BUUCTF-Web Comment

dirsearch扫出/.git/目录

遂用航神写的Githacker脚本   https://github.com/wangyihang/githacker

出来的源码并不完整，使用git log --reflog查看下记录

选择第一条修改的记录的commit执行git reset --hard bfbdf218902476c5c6164beedd8d2fcf593ea23b

这是恢复后的源码

 <?php
 include "mysql.php";
 session_start();
 if($_SESSION['login'] != 'yes'){
     header("Location: ./login.php");
     die();
 }
 if(isset($_GET['do'])){
 switch ($_GET['do'])
 {
 case 'write':
     $category = addslashes($_POST['category']);
     $title = addslashes($_POST['title']);
     $content = addslashes($_POST['content']);
     $sql = "insert into board
             set category = '$category',
                 title = '$title',
                 content = '$content'";
     $result = mysql_query($sql);
     header("Location: ./index.php");
     break;
 case 'comment':
     $bo_id = addslashes($_POST['bo_id']);
     $sql = "select category from board where id='$bo_id'";
     $result = mysql_query($sql);
     $num = mysql_num_rows($result);
     if($num>0){
     $category = mysql_fetch_array($result)['category'];
     $content = addslashes($_POST['content']);
     $sql = "insert into comment
             set category = '$category',
                 content = '$content',
                 bo_id = '$bo_id'";
     $result = mysql_query($sql);
     }
     header("Location: ./comment.php?id=$bo_id");
     break;
 default:
     header("Location: ./index.php");
 }
 }
 else{
     header("Location: ./index.php");
 }
 ?>

回到题目的登录界面，根据提示对密码后三位进行爆破，最后得到密码：zhangwei666

进入留言板，审计源码可以发现存在二次注入。三个参数存入board表的时候进行了转义，但之后查询的时候没有转义，造成二次注入。

sql语句有多行所以使用/**/过滤

在category

构造payload

在留言区提交*/#闭合就能显示结果了

利用load_file()读linux文件

www用户对bash进行了操作，查看.bash_history

发现.DS_Store文件

文件显示不全利用hex()读文件

发现flag文件

查看该文件，解码后得flag