SICTF Round#3 wp web

web

hacker

sql���列名注入；

提示查询username参数，flag在flag表中；

传参测试发现，union select 可用，空格被过滤可以使用/**/代替 ，or也被过滤了且无法大小写、双写等绕过，导致无法查询flag表里的字段名，需注意flag在flag表中并不是flag字段，直接联合查询flag表的flag字段查询不到flag，因此就可以想到sql无列名注入，只需知道表名不用知道字段名即可查询字段的数据，payload如下；

?username=joe'union/**/select/**/a/**/from/**/(select/**/1,2/**/as/**/a/**/union/**/select/**/*/**/from/**/flag)/**/as/**/q%23

无列名注入获取flag表中数据；

100％_upload

文件上传+文件包含；

进入容器，文件上传界面，且一看url就猜测存在文件包含；

尝试file://协议读取/etc/passwd文件成功，存在文件包含，直接读取/flag提示不能直接获取，所以读取upload.php文件；

index.php?file=php://filter/read=convert.base64-encode/resource=upload.php

base64解码upload.php源码如下；

发现过滤了ph、htaccess后缀且文件内容不可有php标签，进行标签绕过、上传图片并配合文件包含即可；

# 上传1.png?>