Natas20：

读取源码，发现把sessionID存到了文件中，按键值对存在，以空格分隔，如果$_SESSION["admin"]==1，则成功登陆，得到flag。并且通过查询所提交的参数，也会被存到文件中，因此，可以采取注入键值对admin 1的方式来实现修改。
使用burp抓包，将name参数修改为：name=xxx%0Aadmin 1，得到flag。

源码解析：

<html>

<head>

<!-- This stuff in the header has nothing to do with the level -->

<link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css">

<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css" />

<link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css" />

<script src="http://natas.labs.overthewire.org/js/jquery-1.9.1.js"></script>

<script src="http://natas.labs.overthewire.org/js/jquery-ui.js"></script>

<script src=http://natas.labs.overthewire.org/js/wechall-data.js></script><script src="http://natas.labs.overthewire.org/js/wechall.js"></script>

<script>var wechallinfo = { "level": "natas20", "pass": "<censored>" };</script></head>

<body>

<h1>natas20</h1>

<div id="content">

<?

//debug($msg)表示打开了调试信息，可以通过在URL的末尾添加 /index.php?debug来查看调试消息 $msg

function debug($msg) { /* {{{ */

    //php中预定义的 $_GET 变量用于收集来自 method="get" 的表单中的值。

    //array_key_exists(key,array)函数检查键名是否存在于数组中，如果键名存在则返回 TRUE，如果键名不存在则返回 FALSE。

    if(array_key_exists("debug", $_GET)) {

        print "DEBUG: $msg<br>";

    }

}

/* }}} */

function print_credentials() { /* {{{ */

    //主要功能就是判断session[admin]=1后显示密码

    if($_SESSION and array_key_exists("admin", $_SESSION) and $_SESSION["admin"] == 1) {

    print "You are an admin. The credentials for the next level are:<br>";

    print "<pre>Username: natas21\n";

    print "Password: <censored></pre>";

    } else {

    print "You are logged in as a regular user. Login as an admin to retrieve credentials for natas21.";

    }

}

/* }}} */

/* we don't need this */

function myopen($path, $name) {

    //debug("MYOPEN $path $name");

    return true;

}

/* we don't need this */

function myclose() {

    //debug("MYCLOSE");

    return true;

}

function myread($sid) {

    debug("MYREAD $sid");

    //strspn(string,charlist):返回在字符串string中包含charlist中字符的数目

    //判断sid是否是由数字/字母/-组成，如果不是，则无效

    if(strspn($sid, "1234567890qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM-") != strlen($sid)) {

    debug("Invalid SID");

        return "";

    }

    //session_save_path() - 返回当前会话的保存路径。

    $filename = session_save_path() . "/" . "mysess_" . $sid;

    if(!file_exists($filename)) {

        debug("Session file doesn't exist");

        return "";

    }

    debug("Reading from ". $filename);

    $data = file_get_contents($filename);

    $_SESSION = array();

    //使用换行符分割data数据

    foreach(explode("\n", $data) as $line) {

        debug("Read [$line]");

    //使用空格符分割line数据，返回的数组包含2个元素，最后那个元素包含line的剩余部分

    $parts = explode(" ", $line, 2);

    if($parts[0] != "") $_SESSION[$parts[0]] = $parts[1];

    }

    //session_encode — 将当前会话数据编码为一个字符串

    return session_encode();

}

function mywrite($sid, $data) {

    // $data contains the serialized version of $_SESSION

    // but our encoding is better

    debug("MYWRITE $sid $data");

    // make sure the sid is alnum only!!

