搜索

[20601] 2021-05-14_安网杯部分wp

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-05-14_安网杯部分wp 安 网 杯 部 分 w p 原 创   P o l o   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 5 - 1 4 收 录 于 话 题   # C T F   , 1 个 w e b 1 w e b s h e l l 上 传 前 端 绕 过 。 绕 了 半 天 才 想 起 来 是 前 端 绕 过 。 。 b u r p 改 个 后 缀 就 好 了 拿 到 s h e l l   蚁 剑 上 传   c a t   / f l a g w e b 3 h t t p : / / 1 7 2 . 2 0 . 2 . 4 : 9 0 0 3 / i n d e x . p h p ? t x t = . . / . . / . . / f l a g   任 意 文 件 读 取 ， 秒 了 w e b 7 知 识 点 ： S S T I , S S T I 读 配 置 文 件 ， / p r o c 目 录 的 作 用 ， f l a s k   s e s s i o n 伪 造 首 先 ， 尝 试 登 录 1 7 2 . 2 0 . 2 . 3 : 9 0 0 6 , 登 录 失 败 ， 访 问 了 一 下 r o b o t s . t x t , 发 现 了 有 报 错 信 息 ， 观 察 U R L ， 考 虑 可 能 存 在 X S S 这 里 看 了 一 眼 中 间 件 分 析 结 果 ， 发 现 了 f l a s k 。 。 f l a s k 人 狂 喜 （ 。 直 接 4 懂 得 都 懂 ， 铁 s s t i 了 ， 尝 试 一 步 步 r c e ， 检 测 发 现 没 开 d e b u g 模 式 ， 所 以 只 能 走 常 规 的 r c e 利 用 了 。 当 尝 试 到 f u n c t i o n   c h e c k F i l e ( )   {         v a r   f i l e   =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u p l o a d _ f i l e ' ) [ 0 ] . v a l u e ;         i f   ( f i l e   = =   n u l l   | |   f i l e   = =   " " )   {                 a l e r t ( " 请 选 择 要 上 传 的 文 件 ! " ) ;                 r e t u r n   f a l s e ;         }         / / 定 义 允 许 上 传 的 文 件 类 型         v a r   a l l o w _ e x t   =   " . j p g | . p n g | . g i f " ;         / / 提 取 上 传 文 件 的 类 型         v a r   e x t _ n a m e   =   f i l e . s u b s t r i n g ( f i l e . l a s t I n d e x O f ( " . " ) ) ;         / / 判 断 上 传 文 件 类 型 是 否 允 许 上 传         i f   ( a l l o w _ e x t . i n d e x O f ( e x t _ n a m e   +   " | " )   = =   - 1 )   {                 v a r   e r r M s g   =   " 该 文 件 不 允 许 上 传 ， 请 上 传 "   +   a l l o w _ e x t   +   " 类 型 的 文 件 , 当 前 文 件 类 型 为 ： "   +   e x t _ n a m e ;                 a l e r t ( e r r M s g ) ;                 r e t u r n   f a l s e ;         } }
时 发 现 被 b a n 了 ， 单 独 测 试 了 下 小 括 号 ， 发 现 是 b a n 了 小 括 号 。 既 然 b a n 了 小 括 号 ， 那 么 常 规 的 s s t i   r c e 基 本 就 走 不 通 了 。 只 能 考 虑 读 取 一 些 敏 感 文 件 ， 比 如 c o n f i g ， 使 用 p a y l o a d   读 取 c o n f i g 文 件 ， 发 现 了   s e c r e t _ k e y s e c r e t _ k e y 的 作 用 是 生 成 s e s s i o n ， 具 体 步 骤 我 忘 了 ， 反 正 是 根 据 s e c r e t _ k e y 可 以 还 原 和 生 成 对 应 的 s e s s i o n 。 g i t h u b 有 对 应 的 工 具 ， f l a s k   s e s s i o n   m a n a g e r 。 接 下 来 看 了 看 源 码 ， 一 个 简 单 的 前 端 验 证 ， b u r p 抓 返 回 包 把 0 改 成 1 就 行 ， 这 样 就 顺 利 进 入 后 台 了 。 但 是 进 入 后 台 后 提 示 我 不 是 a d m i n 好 吧 ， 看 起 来 是 要 伪 造 a d m i n 的 s e s s i o n 了 。 现 在 s e c r e t _ k e y 有 了 ， 用 工 具 先 解 密 当 前 s e s s i o n ， 把 用 户 名 改 成 a d m i n 后 再 生 成 s e s s i o n 。 如 下 图 所 示 那 么 当 前 生 成 的 a d m i n 的 s e s s i o n 就 是 e y J 1 c 2 V y b m F t Z S I 6 I m F k b W l u I n 0 . Y J o 7 O g . 7 W f Y q u b O 5 M 7 K Z - 8 I X X K I p 6 k M f 5 o ， e d i t   t h i s   c o o k i e   换 一 下 （ 我 这 c h r o m e 有 b u g ， 用 的 f i r e f o x ） ' ' . _ _ c l a s s _ _ . _ _ m r o _ _ [ - 1 ] . _ _ s u b c l a s s e s _ _ ( )
已 经 给 了 h i n t ， 考 虑 任 意 文 件 读 取 ， 首 先 尝 试 读 取 / e t c / p a s s w d ， 成 功 。 接 下 来 尝 试 读 f l a g 。 直 接 / f l a g 不 行 ， 关 键 字 给 过 滤 了 。 卡 了 好 几 个 小 时 用 了 挺 多 绕 过 方 法   / f l a ?   / f *   等 等   但 是 可 能 中 间 有 转 义 之 类 的 ， 最 终 传 到 L i n u x 层 并 不 能 识 别 通 配 符 ， 所 以 卡 了 很 长 时 间 最 后 的 思 路 是 之 前 比 赛 中 读 f l a g ， 过 滤 了 很 多 ， 师 傅 告 诉 我 利 用 / p r o c / 目 录 读 文 件 ， 这 里 / p r o c 目 录 是 啥 作 用 我 就 不 说 了 ， 自 己 去 查 一 下 就 好 。 / p r o c / s e l f / c m d l i n e   代 表 当 前 的 命 令 行 输 入 内 容 ， 我 读 取 了 之 后 是 这 个
