CTF—Python考点 SSTI&反序列化&字符串

暮w光

已于 2022-03-02 20:22:41 修改

阅读量4k

点赞数 2

分类专栏： CTF Python 文章标签： python 安全 web安全

于 2022-03-01 00:04:31 首次发布

本文链接：https://blog.csdn.net/qi_SJQ_/article/details/123165472

版权

本文探讨了CTF比赛中的Python相关安全问题，涉及支付逻辑、JWT令牌解密、反序列化漏洞利用以及 SSTI 模板注入。通过实例分析了如何利用这些漏洞，包括解密JWT、构造反序列化payload以读取flag，以及如何发现和利用SSTI。同时，提到了Flask框架中的安全隐患和绕过过滤的技巧，并总结了Python Web应用中的session和格式化字符串漏洞类型。

摘要由CSDN通过智能技术生成

ctf题型分类：
在这里插入图片描述

1.CTF—Python—支付逻辑&JWT&反序列化：

题目：2019 CISCN 华北赛区Day1 Web2（全国大学生信息安全竞赛）

先写个爆破请求脚本，爬取请求到内容页面哪个存在lv6图片，得到在181页：
在这里插入图片描述
或者这个脚本，都可以：

import requests 
url = "http://web44.buuoj.cn/" 
for i in range(1, 2000): 
  r = requests.get(url + "shop?page=" + str(i)) 
  if r.text.find("lv6.png") != -1: 
  print(i) 
  break

逻辑漏洞，前端修改折扣值以可以购买。提示不再是不可购买，而是需要admin用户购买，涉及到越权漏洞，此时能想到sql注入、弱口令登录admin或者垂直越权admin，此处用到的是cookie内的jwt令牌解密（https://github.com/brendan-rius/c-jwt-cracker 破解出秘钥），利用jwt.io网站解密jwt可以看到我们的用户名：
在这里插入图片描述
利用爆破出的秘钥加上修改username为admin加密后就能伪造成admin