    //判断sid是否是由数字/字母/-组成，如果不是，则无效

    if(strspn($sid, "1234567890qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM-") != strlen($sid)) {

    debug("Invalid SID");

        return;

    }

    $filename = session_save_path() . "/" . "mysess_" . $sid;

    $data = "";

    debug("Saving in ". $filename);

    //ksort — 对数组按照键名排序

    ksort($_SESSION);

    //foreach 遍历给定的数组。每次循环中，当前单元的键名被赋给$key、当前单元的值被赋给$value，并且数组内部的指针向前移一步（因此下一次循环中将会得到下一个单元）。

    foreach($_SESSION as $key => $value) {

        debug("$key => $value");

        //给data赋值

        $data .= "$key $value\n";

    }

    //将data存在文件中

    file_put_contents($filename, $data);

    //改变文件模式:Read and write for owner, nothing for everybody else

    chmod($filename, 0600);

}

/* we don't need this */

function mydestroy($sid) {

    //debug("MYDESTROY $sid");

    return true;

}

/* we don't need this */

function mygarbage($t) {

    //debug("MYGARBAGE $t");

    return true;

}

session_set_save_handler(

    "myopen",

    "myclose",

    "myread",

    "mywrite",

    "mydestroy",

    "mygarbage");

session_start();

if(array_key_exists("name", $_REQUEST)) {

    $_SESSION["name"] = $_REQUEST["name"];

    debug("Name set to " . $_REQUEST["name"]);

}

print_credentials();

$name = "";

if(array_key_exists("name", $_SESSION)) {

    $name = $_SESSION["name"];

}

?>

<form action="index.php" method="POST">

Your name: <input name="name" value="<?=$name?>"><br>

<input type="submit" value="Change name" />

</form>

<div id="viewsource"><a href="index-source.html">View sourcecode</a></div>

</div>

</body>

</html>

natas20-sourcecode.html

我们来看看每个函数的作用：

debug($msg)函数表示打开了调试信息，可以通过在URL的末尾添加 /index.php?debug来查看调试消息 $msg。

访问之后将看到一些提示信息：

DEBUG: MYWRITE 9l3s4uq5gqk1u5c3mk8gti5sr6 name|s::"admin";

DEBUG: Saving in /var/lib/php5/sessions//mysess_9l3s4uq5gqk1u5c3mk8gti5sr6

DEBUG: name => admin

DEBUG: MYREAD 9l3s4uq5gqk1u5c3mk8gti5sr6

DEBUG: Reading from /var/lib/php5/sessions//mysess_9l3s4uq5gqk1u5c3mk8gti5sr6

DEBUG: Read [name admin]

DEBUG: Read []

mywrite和myread是两个关键函数，它们的作用是管理会话状态。

function myread($sid) {

    debug("MYREAD $sid");

    //strspn(string,charlist):返回在字符串string中包含charlist中字符的数目

    //判断sid是否是由数字/字母/-组成，如果不是，则无效

    if(strspn($sid, "1234567890qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM-") != strlen($sid)) {

    debug("Invalid SID");

        return "";

    }

    //session_save_path() - 返回当前会话的保存路径。

    $filename = session_save_path() . "/" . "mysess_" . $sid;

    if(!file_exists($filename)) {

        debug("Session file doesn't exist");

        return "";

    }

    debug("Reading from ". $filename);

    $data = file_get_contents($filename);

    $_SESSION = array();

    //使用换行符分割data数据

    foreach(explode("\n", $data) as $line) {

        debug("Read [$line]");

    //使用空格符分割line数据，返回的数组包含2个元素，最后那个元素包含line的剩余部分

    $parts = explode(" ", $line, 2);

    if($parts[0] != "") $_SESSION[$parts[0]] = $parts[1];

    }

    //session_encode — 将当前会话数据编码为一个字符串

    return session_encode();

}

function mywrite($sid, $data) {

    // $data contains the serialized version of $_SESSION

    // but our encoding is better

    debug("MYWRITE $sid $data");

    // make sure the sid is alnum only!!

