萌新赛 sprintf漏洞

首先是个.git源码源码泄露，用githack回复一下源码

源码

<?php
$pass=sprintf("and pass='%s'",addslashes($_GET['pass']));
$sql=sprintf("select * from user where name='%s' $pass",addslashes($_GET['name']));
?>

这题用了两次sprintf函数可以在这里做文章

sprintf用法:

%% - 返回一个百分号 %

%b - 二进制数

%c - ASCII 值对应的字符

%d - 包含正负号的十进制数（负数、0、正数）

%e - 使用小写的科学计数法（例如 1.2e+2）

%E - 使用大写的科学计数法（例如 1.2E+2）

%u - 不包含正负号的十进制数（大于等于 0）

%f - 浮点数（本地设置）

%F - 浮点数（非本地设置）

%g - 较短的 %e 和 %f

%G - 较短的 %E 和 %f

%o - 八进制数

%s - 字符串

%x - 十六进制数（小写字母）

%X - 十六进制数（大写字母）

点击查看代码

<?php
$number = 123;
$txt = sprintf("%f",$number);
echo $txt;
?>
//结果是:123.000000

点击查看代码

<?php
$number = 123;
$txt = sprintf("带两位小数：%1\$.2f
<br>不带小数：%1\$u",$number);
echo $txt;
?>
//当一个变量要同时被多个地方引用的时候就需要 %1\$u 的操作
//%1的意思是引用的是第一个变量$u是
//运行结果:如图

那么bug就来了

如果我们输入"%"或者"%1$",他会把反斜杠当做格式化字符的类型，然而找不到匹配的项那么"%","%1$"就因为没有经过任何处理而被替换为空。

简单来说就是当sprintf解析时，如果出现 "%"或者"%1$" 会将这两个变为空

当%1$' 他会直接返回 '

构造payload

name=admin&pass=%$' or 1=1--+

重点过了接下来回跳转到wjbh.php,就不细讲了，他应该是include()了cookie的内容

直接php://filter/convert/resource=/flag 进行16进制编码传入cookie就拿到flag了