好 家 伙   绝 对 路 径 有 了 ， 直 接 读 文 件 / a p p / a p p _ a 3 8 4 g h 1 . p y 程 序 代 码 如 下 ， 基 本 修 复 了 s s t i - > r c e ， 然 后 看 到 了 i m p o r t   f f f f f f f f 1 1 1 l l l l a g   文 件 ， 那 直 接 读 当 前 / a p p 目 录 下 的 f f f f f f f f 1 1 1 l l l l a g . p y 就 好 了 。 f r o m   f l a s k   i m p o r t   F l a s k , r e q u e s t , r e n d e r _ t e m p l a t e _ s t r i n g , r e d i r e c t , r e n d e r _ t e m p l a t e , s e s s i o n i m p o r t   r a n d o m i m p o r t   s t r i n g i m p o r t   b a s e 6 4 i m p o r t   f f f f f f f f 1 1 1 l l l l a g a p p   =   F l a s k ( i m p o r t _ n a m e = _ _ n a m e _ _ , t e m p l a t e _ f o l d e r = ' t e m p l a t e s ' , s t a t i c _ f o l d e r = ' s t a t i c ' , s t a t i c _ u r l _ p a t h = ' / s t a t i c ' ) a p p . c o n f i g [ ' S E C R E T _ K E Y ' ]   = ' ' . j o i n ( r a n d o m . s a m p l e ( s t r i n g . a s c i i _ l e t t e r s   +   s t r i n g . d i g i t s ,   8 ) ) @ a p p . b e f o r e _ r e q u e s t d e f   b e f o r e _ r e q u e s t ( ) :         i f   ' / a d m i n / '   i n   r e q u e s t . p a t h :                 s e s s _ n a m e = ' g u e s t '                 p r i n t ( s e s s i o n )                 i f   ' u s e r n a m e '   i n   s e s s i o n :                         s e s s _ n a m e = s e s s i o n [ ' u s e r n a m e ' ]                 i f   s e s s _ n a m e ! = ' a d m i n ' :                         r e t u r n   ' Y o u r   c u r r e n t   a c c o u n t   i s   ' + s e s s _ n a m e + '   n o t   a d m i n ' @ a p p . a f t e r _ r e q u e s t d e f   m a k e h e a d e r ( r e s p o n s e ) :         r e s p o n s e . h e a d e r s [ " X - P o w e r e d - B y " ]   =   " P H P / 7 . 2 . 1 0 "         r e s p o n s e . h e a d e r s [ " H i n t " ]   =   " W a k e   u p   N e o ,   t h e   M a t r i x   h a s   y o u "         r e s p o n s e . h e a d e r s [ ' S e r v e r ' ] = ' A p a c h e / 2 . 4 . 3 5   ( W i n 6 4 )   P H P / 7 . 2 . 1 0 '         r e t u r n   r e s p o n s e @ a p p . r o u t e ( ' / ' ) d e f   r e d i r e c t _ 2 _ i n d e x ( ) :         i f   ' u s e r n a m e '   n o t   i n   s e s s i o n :                 p r i n t ( ' n o t   i n   s e s s i o n ! ' )                 s e s s i o n [ ' u s e r n a m e ' ] = ' g u e s t '         r e t u r n   r e d i r e c t ( " . / i n d e x . p h p " ,   c o d e = 3 0 2 ) @ a p p . r o u t e ( " / e r r . p h p " ) d e f   e r r ( ) :         # I   p a t c h e d   t h e   S S T I   v u l n e r a b i l i t y . H o w   c l e v e r   I   a m !         e r r o r i n f o = r e q u e s t . a r g s . g e t ( " e r r o r i n f o " )         b l a c k l i s t = [ " ( " , " ) " ]         f o r   b l a c k   i n   b l a c k l i s t :                 i f   b l a c k   i n   e r r o r i n f o :                         r e t u r n   " Y o u ' r e   j u s t   a   d i r t y   h a c k e r , a r e n ' t   y o u ? "         r e t u r n   r e n d e r _ t e m p l a t e _ s t r i n g ( " O h   n o , t h e r e   i s   a n   E r r o r !   