攻防世界 web高手进阶区 10分题Confusion2

最新推荐文章于 2024-07-24 11:52:50 发布

思源湖的鱼

最新推荐文章于 2024-07-24 11:52:50 发布

阅读量1k

点赞数 1

分类专栏： ctf 文章标签： ctf 攻防世界 web 序列化 JWT

本文链接：https://blog.csdn.net/weixin_44604541/article/details/109048503

版权

本文详细介绍了攻防世界Web高手进阶区10分题Confusion2的解题过程，涉及知识点包括序列化（Python和PHP）、JWT、MD5验证码及SSTI。作者首先通过Confusion1的提示找到salt，然后通过注册和登录发现cookie中的token可能关键。经过分析，确定token为JWT格式， payload中包含Python序列化的字符串。利用Python序列化构造RCE字符串，并结合JWT的签名计算，成功绕过防护，执行任意命令并获取flag。

摘要由CSDN通过智能技术生成

前言

继续ctf的旅程
开始攻防世界web高手进阶区的10分题
本文是Confusion2的writeup

解题过程

在这里插入图片描述

Confusion1的伏笔

根据提示
本题是7分题Confusion1的延续
要用到salt

在这里插入图片描述
在Confusion1中给出了salt的位置/opt/salt_b420e8cfb8862548e68459ae1d37a1d5.txt
类似获取flag方法

在这里插入图片描述

其值是_Y0uW1llN3verKn0w1t_

Confusion2

进来是跟Confusion1一样的界面

在这里插入图片描述
但他有了register和login界面

看源码和御剑都没有东西
那就注册登录看看

注册还需要一个MD5验证码
python脚本爆破下

# -*- coding: utf-8 -*-
 
import multiprocessing
import hashlib
import random
import string
import sys
 
 
CHARS = string.letters + string.digits
 
 
def cmp_md5(substr, stop_event, str_len, start=0, size=20):
    global CHARS
 
    while not stop_event.is_set():
        rnds = ''.join(random.choice(CHARS) for _ in range(size))
        md5 = hashlib.md5(rnds)
 
        if md5.hexdigest()[start: start+str_len] == substr:
            print rnds
            stop_event.set()
 
 
if __name__ == '__main__':
    substr = sys.argv[1].strip()
 
    start_pos = int(sys.argv[2]) if len(sys.argv) > 1 else 0
 
    str_len = len(substr)
    cpus = multiprocessing.cpu_count()
    stop_event = multiprocessing.Event()
    processes = [multiprocessing.Process(target=cmp_md5, args=(substr,
                                         stop_event, str_len, start_pos))
                 for i in range(cpus)]
 
    for p in processes:
        p.start()
 
    for p in processes:
        p.join()