ESI web学习记录

Ezbypass

解出

放在php新特性的文章最后了，利用json反序列化脚本绕过disable_functions来get flag

Ezupload

没解出

登陆页面查看源代码发现，备份文件泄露。vim -r恢复

得到源码

<?php
#error_reporting(0);
session_start();
include "config.php";

$username = $_POST['username'];
$password = $_POST['password'];
if (isset($username)){
    $sql = "select password from user where name=?";
    if ($stmt = $mysqli->prepare($sql)) {
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $stmt->bind_result($dpasswd);
        $stmt->fetch();
        if ($dpasswd === $password){
	    $_SESSION['login'] = 1;
            header("Location: /upload.php");
        }else{
            die("login failed");
        }
        $stmt->close();
    }
}else{
    header("Location: /index.php");
}
$mysqli->close();　　

当时想了，并且也找了很久如何绕过预编译，看WP发现如何绕过。重点在这里

$dpasswd===$password

判断select结果的$dpasswd与post输入的$password是否相等，在此可以绕过。

可以随便传入不存在的username，不传入password字段，导致select结果为null，并且$password也为null，因此null===null，等式成立绕过。

burp抓包删除$password字段，放包进入upload.php

源代码查看，指定了.jpg,.jpeg,png

直接审查元素删除掉，然后上传php提示上传失败。只能上传jpg。尝试上传.htaccess结合jpg文件包含

文件上传.htaccess就不用多说了老套路。直接尝试getshell

现在好多都是通过readflag去获得flag

感谢环境一直没有关，懒了两天，补上这些复现。第一步真的想了很久不知道怎么绕过预编译，看了WP恍然大悟。发散性思维太差了。