比较有意思的几个漏洞挖掘记录

bysec 收录于类别学习

2024-09-02 2024-09-02 约 1542 字预计阅读 4 分钟

转载自： https://forum.butian.net/share/3692

sql 注入

某条数据，点击详情的数据包，单引号报错

再加一个正常

本以为是一次平平无奇的 sql 注入，没想到绕了一天才绕过去，下面放几张测试失败的截图

首先就是 404，不知道规则是啥样的，下面语句应该是没问题的就会 404,1=1 让语句不通就会 500

试了下 orcale 的注入方法，又爆 403，这里’||55||‘会返回空数据，’||1/0||‘会爆 500，这里判断语句能想到的都试了，全 403，最奇怪的是只有语句正确才会 403，少写一个 D 就会 500，不知道这什么匹配逻辑，不过试了一些插入空白字符啥的也都不行

这里我又跑了一遍字典，全 404、500、403，期间尝试结合分块传输、参数污染、垃圾数据、白名单、高并发均未绕过去

最终经过我的不断测试,插入下面 payload 回显特别慢，最终显示数据量太大，不过 in 这个关键字我理解的不是很透彻，有懂的师傅可以解答下

1

'OR+1+in+1+and+'a'+in+'a

当 1 in 5 的时候整个结果为 false，返回为空

直接注下 user 的长度

1

'OR+1+in+length(user)+and+'a'+in+'a

只有相等时会卡死，很明显为 7 位

直接用 instr 函数注用户名

1
2
3
4
5
6


'OR+1+in+instr(user,'u')+and+'a'+in+'a
instr函数代表后面那个字符在前面字符串第一次出现的位置
例如:
instr('user','u')返回1
instr('user','us')返回1
instr('user','s')返回2

第一位为 S

第二位为 H，其他同理

任意用户名密码重置

玩的某个游戏，手机号换了，申诉成功给我发了邮件，可以看到 id 和 token

这里直接更换 id 访问，进行更改密码，显示错误

简单测了测，id 随便改，token 为空

直接修改密码成功

这里因为不知道目标账号的 id，只能随机修改，因为手机号基本就跟 id 绑定，于是找到了申诉的功能点，这里输入手机号

可以看到返回了 id

下一步就是要知道目标的手机号，经过我的不懈寻找，在游戏 app 的登录界面，有个忘记账号功能

这里输入手机号或者游戏的 uid 就可以看到一些信息

这里游戏 uid 是公开的，资料就能看到，不过手机号只有前三位和后四位

在官网找回密码处，这里输入手机号抓个包

输入不对的手机号会提示错误，因为我们知道前三位还有后四位，爆破起来还是很快的

最后只得到几个真实存在的手机号，这时候就可以去游戏 app 登陆界面去对比，手机号正确的话，返回的 UID 是一样的，这里也可以抓包写个脚本去判断，因为真实存在手机号就几个，我就直接手动尝试的

确定了目标手机号就知道了 id，就可以想修改谁的密码就可以修改谁的了

某站测试记录

目标站主域名有两个，a 和 b 代替，这里主要目标是 a，b 应该是以前用的，首先是爆破出来了两个 demo 站 demo.atest.com 和 demo.btest.com
会提示 ip 无法访问，访问 demo.btest.com

另外一个也一样

这里直接插 xff 头绕过的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


X-Forwarded-For: 127.0.0.1
X-Forwarded:127.0.0.1
Forwarded-For:127.0.0.1
Forwarded:127.0.0.1
X-Requested-With:127.0.0.1
X-Forwarded-Proto:127.0.0.1
X-Forwarded-Host:127.0.0.1
X-remote-lP:127.0.0.1
X-remote-addr:127.0.0.1
True-Client-lP: 127.0.0.1
X-Client-lP:127.0.0.1
Client-lP: 127.0.0.1
X-Real-IP:127.0.0.1
Ali-CDN-Real-IP:127.0.0.1
Cdn-Src-lp:127.0.0.1
Cdn-Real-lp:127.0.0.1
CF-Connecting-lP:127.0.0.1
X-Cluster-Client-lP:127.0.0.1
WL-Proxy-Client-lP:127.0.0.1
Proxy-Client-lP:127.0.0.1
Fastly-Client-lp: 127.0.0.1
True-Client-lp: 127.0.0.1
X-Originating-lP:127.0.0.1
X-Host: 127.0.0.1
X-Custom-lP-Authorization:127.0.0.1