[CISCN2019 华北赛区 Day1 Web2]ikun

[CISCN2019 华北赛区 Day1 Web2]ikun

buu题目复现

页面提示，一定要买到Lv6，查找几页，找不到Lv6的存在，尝试通过脚本爆破Lv6

import requests
url = 'http://57043135-ce0e-4b77-bcac-cd45e975d6f7.node4.buuoj.cn:81/shop?page='
for i in range(1,1000):
    url = 'http://57043135-ce0e-4b77-bcac-cd45e975d6f7.node4.buuoj.cn:81/shop?page=' + str(i)
    # print(url)
    result = requests.get(url).content.decode('utf-8')
    if 'lv6.png' in result:
        print(url+'|yes')
    else:
        print(url+'|no')

爆出结果在181页，访问找到Lv6

点击购买提示需要登录，没有账号可以先随手注册一个，注册成功后登录

余额只剩10元，明显不够，尝试逻辑支付漏洞绕过

在前端修改相关折扣

直接修改p标签里的数字无用，看到下面几个hidden类型的表单，通过post传参，才是解题关键

通过修改price值小于余额发现无法成功支付，提示操作失败

通过修改discount折扣值为0.00000000008，成功绕过，提示只允许admin访问

接下来是垂直越权操作，查看cookie，看到了一段JSON Web Token，复制出来，找在线网站[https://jwt.io/]解密查看

看到了我们的用户名123，既然只允许admin访问，我们就可以修改123为admin进行越权操作，密钥可以通过c-jwt-cracker爆破出密码为1Kun，填入并修改用户为admin，得到修改后的JWT值

成功进入，在源码中找到了备份文件，下载并进行代码审计

这里考到了python pickle反序列化漏洞，全局搜索关键字pickle，定位到admin.py中，通过修改become参数来构造反序列化

在python2中只有内置类才有__reduce__方法，即用class A(object)声明的类，而python3中已经默认都是内置类了

在centos中利用python2执行得结果

复制结果到页面中找到对应的表单框（去掉标签的hidden类型），提交即可