E r r o r   i n f o : < p >   % s "   %   e r r o r i n f o ) @ a p p . r o u t e ( " / i n d e x . p h p " ) d e f   i n d e x ( ) :         r e t u r n   r e n d e r _ t e m p l a t e ( " i n d e x . h t m l " ) @ a p p . r o u t e ( " / l o g i n . p h p " , m e t h o d s = [ ' P O S T ' ] ) d e f   l o g i n ( ) :         u s e r n a m e = r e q u e s t . f o r m [ ' u s e r n a m e ' ]         p a s s w o r d = r e q u e s t . f o r m [ ' p a s s w o r d ' ]         i f   " ' "   i n   u s e r n a m e   o r   " ' "   i n   p a s s w o r d :                 r e t u r n   " Y o u   h a v e   a n   e r r o r   i n   y o u r   S Q L   s y n t a x ;   c h e c k   t h e   m a n u a l   t h a t   c o r r e s p o n d s   t o   y o u r   M a r i a D B   s e r v e r   v e r s i o n   f o r   t h e   r i g h t   s y n t a x   t o   u s e   n e a r   ' ' ' "         r e t u r n   ' 0 ' @ a p p . r o u t e ( " / a d m i n / b a c k e n d m a n a g e . p h p " )
读 取 f l a g 文 件 后 ， 拿 到 f l a g 。 这 题 有 几 个 坑 点 ， 首 先 是 H T T P 头 里 面 的 P H P   H E A D E R   容 易 迷 惑 人 ， 其 次 是 登 录 那 的 s q l 注 入 容 易 迷 惑 人 ， 最 后 是 F L A S K - S S T I 的 利 用 方 式 需 要 掌 握 全 面 ： 1 . 直 接 R C E 2 . 开 D E B U G 时 ， S S T I   读 文 件 - > 构 造 P I N 码 - > R C E 3 . 伪 造 s e s s i o n 登 录 m i s c 1 流 量 包 没 看 出 来 啥 ， 直 接 分 离 h t t p 对 象 发 现 了 f l a g . p h p ， 压 缩 包 被 破 坏 了 ， 修 复 下 头 d e f   b a c k e n d m a n a g e ( ) :         i m g = r e q u e s t . a r g s . g e t ( " i m g " )         i f   n o t   i m g :                 i m g = ' 1 . p n g '                 i f   " f l a g "   i n   i m g :                 r e t u r n   " Y o u ' r e   j u s t   a   d i r t y   h a c k e r , a r e n ' t   y o u ? "         c o n t e n t   =   ' '         w i t h   o p e n ( i m g ,   ' r b ' )   a s   i m g _ f :                 c o n t e n t   =   i m g _ f . r e a d ( )                 c o n t e n t   =   b a s e 6 4 . b 6 4 e n c o d e ( c o n t e n t )         c o n t e n t = ' ' . j o i n ( [ c h r ( i )   f o r   i   i n   c o n t e n t ] )         r e t u r n   ' < h 1 > C u r r e n t   I m a g e : { i m g } < / h 1 > < ! - -   ? i m g = 1 . p n g   - - > < i m g     > ' . f o r m a t ( i m g = i m g , c o n t e n t = c o n t e n t ) @ a p p . e r r o r h a n d l e r ( E x c e p t i o n ) d e f   a l l _ e x c e p t i o n _ h a n d l e r ( e ) :         e = s t r ( e )         r e t u r n   r e d i r e c t ( " / e r r . p h p ? e r r o r i n f o = " + e ,   c o d e = 3 0 2 ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         a p p . r u n ( h o s t = " 0 . 0 . 0 . 0 " , p o r t = 8 0 ) J P E G   ( j p g ) ，                                                 　 　 文 件 头 ： F F D 8 F F 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　   文 件 尾 ： F F   D 9 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 P N G   ( p n g ) ，                                               　 　   文 件 头 ： 8 9 5 0 4 E 4 7 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： A E   4 2   6 0   8 2 G I F   ( g i f ) ，                                                       　 　 文 件 头 ： 4 7 4 9 4 6 3 8 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： 0 0   3 B                                                                                                                                   