攻防世界web进阶区wtf.sh-150详解

最新推荐文章于 2025-01-08 22:24:44 发布

無名之涟

最新推荐文章于 2025-01-08 22:24:44 发布

阅读量1.5k

点赞数

分类专栏： CTF

本文链接：https://blog.youkuaiyun.com/hxhxhxhxx/article/details/108098586

版权

CTF 专栏收录该内容

37 篇文章

订阅专栏

本文详细解析了攻防世界web进阶区wtf.sh-150题目的破解过程，通过代码审计发现源码泄露，利用目录穿越获取flag1，分析replay功能并构造恶意用户名获取flag2。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

题目

在这里插入图片描述

看起来像一个论坛，可以注册，登录

详解

在这里插入图片描述
我们随便打开一个
尝试注入

并没有发现可以注入

注册发现，admin已经存在，
我们看看能不能二次注入

看来也不行

正常登录试试看看有没有其他漏洞

我们发送的时候，看到有个参数，我们试试目录穿越
使用…/

在这里插入图片描述
发现了源码泄露

发现有一个flag
那么我们代码审计

<html>
<head>
    <link rel="stylesheet" type="text/css" href="/css/std.css" >
</head>
$ if contains 'user' ${!URL_PARAMS[@]} && file_exists "users/${URL_PARAMS['user']}"
$ then
$   local username=$(head -n 1 users/${URL_PARAMS['user']});
$   echo "<h3>${username}'s posts:</h3>";
$   echo "<ol>";
$   get_users_posts "${username}" | while read -r post; do
$       post_slug=$(awk -F/ '{print $2 "#" $3}' <<< "${post}");
$       echo "<li><a href=\"/post.wtf?post=${post_slug}\">$(nth_line 2 "${post}" | htmlentities)</a></li>";
$   done 
$   echo "</ol>";
$   if is_logged_in && [[ "${COOKIES['USERNAME']}" = 'admin' ]] && [[ ${username} = 'admin' ]]
$   then
$       get_flag1
$   fi
$ fi
</html>

在这里插入图片描述
这里写的，如果我们登录时cookies是admin同时username=admin
我们即可获得flag

在这里插入图片描述
我们看到有一些user
同时他是users的目录
我们试试users
看看能不能进行读取

果然发现了加密信息之类的，我们怀疑他是token
在这里插入图片描述
果然他给我们赋值了，我们正常发东西即可，修改cookie即可

在返回包中因为有set cookie
所以我们直接修改

我们在profile处找到了前半个flag
我们继续分析之前泄露的源码
因为整个网站都是wtf的文件，所以我们看看

max_page_include_depth=64
page_include_depth=0
function include_page {
    # include_page pathname
    local pathname=$1
    local cmd=
    [[ ${pathname(-4)} = '.wtf' ]];
    local can_execute=$;
    page_include_depth=$(($page_include_depth+1))
    if [[ $page_include_depth -lt $max_page_include_depth ]]
    then
        local line;
        while read -r line; do
            # check if we're in a script line or not ($ at the beginning implies script line)
            # also, our extension needs to be .wtf
            [[ $ = ${line01} && ${can_execute} = 0 ]];
            is_script=$;
            # execute the line.
            if [[ $is_script = 0 ]]
            then
                cmd+=$'n'${line#$};
            else
                if [[ -n $cmd ]]
                then
                    eval $cmd  log Error during execution of ${cmd};
                    cmd=
                fi
                echo $line
            fi
        done  ${pathname}
    else
        echo pMax include depth exceeded!p
    fi
}

这里有一个replay功能

function reply {
    local post_id=$1;
    local username=$2;
    local text=$3;
    local hashed=$(hash_username "${username}");
    curr_id=$(for d in posts/${post_id}/*; do basename $d; done | sort -n | tail -n 1);
    next_reply_id=$(awk '{print $1+1}' <<< "${curr_id}");
    next_file=(posts/${post_id}/${next_reply_id});
    echo "${username}" > "${next_file}";
    echo "RE: $(nth_line 2 < "posts/${post_id}/1")" >> "${next_file}";
    echo "${text}" >> "${next_file}";
    # add post this is in reply to to posts cache
    echo "${post_id}/${next_reply_id}" >> "users_lookup/${hashed}/posts";
}