滲透基礎(chǔ)
第一關(guān)：很簡單的一個注入 普通的GET注入
說是普通的GET注入 那么就在gid這個參數(shù)下手
單引號報錯 得到信息 需要閉合單引號來完成注入
orderby 5
報錯
orderby 4
返回正常 列長為4
爆表
-1' union select1,group_concat(table_name),3,4frominformation_schema.tableswheretable_schema = database() %23
爆列
-1' union select1,group_concat(column_name),3,4frominformation_schema.columnswheretable_name = 'flag'%23
查得flag值 完成
-1' union select1,flag,3,4fromflag %23
第二關(guān)：從圖片中你能找到什么？ 從圖片中找到有用的東西
一張照片下載下來 記事本打開 到末尾 發(fā)現(xiàn)藏了一個123.txt 密碼123 除此之外沒啥東西了 可能題目沒完善吧
第三關(guān)：你看到了什么？ 滲透網(wǎng)站的時候目錄也很重要
進(jìn)來是這樣的 點擊提交flag 404了= = 估計路徑寫錯了還是代碼沒寫完~ 不過這不要緊
題目說目錄很重要 那就來掃描看看
得到test目錄 訪問得到另一個提示 將目錄名md5加密 就是將test加密
加密后訪問就通關(guān)了
第四關(guān)：告訴你了FLANG是五位數(shù) 當(dāng)遇到五位驗證碼的時候可以爆破
進(jìn)去并沒發(fā)現(xiàn)驗證碼啊
后來看了源碼發(fā)現(xiàn) 賬號密碼都是弱口令 但是輸出flag的語句也被注釋掉了 可能這關(guān)也沒完善吧~
第五關(guān)：一個優(yōu)點小小的特殊的注入 頭部的注入（注入個頭!）
頭部的注入就想到在XFF頭上下功夫 我用了firefox的插件 Modify Headers （用burpsuite改我是不行的）與第一關(guān)沒什么差別 只是注入的地方有點不同~
第六關(guān)：這關(guān)需要RMB購買哦 支付問題：用最少的錢去購買一本書！
登錄的密碼居然在第七關(guān)= =
書籍1是10元一本 書籍2是20元一本 要用最少的錢去購買一本書
那么就購買 -2 本書籍1 1本書籍2 如果系統(tǒng)沒有校驗購買數(shù)量的話那么結(jié)算：-2 * 10 + 1 * 10 = 0元
很多程序都會在前端限制數(shù)量不能為負(fù) 那么可以嘗試截獲數(shù)據(jù)包進(jìn)行修改數(shù)量但這里并沒有驗證 所以直接成功購買了
第七關(guān)：越權(quán) 已有賬號：tom 密碼123456
登錄進(jìn)去只有一個更改密碼的頁面
結(jié)合關(guān)卡越權(quán) 那么就是越權(quán)修改他人密碼了發(fā)現(xiàn)url后面帶了name參數(shù) 也就是要修改密碼的用戶
嘗試修改為admin 進(jìn)行修改密碼 這里程序沒有校驗舊密碼 舊密碼隨意輸 輸入新密碼即可成功越權(quán)修改密碼了
第八關(guān)：CSRF 管理員每天晚上十點上線！
進(jìn)入之后也只是一個更改密碼的頁面
將更改密碼的請求用Burpsuite截獲 可一鍵生成CSRF PoC
將此保存為html 管理員打開后就會更改其密碼了 完成了CSRF
第九關(guān):URL跳轉(zhuǎn) 能不能從我到百度那邊去？
url跳轉(zhuǎn)到http://www.baidu.com 那么就需要在某個地方插入網(wǎng)址 加了個url參成功跳轉(zhuǎn)
打開后404。。
查看了源碼后發(fā)現(xiàn)url跳轉(zhuǎn)有問題 把原來的注釋掉 跳轉(zhuǎn)修改成download.php就好了 index.php代碼沒寫完
來到了download.php 抓取了下載圖片的包 發(fā)現(xiàn)傳遞了一個參數(shù)fname 要下載的文件名 那么可能可以修改文件名實現(xiàn)任意文件下載
標(biāo)題提示我們幫助管理員找回mysql賬號密碼 那么掃一下目錄 得到db
再對db目錄進(jìn)行掃描 得到config.php
構(gòu)造如下路徑 下載到了config.php 拿到了賬號密碼
第十一關(guān)：我和上一關(guān)有點像 boom，沙卡拉卡！
的確和上一關(guān)有點像 也是要找回mysql賬號密碼 還是先把下載的包抓下來看看 上一關(guān)的下載用的是get 本關(guān)用的post
還是一樣掃描 得到db目錄下的config.php 那么改一下post包即可
第十二關(guān)：我系統(tǒng)密碼忘記了 請幫我找回在D盤下
登錄進(jìn)去之后 可以上傳文件 測試了下沒有限制 直接可以上傳一句話
根據(jù)回顯的路徑 菜刀連接
說是在D盤下找回密碼 但無法訪問D盤
但我們可以通過mimikatz（Windows密碼抓取神器）得到系統(tǒng)密碼
不知道為什么我的菜刀執(zhí)行mimikatz很久不回顯 所以直接在靶機上運行了 成功拿到密碼
第十三關(guān)：XSS 看看你能給我?guī)硎裁大@喜
進(jìn)去之后看到url后面跟了個參數(shù)id=666 并把參數(shù)值顯示在了頁面上 那么這是個反射XSS
沒有過濾 隨便一條payload即可
第十四關(guān)：存儲型XSS suprise！
一個留言板 那么這是個存儲型XSS了 也沒有什么過濾 把上一關(guān)的payload拿來用就可以了
第十五關(guān):什么？圖片上傳不了？ 上傳不了圖片怎么辦
老樣子把上傳的數(shù)據(jù)包抓取下來分析 先傳了大寫的JPG 還是提示我不上傳圖片 后來改成小寫的就好了
但是她說她不喜歡.. T_T
嘗試php后綴會回顯什么 結(jié)果好像直接上傳成功了
看了下目錄確實傳成功了 那么這題的代碼猜測是只驗證了Content-Type
看了源碼 好像只要后綴不是jpg、png等圖片格式就可以上傳
第十六關(guān)：明天雙十一 我從公司網(wǎng)絡(luò)去剁手了！
輸入框輸入了之后 點擊go 回顯 這個地方剁手不好 換個地方 并多了一個參數(shù)url
某個知名站 剁手 那就試試淘寶了 回顯提示 哎呀，這里只允許10.10.10.10訪問?。?！
嘗試改了XFF頭 還是一樣的回顯 不成功
然后抓包看了下 看到HOST是ip 就提示了我嘗試修改HOST為10.10.10.10
還是不行 不過回顯變成了 nono
嘗試修改了referer為taobao 也還是nono 無奈查看源碼..不理解為什么是要baidu啊 – -！
改為baidu后拿到flag
驗證成功