Z I P   A r c h i v e   ( z i p ) ，                                           文 件 头 ： 5 0 4 B 0 3 0 4 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： 5 0   4 B T I F F   ( t i f ) ，                                                       　     文 件 头 ： 4 9 4 9 2 A 0 0 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： W i n d o w s   B i t m a p   ( b m p ) ，             　     文 件 头 ： 4 2 4 D 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　   文 件 尾 ： C A D   ( d w g ) ，                                                 　     文 件 头 ： 4 1 4 3 3 1 3 0 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： A d o b e   P h o t o s h o p   ( p s d ) ，                     文 件 头 ： 3 8 4 2 5 0 5 3 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 文 件 尾 ： R i c h   T e x t   F o r m a t   ( r t f ) ，                           文 件 头 ： 7 B 5 C 7 2 7 4 6 6 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　     文 件 尾 ： X M L   ( x m l ) ，                                                             文 件 头 ： 3 C 3 F 7 8 6 D 6 C 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　   文 件 尾 ： H T M L   ( h t m l ) ，                                                       文 件 头 ： 6 8 7 4 6 D 6 C 3 E E m a i l   [ t h o r o u g h   o n l y ]   ( e m l ) ，           文 件 头 ： 4 4 6 5 6 C 6 9 7 6 6 5 7 2 7 9 2 D 6 4 6 1 7 4 6 5 3 A O u t l o o k   E x p r e s s   ( d b x ) ，                         文 件 头 ： C F A D 1 2 F E C 5 F D 7 4 6 F O u t l o o k   ( p s t ) ，                                                   文 件 头 ： 2 1 4 2 4 4 4 E M S   W o r d / E x c e l   ( x l s . o r . d o c ) ，             文 件 头 ： D 0 C F 1 1 E 0 M S   A c c e s s   ( m d b ) ，                                         文 件 头 ： 5 3 7 4 6 1 6 E 6 4 6 1 7 2 6 4 2 0 4 A W o r d P e r f e c t   ( w p d ) ，                                     文 件 头 ： F F 5 7 5 0 4 3 A d o b e   A c r o b a t   ( p d f ) ，                               文 件 头 ： 2 5 5 0 4 4 4 6 2 D 3 1 2 E Q u i c k e n   ( q d f ) ，                                                   文 件 头 ： A C 9 E B D 8 F W i n d o w s   P a s s w o r d   ( p w l ) ，                   文 件 头 ： E 3 8 2 8 5 9 6 R A R   A r c h i v e   ( r a r ) ，                                         文 件 头 ： 5 2 6 1 7 2 2 1 W a v e   ( w a v ) ，                                                         文 件 头 ： 5 7 4 1 5 6 4 5 A V I   ( a v i ) ，                                                                   文 件 头 ： 4 1 5 6 4 9 2 0 R e a l   A u d i o   ( r a m ) ，                                           文 件 头 ： 2 E 7 2 6 1 F D R e a l   M e d i a   ( r m ) ，                                               文 件 头 ： 2 E 5 2 4 D 4 6
提 取 r a r 十 六 进 制 转 a s c i i f l a g { M y _ N a m e _ i s _ A o B a i } m i s c 2 z i p 文 件 头 修 复 得 到 密 文 5 a 6 e 4 6 6 5 5 3 6 e 5 0 6 2 4 8 2 0 6 5 7 9 6 6 6 b 7 b 3 9 7 3 3 9 3 0 7 3 3 8 3 3 7 4 2 d 3 9 3 6 3 7 3 1 2 d 3 4 3 3 6 2 6 a 2 d 6 1 6 f 6 9 3 0 2 d 3 2 3 5 6 6 3 1 7 6 3 9 3 1 3 8 7 0 7 0 3 0 3 7 7 d 十 六 进 制 转 a s c i i Z n F e S n P b H e y f k { 9 s 9 0 s 8 3 t - 9 6 7 1 - 4 3 b j - a o i 0 - 2 5 f 1 v 9 1 8 p p 0 7 } 维 吉 尼 亚 解 密 （ c a p t f e n c o d e r 1 . x 版 本   维 吉 尼 亚 解 密 有 b u g ） f l a g { 9 a 9 0 f 8 3 e - 9 6 7 1 - 4 3 a c - b b d 0 - 2 5 b 1 d 9 1 8 c a 0 7 } m i s c   3 压 缩 包 头 部 修 复 ， 修 改 错 了 的 1 位 然 后 需 要 密 码 ， 直 接 b i n w a l k 分 离 出 来 一 个 L i n u x 可 执 行 文 件 ， 到 这 里 卡 住 了 。 