一.Hint

flag is in ./flag.txt
(初次了解ssrf,有点懵逼)

二.审查源码

环境直接给出源码

#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16)


class Task:
    def __init__(self, action, param, sign, ip):#python得构造方法
        self.action = action
        self.param = param
        self.sign = sign
        self.sandbox = md5(ip)
        if(not os.path.exists(self.sandbox)):          #SandBox For Remote_Addr
            os.mkdir(self.sandbox)

    def Exec(self):#定义的命令执行函数，此处调用了scan这个自定义的函数
        result = {}
        result['code'] = 500
        if (self.checkSign()):
            if "scan" in self.action:#action要写scan
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param) # 此处是文件读取得注入点
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp #输出结果
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:#action要加read
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

    def checkSign(self):
        if (getSign(self.action, self.param) == self.sign): #!!!校验    return hashlib.md5(secert_key + param + action).hexdigest()    
            return True
        else:
            return False
#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST']) # !!!这个路由用于测试
def geneSign():
    param = urllib.unquote(request.args.get("param", "")) 
    action = "scan"
    return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])#这个路由是我萌得最终注入点
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))
    ip = request.remote_addr
    if(waf(param)):
        return "No Hacker!!!!"
    task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())

@app.route('/')#根目录路由，就是显示源代码得地方
def index():
    return open("code.txt","r").read()


def scan(param):#这是用来扫目录得函数
    socket.setdefaulttimeout(1)
    try:
        return urllib.urlopen(param).read()[:50]
    except:
        return "Connection Timeout"

def getSign(action, param):#!!!这个应该是本题关键点,此处注意顺序先是param后是action
    return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
    return hashlib.md5(content).hexdigest()


def waf(param):#这个waf比较没用好像
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False

    
if __name__ == '__main__':
    app.debug = False
    app.run(host='0.0.0.0')

• 对于python写的后端程序，我们首先看路由（一开始我不了解flask，然后就百度了解了一下，包括路由@app.route()，仅仅是初略了解）Flask和@app.route()

• /geneSign(次要）
  可以看到在/De1ta（主要）页面我们get方法传入param参数值，在cookie里面传递action和sign的值，将传递的param通过waf这个函数。

• 于是我们先去看waf函数
  waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件

接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法

我们接着去看Exec方法

• 先通过checkSign方法检测登录。

到checkSign方法里面去看看

• 当我们传入的参数action和param经过getSign这个函数之后与sign相等( getSign(self.action, self.param) == self.sign )，就返回true

返回true之后则进入if语句里面

这里可以看到，如果scan在action里面，则我们可以让param进入scan这个函数。值得注意的是，这里使用的是in而不是==，于是在这里必定是破题的地方。

• 跳转到scan函数

这里我们很容易注意到，此处传入到scan里面的param没有被过滤，对于param参数的过滤，仅仅在于最开始的waf函数，意于阻止我们使用gopher协议和file协议读取服务器本地的文件。于是如果我们能够令param为flag.txt，我们就能读取它的内容。

构造

大概捋了一下思路之后，我们反向进行构造。

• 首先我们需要是self.checkSign()函数返回为真，所以我们需要让经过了getSign函数的action和param返回值等于sign

需要secert_key+param+action三个字符串连接起来之后进行md5加密作为返回值，但是这里我们不知道secert_key的值。

（关键）但是这里的字符串是连接起来的，举个例子:

action=def;
param+action=abcdef;
param=a;
action=bcdef;
param+action=abcdef;

又因为我们需要让param能够读取flag.txt

所以我们需要令action里面有scan和read这两个参数

所以我们现在就需要

md5(key+flag.txt+scanread/readscan)

虽然key我们不知道，但是这里访问这个页面，我们可以得到一个getSign返回的md5值，不过action已经被写死为scan了。

但是最后的时候我们还是需要读取flag.txt，所以我们令param为flag.txtread

这样就能得到对应的用来登录的md5值了。

可以看到我们获得了

de574b6f7f9ac65cdd678200127faf83

这就是我们登录需要的md5

接着我们访问De1ta页面，传递参数

按照之前的思路，获取到了flag

总结：还是太菜，加油加油！！

标签：Me,return,scan,De1CTF,self,param,2019,result,action
来源： https://blog.csdn.net/qq_46485934/article/details/112790293