记一次一波三折的众测SRC经历-华盟网

（ https://bbs.zkaq.cn）

前言

先谈个人SRC心得体会吧，我虽然很早前就体验过挖掘SRC来锻炼自己，但真正坚持下来大概是从去年3月初开始。一开始主要是逛公益SRC平台和教育SRC，动作有点慢，经常遇到报告提交前人吃肉后人喝汤的局面，而且赚不到米，慢慢进入补天SRC开始挖掘小企业和众测。因为之前算是做过几个渗透测试的项目，所以自始至终我都把关注重点放在”交互”上，而且，关键也在于”信息收集”上，只要足够细心和耐心慢慢就有了产出。

本文下面记录一次不断碰到难题不断解决难题的的众测SRC实战，为期三四天，文章不算长，请耐心看完。开局发现是一个搞外贸的企业的信息发布网站。

波折一：RCE漏洞利用失败

通过信息搜集发现网站框架为thinkphp。作为曾经的程序员，我知道ThinkPHP是一个广泛使用的PHP开发框架，但历史上存在多个安全漏洞，尤其是远程代码执行（RCE）漏洞非常好利用。

于是第一反应就是祭出神器Liqun工具箱-1.5进行漏洞扫描与利用，奇怪的是，虽然利用exp工具能够扫描出来确实存在rce漏洞，但是无法成功利用执行命令whoami，多次尝试反弹shell到我的vps也是没有成功。

分析问题出现原因：

可能是工具误报，目标系统并未真正存在该漏洞。
可能是目标系统部署了WAF（Web应用防火墙），拦截了攻击请求。

时间宝贵啊于是只能放弃这里的进攻点，去寻找新的突破口。

波折二：SQL时间盲注

这里必须要安利一个好用的burpsuite插件，xia_sql，能够被动检测SQL注入漏洞。通过前端不断点击与后台交互的功能点，找到一处存在注入点，但坑的是没有数据回显，只能使用时间盲注。

更坑的是后台居然过滤了OR 和 AND 关键字，还有空格字符，or可以用||替代，而and可以用&&替代，对于空格字符常见的绕过思路是：

space2plus

：

- 将空格替换为+。
- 示例：UNION SELECT -> UNION+SELECT。

space2hash

：

- 将空格替换为%23（即#，URL编码）。
- 示例：UNION SELECT -> UNION%23SELECT。

space2blank

：

- 将空格替换为其他空白字符（如%09、%0A等）。
- 示例：UNION SELECT -> UNION%09SELECT。

space2randomblank

：

- 将空格替换为随机的空白字符（如%09、%0A、%0C等）。
- 示例：UNION SELECT -> UNION%0ASELECT。

如下图，因为网站有关键字符过滤，所以sqlmap跑不出任何信息

补充一个知识点：Tamper脚本是SQLMap中用于修改请求数据的脚本，能够对注入语句进行编码、混淆或其他处理，以绕过WAF或其他过滤机制。

最终编写了一个sqlmap的tamper脚本space2randomblank_and_keywords，成功绕过，获取到数据库信息，尤其是管理员账号密码

#!/usr/bin/env python

"""
Copyright (c) 2006-2023 sqlmap developers (https://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""

import random
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.NORMAL

def dependencies():
    pass

def tamper(payload, **kwargs):
    """
    将空格替换为随机的空白字符（如 %09, %0A, %0C 等）
    例如：UNION SELECT -> UNION%0ASELECT 或 UNION%09SELECT
    """
    if payload:
        # 定义可用的空白字符
        blank_chars = ["%09", "%0A", "%0C", "%0D"]

        # 替换空格为随机的空白字符
        payload = payload.replace(" ", random.choice(blank_chars))
        # 替换 OR 和 AND 关键字
        payload = payload.replace("OR", "||")  # 替换 OR 为 ||
        payload = payload.replace("AND", "&&")  # 替换 AND 为 &&
    return payload

利用tamper脚本跑出banner