[护网杯 2018]easy_tornado

打开，发现三个链接

http://38056f41-2d88-4283-9620-f4aa44ce35ab.node4.buuoj.cn:81/file?filename=/flag.txt&filehash=5fc2d08c9600e850d698784ede30ba8c
发现两个参数filename和filehash

传参，报错
http://38056f41-2d88-4283-9620-f4aa44ce35ab.node4.buuoj.cn:81/error?msg=Error
但发现msg可以传参

第二个文件welcome.txt提示render

render是tornado里面的渲染函数，可以想到ssti
{{1}}
${13}
{{11}}
{{"%'()*-/=[]_|}}常见特殊符号
第一个符号可以使用
第三个文件是filehash的参数，但不知道cookie_secret，参考文章
Tornado小记 – 模板中的Handler

cookie_secret来自项目的Application，而handler.settings就指向RequestHandler.application.settings，cookie_secret是handler.application.settings的键值（参考tornado框架）

md5（32位小写加密，参考原始url）后传参：