。 然 后 后 面 看 了 看 文 件 头 应 该 是 个 p n g ， z h i w e i l a i 加 上 p n g 的 为 文 件 头 后 发 现 图 片 宽 高 有 问 题 ， L i n u x 打 不 开 ， 用 脚 本 爆 破 宽 高 修 改 即 可 。 脚 本 如 下 R e a l   M e d i a   ( r m ) ，                                               文 件 头 ： 2 E 5 2 4 D 4 6 M P E G   ( m p g ) ，                                                       文 件 头 ： 0 0 0 0 0 1 B A M P E G   ( m p g ) ，                                                       文 件 头 ： 0 0 0 0 0 1 B 3 Q u i c k t i m e   ( m o v ) ，                                           文 件 头 ： 6 D 6 F 6 F 7 6 W i n d o w s   M e d i a   ( a s f ) ，                               文 件 头 ： 3 0 2 6 B 2 7 5 8 E 6 6 C F 1 1 M I D I   ( m i d ) ，                                                             文 件 头 ： 4 D 5 4 6 8 6 4 i m p o r t   z l i b i m p o r t   s t r u c t i m p o r t   s y s i m p o r t   b i n a s c i i f i l e n a m e   =   s y s . a r g v [ 1 ] w i t h   o p e n ( f i l e n a m e ,   ' r b ' )   a s   f :         a l l _ b   =   f . r e a d ( )         c r c 3 2 k e y   =   i n t ( a l l _ b [ 2 9 : 3 3 ] . h e x ( ) , 1 6 )
在 对 应 的 位 置 修 改 图 片 宽 高 的 十 六 进 制 值 即 可 。         c r c 3 2 k e y   =   i n t ( a l l _ b [ 2 9 : 3 3 ] . h e x ( ) , 1 6 )         d a t a   =   b y t e a r r a y ( a l l _ b [ 1 2 : 2 9 ] )         n   =   4 0 9 5                         # 理 论 上 0 x f f f f f f f f , 但 考 虑 到 屏 幕 实 际 / c p u ， 0 x 0 f f f 就 差 不 多 了         f o r   w   i n   r a n g e ( n ) :                     # 高 和 宽 一 起 爆 破                 w i d t h   =   b y t e a r r a y ( s t r u c t . p a c k ( ' > i ' ,   w ) )           # q 为 8 字 节 ， i 为 4 字 节 ， h 为 2 字 节                 f o r   h   i n   r a n g e ( n ) :                         h e i g h t   =   b y t e a r r a y ( s t r u c t . p a c k ( ' > i ' ,   h ) )                         f o r   x   i n   r a n g e ( 4 ) :                                 d a t a [ x + 4 ]   =   w i d t h [ x ]                                 d a t a [ x + 8 ]   =   h e i g h t [ x ]                         c r c 3 2 r e s u l t   =   z l i b . c r c 3 2 ( d a t a )                         i f   c r c 3 2 r e s u l t   = =   c r c 3 2 k e y :                                 p r i n t ( " 宽 为 ： " , e n d = " " )                                 w i d t h 1 = b i n a s c i i . b 2 a _ h e x ( w i d t h )                                 w i d t h 1 = w i d t h 1 . d e c o d e ( ' u t f - 8 ' )                                 w i d t h 1 = i n t ( w i d t h 1 , 1 6 )                                 p r i n t ( w i d t h , w i d t h 1 )                                 p r i n t ( " 高 为 ： " , e n d = " " )                                 h e i g h t 1 = b i n a s c i i . b 2 a _ h e x ( h e i g h t )                                 h e i g h t 1 = h e i g h t 1 . d e c o d e ( ' u t f - 8 ' )                                 h e i g h t 1 = i n t ( h e i g h t 1 , 1 6 )                                 p r i n t ( h e i g h t , h e i g h t 1 )                                 e x i t ( 0 )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理