HFCTF-2021-Final-easyflask

考点：

环境变量信息泄露

pickle 反序列化RCE

Flask_seesion 伪造

__ruduce__魔术方法利用

思路：

反序列化肯定包含 创建新对象的操作，如果__reduce__里包含攻击代码就可以实现RCE，但是被反序列化的输出储存在session里，需要知道密钥进行伪造。

密钥获得途径：一般都可以在 代码里、配置文件里(app.config)、环境变量里（/proc/self/environ）获得。这题属于第三者。

 首先拿到secret_key=glzjin22948575858jfjfjufirijidjitg3uiiuuhOLDPWD

/app/source源码信息:

#!/usr/bin/python3.6
import os
import pickle

from base64 import b64decode
from flask import Flask, request, render_template, session

app = Flask(__name__)
app.config["SECRET_KEY"] = "*******"

User = type('User', (object,), {
    'uname': 'test',
    'is_admin': 0,
    '__repr__': lambda o: o.uname,
})


@app.route('/', methods=('GET',))
def index_handler():
    if not session.get('u'):
        u = pickle.dumps(User())
        session['u'] = u
    return "/file?file=index.js"


@app.route('/file', methods=('GET',))
def file_handler():
    path = request.args.get('file')
    path = os.path.join('static', path)
    if not os.path.exists(path) or os.path.isdir(path) \
            or '.py' in path or '.sh' in path or '..' in path or "flag" in path:
        return 'disallowed'

    with open(path, 'r') as fp:
        content = fp.read()
    return content


@app.route('