    //判断sid是否是由数字/字母/-组成，如果不是，则无效

    if(strspn($sid, "1234567890qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM-") != strlen($sid)) {

    debug("Invalid SID");

        return;

    }

    $filename = session_save_path() . "/" . "mysess_" . $sid;

    $data = "";

    debug("Saving in ". $filename);

    //ksort — 对数组按照键名排序

    ksort($_SESSION);

    //foreach 遍历给定的数组。每次循环中，当前单元的键名被赋给$key、当前单元的值被赋给$value，并且数组内部的指针向前移一步（因此下一次循环中将会得到下一个单元）。

    foreach($_SESSION as $key => $value) {

        debug("$key => $value");

        //给data赋值

        $data .= "$key $value\n";

    }

    //将data存在文件中

    file_put_contents($filename, $data);

    //改变文件模式:Read and write for owner, nothing for everybody else

    chmod($filename, 0600);

}

简单来说，myread首先对sid（第一次由服务器自动生成并保存在cookie中）进行校验，若非字母/数字则不返回会话状态。

若sid合法，则进入相关目录寻找/读取文件，若是老的会话/文件已经删除会新建文件保存会话，文件读取完后将session的最后一对键值覆盖到第一的位置。

mywrite则会在会话结束的时候重新读取session，并对session进行一次ksort，将排序后的键值对重新写入文件。

print_credentials()函数的主要功能，是判断$_SESSION["admin"] == 1后显示密码。

由于源码里面没有向$SESSION里面添加admin的键值对，默认情况下，$_SESSION中唯一的key是name，其值通过/index.php中的表单提交进行设置。

我们可以通过对name键值对进行注入：将data里面的值变为：name xxx\nadmin 1\n。所以应该输入xxx\nadmin 1，将其进行URL编码后进行提交。

换行符对应的URL编码为%0A，所以最终应该输入xxx%0Aadmin 1提交。

当然不能在网页中直接输入xxx%0Aadmin 1提交，因为会被编码成xxx%250Aadmin+1，失去了我们的本意。

正确的做法是，使用burp抓包，修改name参数值为xxx%0Aadmin 1，第一次会显示regular，因为没有文件/状态可以读取，session里还是没有Admin的，会话关闭后xxx\nadmin 1就会被写入到状态中，下次登录后session就会加入admin 1了。

flag：IFekPyrQXftziDEsUr3x21sYuahypdgJ

参考：
https://www.cnblogs.com/ichunqiu/p/9554885.html
https://www.cnblogs.com/liqiuhao/p/6882068.html
https://www.freebuf.com/column/182518.html

Natas20 Writeup（Session登录，注入参数）的更多相关文章

  1. Natas18 Writeup（Session登录，暴力破解）

    Natas18: 一个登录界面,查看源码,发现没有连接数据库,使用Session登录,且$maxid设定了不大的上限,选择采取爆破. 源码解析: <html> <head> & ...

  2. 第二百六十九节，Tornado框架-Session登录判断

    Tornado框架-Session登录判断 Session需要结合cookie来实现 Session的理解 1.用户登录系统时,服务器端获取系统当前时间,进行nd5加密,得到加密后的密串 2.将密串作 ...

  3. SpringMVC - 个人对@ModelAttribute的见解 和 一些注入参数、返回数据的见解

    2016-8-23修正. 因为对modelattribute这个注解不了解,所以在网上搜寻一些答案,感觉还是似懂非懂的,所以便自己测试,同时还结合网上别人的答案:最后得出我自己的见解和结果,不知道正确 ...

  4. oracle中的sys用户(修改密码)/////Oracle删除表空间的同时删除数据文件 ///// Oracle中如何保证用户只有一个session登录

    oracle中的sys用户(修改密码) (2011-07-01 09:18:11) 转载▼ 标签: it 分类: oracle 概念: SYS用户是Oracle中权限最高的用户,而SYSTEM是一个用 ...

  5. spring注入参数详解

    spring注入参数详解 在Spring配置文件中, 用户不但可以将String, int等字面值注入到Bean中, 还可以将集合, Map等类型的数据注入到Bean中, 此外还可以注入配置文件中定义 ...

  6. spring mvc 3.1的自动注入参数遇到的问题

    在网上下载了xheditor作为页面的编辑器,编辑内容后post到后台保存,后台方法用spring mvc的自动注入的方式接收参数. 这种方式在各个浏览器下运行良好,但是在ie11下发现,从word. ...

