本文共 879 字，大约阅读时间需要 2 分钟。

[BJDCTF2020]EasySearch

御剑扫一波

扫到一个index.php.swp

   alert('[+] Welcome to manage system')";            $file_shtml = "public/".get_hash().".shtml";                                        //在public文件夹中，生成一个hash以后的文件，后缀为.shtml            $shtml = fopen($file_shtml, "w") or die("Unable to open file!");            $text = '            ***            ***            
Hello,'.$_POST['username'].'
            ***			***';            fwrite($shtml,$text);            fclose($shtml);            ***			echo "[!] Header  error ...";        } else {            echo "";                }else    {	***    }	***?>

看了一下代码以后，总而言之就是传上去的password需要以6d0bc1开头，python脚本直接上。

import hashlibfor i in range(10000000):    if hashlib.md5(str(i).encode('utf-8')).hexdigest()[0:6] == '6d0bc1':        print(i)#2020666#2305004#9162671

跑出来三个，够了。

登录

用户名随意，密码选一个，然后登录并抓包，得到了一个url：

ssi注入漏洞

构造payload：

转载地址：http://lapbi.baihongyu.com/