[第十届全国大学生信息安全竞赛](web)wanna to see your hat?

wanna to see your hat?
http://106.75.106.203:1515

备用 http://61.174.9.233:1515

image.png
image.png

可以推测出这里应该是将用户名中的单引号替换成了 \

那么这样肯定是存在问题的 ,
如果我们输入的用户名的最后一个字符是单引号
那么用于将 username 括起来的右边的单引号就会被转义

name=or(1)%231%27&submit=check
image.png

此时这个 session 就已经被标记为登陆成功 , 而且应该是管理员
那么我们将这个 session 设置到浏览器刷新试试

image.png
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

推荐阅读更多精彩内容