  7. Spring属性注入、构造方法注入、工厂注入以及注入参数（转）

    Spring 是一个开源框架. Spring 为简化企业级应用开发而生(对比EJB2.0来说). 使用 Spring 可以使简单的 JavaBean 实现以前只有 EJB 才能实现的功能.Spring ...

  8. Spring 依赖注入(二、注入参数)

    注入参数基本分7类: 1.基本类型值 2.注入bean 3.内部bean 4.注入null值 5.级联属性 6.List,Set,Map集合的注入 7.properties文件的注入(和集合注入基本是 ...

  9. HandlerMethodArgumentResolver完美解决 springmvc注入参数多传报错

    作为一个后端开发,能友好兼容前端参数传入错误等问题,在前端发布不小心多传一个参数导致系统错误的问题,一个广告系统是零容忍的,所以为了不犯错误,后端接收参数必须摒弃spring 的自动注入@Reques ...

  10. mybatis中collection子查询注入参数为null

    具体实现参照网上,但是可能遇到注入参数为null的情况,经过查阅及自己测试记录一下: 子查询的参数中,有<if test="">之类,需要指定别名,通过 http:// ...

随机推荐

  1. [转]<版本一>写代码的小女孩

    天冷极了,下着雪,又快黑了.这是NOIP的前夜.在这又冷又黑的晚上,一个衣衫破烂的小女孩在机房敲着代码.她从班里逃出来的时候还拿着一本算导,但是有什么用呢?那是一本很破旧的书——那么大,一向是她妈妈垫 ...

  2. 吴裕雄--天生自然 R语言开发学习：分类

    #-----------------------------------------------------------------------------# # R in Action (2nd e ...

  3. 吴裕雄--天生自然 python数据分析：健康指标聚集分析（健康分析）

    # This Python 3 environment comes with many helpful analytics libraries installed # It is defined by ...

  4. Ubuntu在没用root权限下如何创建sudo用户

    起因 安装openCryptoki之后,如果想执行相关命令的话,那么该用户必须在pkcs11用户组中,于是执行 sudo uersmod -G pkcs11 $(whoami) 之后重启系统,执行 s ...

  5. 查漏补缺：QT入门

    1.什么世QT Qt是一个跨平台的C++图形用户界面应用程序框架,为应用程序开发者提供建立艺术级图形界面所需的所有功能.它是完全面向对象的,容易扩展,并且允许真正的组建编程. 2.支持平台 Windo ...

  6. 查漏补缺：进程间通信（IPC）：FIFO

    1.FIFO FIFO,又称命名管道.不同于pipe管道的只能用于拥有共同祖先进程的两个进程间通信,因FIFO通过路径绑定,所以即使是不相关的进程间也可通过FIFO进行数据交换. FIFO是一种文件类 ...

  7. OpenSSL 生成自定义证书

    前言 本文用来记录通过OpenSSL生成自定义证书并在浏览器设置可信任 准备 Linux CentOS7 系统 nginx 1.12.2 Windows 10 IE 11 chrome 71 Open ...

  8. 为什么 generator 忽略第一次 next 调用的参数值呢？

    首先要理解几个基本概念. 执行生成器不会执行生成器函数体的代码,只是获得一个遍历器 一旦调用 next,函数体就开始执行,一旦遇到 yield 就返回执行结果,暂停执行 第二次 next 的参数会作为 ...

  9. Typecho 主题制作记录

    模板制作快速入门 模板的制作并非难事,只要你写好了HTML和CSS,嵌套模板就非常简单了,你无需了解标签的内部结构,你只要会使用,模板就能迅速完成.这篇文章只简单的介绍了常用标签的使用方法,希望能带你 ...

  10. audioContext.decodeAudioData 返回null 错误

    此问题并不是100%出现.没想到国外大神已经有处理此问题的经验 原贴地址: https://stackoverflow.com/questions/10365335/decodeaudiodata-r ...