首先看到这道题,题目给出了源码:
from flask import request
cmd: str = request.form.get('cmd')
param: str = request.form.get('param')
#以request请求方式传入cmd和param,即get,post两种均可
# ------------------------------------- Don't modify ↑ them ↑! But you can write your code ↓
import subprocess, os
if cmd is not None and param is not None:
try:
tVar = subprocess.run([cmd[:3], param, __file__], cwd=os.getcwd(), timeout=5)
#subprocess.run(args, *, stdin=None, ... )函数可以执行命令行命令
print('Done!')
except subprocess.TimeoutExpired:
print('Timeout!')
except:
print('Error!')
else:
print('No Flag!')
#只有通过执行命令才能得到flag
他其实就是一个命令执行题,只不过他是FLASK框架下的python环境,我们主要看subprocess.run()函数。subpeocess模块下的run函数可以执行命令,其具体的参数有很多,我们题中这里主要有三个:第一个args是最重要的,它就是要执行的命令。注意它必须是一个列表,里面的内容包括了命令和命令参数,比如:
subprocess.run(["ls", "-l", "/usr/bin"])
那么题中就是取cmd中前三个为命令,param为命令参数,_file_是当前文件路径(当param中传入的也是文件路径参数时,命令行会根据这两个路径参数分别执行成两条命令,输出两个结果);第二个cwd为当前工作路径,os.getcwd()就是返回进程的当前工作目录;点个就是超时时间最大设置为5s。
那么我们就可以先查看一下当前的文件或目录,于是设置payload为:
cmd=ls¶m=-l
可以看到当前就是这个.py文件,于是我们接着向上找一下:
cmd=ls&¶m=./
可以看到有一个flag.txt文件,设置payload即可得到flag:
cmd=cat¶m=./flag.txt
ctfshow{1896a8a6-b0bc-486c-928d-e44d3614b01c}