Bugku-web(bp) - 技术栈

WriteUp1

题目信息

解题思路

打开页面，是一个登录页面

源码审计发现是个 form 表单提交

抓包，随便填写个密码提交观察

右键发送到重放器

点击发送

观察响应结果

发现有个 success.php 的页面，根据 JS 代码的 window.location.href 后面的地址知道，应该是访问服务器根路径下的 success.php 文件并携带查询参数

code 不等于 bugku10000 它才会走到 else，它来帮我们跳转到 success.php 并携带一个 code

所以猜测当账户密码正确时，会返回一个正确的code，错误时会返回bugku10000

猜测代码如下：

php 复制代码

<?php
// 获取提交的账号和密码
$username = $_POST['username']; // 假设表单字段名为username
$password = $_POST['password']; // 假设表单字段名为password

// 验证逻辑 - 实际中可能是查询数据库
$isValid = false;
// 这里是实际的验证过程，比如查询数据库比对账号密码
// if (查询数据库验证成功) {
//     $isValid = true;
// }

// 根据验证结果设置不同的code
if ($isValid) {
    // 账号密码正确，生成一个有效的code
    $code = generateValidCode(); // 生成类似'hacker1000'的有效code
} else {
    // 账号密码错误，设置错误code
    $code = 'bugku10000';
}

// 输出HTML页面，包含生成的code
?>
<!DOCTYPE html>
<html>
<head>
  <meta charset="utf-8">
  <title>登录检测</title>
  <meta name="renderer" content="webkit">
  <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
  <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
  <link rel="stylesheet" href="layui/css/layui.css"  media="all">
  <style>
  </style>
</head>
<body>
<div id="d"><div>
<script>
  var r = {code: '<?php echo $code; ?>'}
  if(r.code == 'bugku10000'){
        console.log('e');
	document.getElementById('d').innerHTML = "Wrong account or password!";
  }else{
        console.log('0');
        window.location.href = 'success.php?code='+r.code;
  }
  
  </script>
</body>
</html>

所以要爆破出来正确的密码，让 check.php 判断账号密码正确了才能有对的 code

所以使用密码字典开始尝试

题目中提示弱密码T1000，以z开头，把 z 开头密码挑出来然后在 burpsuite 里爆破 check.php 看结果

python 复制代码

f = open('中国网民-弱密码字典 T1000.txt', 'r') # 文件名换成自己实际的
wf = open('以z开头的密码.txt', 'w') 

str = f.read()
list = str.split('\n')

for item in list:
    if item.startswith('z'):
      print(item)
      wf.write(item + '\n')

结果如下

拿着新字典去爆破试试密码

右键发送到Intruder

添加payload

导入字典

点击开始攻击

发现响应的 length 全都一样长

已知 bugku10000 是不对的，而且刚才的 JS 代码告诉我们只要 code 的值不是 bugku10000，就会走 success.php 了，所以让 burpsuite 筛选下字符里不包含 bugku10000 的其他 code 值。或者一个一个点击查看每个密码的响应结果，看哪一个返回的code不是 bugku10000。