buuctf-[网鼎杯 2018]Fakebook 1

2023-12-14 17:13:51

这道题，也是费了很大的劲，慢慢理解慢慢消化，今天，才开始把wp写出来

首先我们先扫描一波目录，用dirsearch扫一手，发现有robots.txt文件

dirseach自带的字典在db目录下，使用格式以及常用参数如下：
py dirsearch.py -u [target url] -e *
-u后面跟要扫的url
-e是指定的url
-w是指定字典
-r递归目录
--random-agents使用随机UA

然后，我们紧接着用御剑扫一手，发现了flag.php，然后我们显示访问robots.txt，然后发现有一个user.php.bak的备份文件，我们直接访问，然后

下载下来，源码如下：

<?php


class UserInfo
{
    public $name = "";
    public $age = 0;
    public $blog = "";

    public function __construct($name, $age, $blog)
    {
        $this->name = $name;
        $this->age = (int)$age;
        $this->blog = $blog;
    }

    function get($url)
    {
        $ch = curl_init();

        curl_setopt($ch, CURLOPT_URL, $url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
        $output = curl_exec($ch);
        $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        if($httpCode == 404) {
            return 404;
        }
        curl_close($ch);

        return $output;
    }

    public function getBlogContents ()
    {
        return $this->get($this->blog);
    }

    public function isValidBlog ()
    {
        $blog = $this->blog;
        return preg_match("/^(((http(s?))\:\/\/)?)([0-9a-zA-Z\-]+\.)+[a-zA-Z]{2,6}(\:[0-9]+)?(\/\S*)?$/i", $blog);
    }

}

　有一个UserInfo的类,类中有三个公共的类变量：name,age,blog。一个构造方法，一个get方法。主要的工作应该是建立会话，

然后判断是否是有效的请求，如果不是则返回404，如果不是则返回url的内容，一个getBlogContents方法，返回一个url的内容

还有一个isValidBlog验证这是否是一个有效的blog地址，看大佬博客说，这段正则好像url中有.就可以匹配。

get方法中，curl_exec()如果使用不当就会导致ssrf漏洞。有一点思路了，而我们在御剑扫到了flag.php。猜测可能flag.php处于内网，

如果用ssrf访问flag.php，可以用伪协议file://var/www/html/flag.php访问。

我们先回到首页，点join注册一个账号