标签：Me return scan De1CTF self param 2019 result action

一.Hint

flag is in ./flag.txt
(初次了解ssrf,有点懵逼)

二.审查源码

环境直接给出源码

#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16)


class Task:
    def __init__(self, action, param, sign, ip):#python得构造方法
        self.action = action
        self.param = param
        self.sign = sign
        self.sandbox = md5(ip)
        if(not os.path.exists(self.sandbox)):          #SandBox For Remote_Addr
            os.mkdir(self.sandbox)

    def Exec(self):#定义的命令执行函数，此处调用了scan这个自定义的函数
        result = {}
        result['code'] = 500
        if (self.checkSign()):
            if "scan" in self.action:#action要写scan
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param) # 此处是文件读取得注入点
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp #输出结果
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:#action要加read
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

    def checkSign(self):
        if (getSign(self.action, self.param) == self.sign): #!!!校验    return hashlib.md5(secert_key + param + action).hexdigest()    
            return True
        else:
            return False
#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST']) # !!!这个路由用于测试
def geneSign():
    param = urllib.unquote(request.args.get("param", "")) 
    action = "scan"
    return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])#这个路由是我萌得最终注入点
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))
    ip = request.remote_addr
    if(waf(param)):
        return "No Hacker!!!!"
    task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())

@app.route('/')#根目录路由，就是显示源代码得地方
def index():
    return open("code.txt","r").read()


def scan(param):#这是用来扫目录得函数
    socket.setdefaulttimeout(1)
    try:
        return urllib.urlopen(param).read()[:50]
    except:
        return "Connection Timeout"

def getSign(action, param):#!!!这个应该是本题关键点,此处注意顺序先是param后是action
    return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
    return hashlib.md5(content).hexdigest()


def waf(param):#这个waf比较没用好像
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False

    
if __name__ == '__main__':
    app.debug = False
    app.run(host='0.0.0.0')

• 对于python写的后端程序，我们首先看路由（一开始我不了解flask，然后就百度了解了一下，包括路由@app.route()，仅仅是初略了解）Flask和@app.route()

• /geneSign(次要）
  可以看到在/De1ta（主要）页面我们get方法传入param参数值，在cookie里面传递action和sign的值，将传递的param通过waf这个函数。

• 于是我们先去看waf函数
  waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件

接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法

我们接着去看Exec方法

• 先通过checkSign方法检测登录。

到checkSign方法里面去看看

• 当我们传入的参数action和param经过getSign这个函数之后与sign相等( getSign(self.action, self.param) == self.sign )，就返回true

返回true之后则进入if语句里面

这里可以看到，如果scan在action里面，则我们可以让param进入scan这个函数。值得注意的是，这里使用的是in而不是==，于是在这里必定是破题的地方。

• 跳转到scan函数

这里我们很容易注意到，此处传入到scan里面的param没有被过滤，对于param参数的过滤，仅仅在于最开始的waf函数，意于阻止我们使用gopher协议和file协议读取服务器本地的文件。于是如果我们能够令param为flag.txt，我们就能读取它的内容。

构造

大概捋了一下思路之后，我们反向进行构造。

• 首先我们需要是self.checkSign()函数返回为真，所以我们需要让经过了getSign函数的action和param返回值等于sign

需要secert_key+param+action三个字符串连接起来之后进行md5加密作为返回值，但是这里我们不知道secert_key的值。

（关键）但是这里的字符串是连接起来的，举个例子:

action=def;
param+action=abcdef;
param=a;
action=bcdef;
param+action=abcdef;

又因为我们需要让param能够读取flag.txt

所以我们需要令action里面有scan和read这两个参数

所以我们现在就需要

md5(key+flag.txt+scanread/readscan)

虽然key我们不知道，但是这里访问这个页面，我们可以得到一个getSign返回的md5值，不过action已经被写死为scan了。

但是最后的时候我们还是需要读取flag.txt，所以我们令param为flag.txtread

这样就能得到对应的用来登录的md5值了。

可以看到我们获得了

de574b6f7f9ac65cdd678200127faf83

这就是我们登录需要的md5

接着我们访问De1ta页面，传递参数

按照之前的思路，获取到了flag

总结：还是太菜，加油加油！！

标签：Me,return,scan,De1CTF,self,param,2019,result,action
来源： https://blog.csdn.net/qq_46485934/article/details/112790293

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。