CTFer成长记录——CTF之Web专题·buuctf-easy_tornado

合集 - CTF之web专题(37)

1.CTFer成长记录——web专题·本地访问网址2023-06-262.CTFer成长记录——web专题·一句话木马2023-06-273.CTFer成长记录——Web专题·从cookie中获取信息2023-06-274.CTFer成长记录——Web专题·双写绕过2023-06-275.CTFer成长记录——Web专题·robots协议2023-06-286.CTFer成长记录——Web专题·Linux中的.swp文件2023-06-297.CTFer成长记录——Web专题·修改页面元素2023-06-298.CTFer成长记录——Web专题·判断绕过2023-07-099.CTFer成长记录——CTF之Web专题·初识反序列化2023-07-1410.CTFer成长记录——CTF之Web专题·攻防世界-PHP22023-07-2011. CTFer成长记录——CTF之Web专题·bugku-Simple_SSTI_22023-07-2412.CTFer成长记录——CTF之Web专题·bugku-eval2023-07-2413.CTFer成长记录——CTF之Web专题·bugku-变量12023-07-2714.CTFer成长记录——CTF之Web专题·[ACTF2020 新生赛]Include2023-07-2715. CTFer成长记录——CTF之Web专题·bugku—备份是个好习惯2023-07-2816.CTFer成长记录——CTF之Web专题·攻防世界—easyupload2023-07-2917.CTFer成长记录——CTF之Web专题·攻防世界—fileinclude·好多文件呀2023-07-2918.CTFer成长记录——CTF之Web专题·攻防世界—easyphp2023-07-2919. CTFer成长记录——CTF之Web专题·buuctf—secretfile2023-07-2920.CTFer成长记录——CTF之Web专题·19强网杯—随便注2023-07-3021.CTFer成长记录——CTF之Web专题·攻防世界—file_include2023-07-3122.CTFer成长记录——CTF之Web专题·攻防世界—unseping2023-07-3123.CTFer成长记录——CTF之Web专题·攻防世界—NewsCenter2023-07-3124.CTFer成长记录——CTF之Web专题·极客大挑战 2019—http2023-08-0225.CTFer成长记录——CTF之Web专题·极客大挑战—Upload2023-08-0226.CTFer成长记录——CTF之Web专题·极客大挑战—BabySQL2023-08-0327.CTFer成长记录——CTF之Web专题·攻防世界-Web_python_template_injection2023-08-0428.CTFer成长记录——CTF之Web专题·攻防世界-Web_php_unserialize2023-08-0729.CTFer成长记录——CTF之Web专题·攻防世界-php_rce2023-08-0730.CTFer成长记录——CTF之Web专题·攻防世界-Web_php_include2023-08-07

31. CTFer成长记录——CTF之Web专题·buuctf-easy_tornado2023-08-08

32.CTFer成长记录——CTF之Web专题·攻防世界—lottery2023-08-1033. CTFer成长记录——CTF之Web专题·攻防世界—ics-052023-08-1034.CTFer成长记录——CTF之Web专题·buuctf—admin2023-08-1035.CTFer成长记录——CTF之Web专题·buuctf—Cookies2023-08-1836. CTFer成长记录——CTF之Web专题·bugku—never_give_up2023-08-1837.CTFer成长记录——CTF之Web专题·[SWPUCTF 2021 新生赛]jicao2023-09-30

收起

一、题目链接

https://buuoj.cn/challenges#[%E6%8A%A4%E7%BD%91%E6%9D%AF%202018]easy_tornado

二、解法步骤

  本题一共给了三个文件：

 同时发现，打开不同的文件url的格式都是差不多的：file?filename=xxx&filehash=xxx。猜测下hint应该是提示filehash的值，只要我们将filename写成/fllllllllllllag,filehash找到正确的值就可以获取到flag了。

  通过题目提示tornado，上网搜查：

  那么猜测本题应该是一个python模板注入，如何注入？尝试修改filehash：

  file?filename=fllllllllllllag&filehash={{1}},先用常用的模板注入方式试试：

  ,同时url也变成了error?msg=Error

  Error被回显，那么在这里进行注入试试：error?msg={{1*1}}

提示：，这种情况就存在过滤了。如果想获取更多信息需要知道关于tornado模板的知识：

  结合题目提示的cookie_secret与tornado模板，搜到cookie_secret是在Tornado框架的附属文件handler.settings里

  那么尝试访问该附属文件：error?msg={{handler.settings}}

  

  得到cookie_secret，最后就是通过md加密构造filehash值了：

  根据提示，首先对/fllllllllllllag进行加密：3bf9f6cf685a6dd8defadabfb41a03a1

  然后将cookie_secret放在/flll前面：040e1bae-4c46-4bcb-910d-3cc7a80503e93bf9f6cf685a6dd8defadabfb41a03a1

  最后对它们进行md加密：fd20b8ed59f976ee66310bb957c1c028

  构造payload:file?filename=fllllllllllllag&filehash=fd20b8ed59f976ee66310bb957c1c028

  取得flag

三、总结

  本题虽然操作简单，但是要想到不容易，首先得明白如何正确传参，接着还是搜到tornado的cookie_secret的位置，还是有一定难度的。