环境是由字符替换为空，那么就会少字符。之后的内容直接被丢弃了，无伤大雅。刚好20个不用重新构造。

这里属实有点没想到了，以为要弹shell，结果不用。

一个万能密码秒了1'or 1=1#然后登录进去没flag爆吧一个简单的联合注入，没有过滤的奇怪的是他把反引号给办了，我无语，反引号还用来绕过引号呢。

一个签到题。

还有其他的payload我一起写出来思路一样的。由于动态赋值所以语法错误了，没成功。看到exit那么我们想到变量覆盖。我们用GitHack拿一下源码。没有的去下载一下，开源代码。

过滤的还是挺多的我们要爆出密码来，这个东东不好整。黑盒，我先随便写了密码发现过滤了，那就扫一下。我们使用正则来依次累加字符，最后拼接字符串。引号被过滤了，我们选择使用双引号来进行绕过。先思考如何写注入语句。我挨着试给我快按死了。

写脚本的时候我以为flag在表里面结果没有，最后想着还有个登录界面，然后换了个表来注入出用户名密码，登录就有flag。首先我们进入登录页面尝试注入，没有任何回显，我便以为是盲注，但是payload改变而回显没有改变。这道题不难但是我写篇记录一下因为是第一次遇到这种的。注入点，居然在这里面，我服了。

然后我找了一下flag发现没有，然后又找了一下不能使用的函数。进入之后flag里面没有flag而readflag是一个程序。这个取反号写在外面也没事，慢慢试就发现写里面才有效。php7这两个都可以，我们刚才看了php版本的。我们需要调用eval拼接为。7.0的版本我们还需要。进入虚拟终端没有权限。

不懂思密达，扫了一下后台，全是文件，而且还不给扫，扫了之后网页会报错。我先想着能不能直接把flag带出来但是失败了。如果不知道临时文件保存的，可以用查找命令。而且很明显的反序列化那么我们写EXP。我当时想着随便写一个看看能不能绕。抓包之后看看看，发现没啥东西。猜测一下是不是函数命令执行。魔术方法(直接写就可以了)想想有什么函数能读文件。如果要RCE我们得绕过。而且我发现了一个非预期。都成功了，其他的没有。

换个思路，不爆数据了，我们不是要登录嘛，题目提示密码被md5了。后面想了一下数组绕过的原理是md5无法正确处理那写个NULL。我dirsearch明明扫到了.git，算了直接注入试试看。全是大写字母，base32解码一下，然后再base64解码。多了一个空所以应该不能正常解析，我们换成闭合。成功了，md5我们直接用数组绕过即可。随便输入了两个东西，发现源码有提示。结果不行，后面把()删除了就可以了。写联合注入，不行，没有绕过白名单。我看到是个黑盒先想着搞一份源码。我第一个写的是这样的。

然后注册的时候直接随便注册一个账号，登录之后没发现有啥提示除了url有个title。查flag的时候发现有很多其他的数据那么这里就需要使用到一个查找。但是还是没有我们想要的hint，重新开靶机注册账号。仔细想想与我们之前做的不同的应该是注册页面。我尝试在改密码界面注入，但是没有任何回显。修改密码出现了报错，报错注入开始。，还是没有用，继续刷靶机，注册。然后发现可以修改密码。

这道题有点坑，首先是表名有两个，一个特别想flag，还有一个就是需要多线程，但是由于是python的，也没有那么必要等一会就出来了。注入语句为1是error，为0时为check。

输个1'返回这个，继续测试写脚本我写脚本的时候有两个问题就是不能这么写data，我之前写是可以的，但是现在不行最后我发现原来我少了个f，服了浪费这么多时间被过滤，也无法使用，只能用这个新搜到的写法和这两个是一样的直接写就行然后的话就是无列名注入了，但是也可以大胆猜，像这种直接猜flag是列名但是union都被过滤了，我们这说一个新姿势。

进来之后发现url有cmd尝试普通的cmd执行，但是没成功，img是一个base64.我们解码试试。补个等号，然后发现有两层，那么继续，发现16进制，继续解发现是图片，那么我们改成源码。欧克了，直接写空格会错，但是url编码之后就可以正常运行。我是浮现的，所以就有源码了，但是我们还是不用源码来做。发现一个反斜杠直接绕过了。思路继续我们要绕过正则。

我起初以为是sql注入抓包什么都没有扫描一下吧全是文件包，找找有没有有用的没啥用，但是我们还扫到了一个东西访问发现什么用然后我把index.php搞掉了发现version。

Linux中cat命令实际是在bin中。本来只是想看看环境变量没想到直接就。随便输一下Json格式的东西。发现了get方式的cmd参数。