一.Hint
flag is in ./flag.txt
(初次了解ssrf,有点懵逼)
二.审查源码
环境直接给出源码
#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')
app = Flask(__name__)
secert_key = os.urandom(16)
class Task:
def __init__(self, action, param, sign, ip):#python得构造方法
self.action = action
self.param = param
self.sign = sign
self.sandbox = md5(ip)
if(not os.path.exists(self.sandbox)): #SandBox For Remote_Addr
os.mkdir(self.sandbox)
def Exec(self):#定义的命令执行函数，此处调用了scan这个自定义的函数
result = {}
result['code'] = 500
if (self.checkSign()):
if "scan" in self.action:#action要写scan
tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
resp = scan(self.param) # 此处是文件读取得注入点
if (resp == "Connection Timeout"):
result['data'] = resp
else:
print resp #输出结果
tmpfile.write(resp)
tmpfile.close()
result['code'] = 200
if "read" in self.action:#action要加read
f = open("./%s/result.txt" % self.sandbox, 'r')
result['code'] = 200
result['data'] = f.read()
if result['code'] == 500:
result['data'] = "Action Error"
else:
result['code'] = 500
result['msg'] = "Sign Error"
return result
def checkSign(self):
if (getSign(self.action, self.param) == self.sign): #!!!校验 return hashlib.md5(secert_key + param + action).hexdigest()
return True
else:
return False
#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST']) # !!!这个路由用于测试
def geneSign():
param = urllib.unquote(request.args.get("param", ""))
action = "scan"
return getSign(action, param)
@app.route('/De1ta',methods=['GET','POST'])#这个路由是我萌得最终注入点
def challenge():
action = urllib.unquote(request.cookies.get("action"))
param = urllib.unquote(request.args.get("param", ""))
sign = urllib.unquote(request.cookies.get("sign"))
ip = request.remote_addr
if(waf(param)):
return "No Hacker!!!!"
task = Task(action, param, sign, ip)
return json.dumps(task.Exec())
@app.route('/')#根目录路由，就是显示源代码得地方
def index():
return open("code.txt","r").read()
def scan(param):#这是用来扫目录得函数
socket.setdefaulttimeout(1)
try:
return urllib.urlopen(param).read()[:50]
except:
return "Connection Timeout"
def getSign(action, param):#!!!这个应该是本题关键点,此处注意顺序先是param后是action
return hashlib.md5(secert_key + param + action).hexdigest()
def md5(content):
return hashlib.md5(content).hexdigest()
def waf(param):#这个waf比较没用好像
check=param.strip().lower()
if check.startswith("gopher") or check.startswith("file"):
return True
else:
return False
if __name__ == '__main__':
app.debug = False
app.run(host='0.0.0.0')
-
对于python写的后端程序，我们首先看路由（一开始我不了解flask，然后就百度了解了一下，包括路由@app.route()，仅仅是初略了解）Flask和@app.route()
-
/geneSign(次要）
可以看到在/De1ta（主要）页面我们get方法传入param参数值，在cookie里面传递action和sign的值，将传递的param通过waf这个函数。 -
于是我们先去看waf函数
waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件
接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法
我们接着去看Exec方法
- 先通过checkSign方法检测登录。
到checkSign方法里面去看看
- 当我们传入的参数action和param经过getSign这个函数之后与sign相等( getSign(self.action, self.param) == self.sign )，就返回true
返回true之后则进入if语句里面
这里可以看到，如果scan在action里面，则我们可以让param进入scan这个函数。值得注意的是，这里使用的是in而不是==，于是在这里必定是破题的地方。
- 跳转到scan函数
这里我们很容易注意到，此处传入到scan里面的param没有被过滤，对于param参数的过滤，仅仅在于最开始的waf函数，意于阻止我们使用gopher协议和file协议读取服务器本地的文件。于是如果我们能够令param为flag.txt，我们就能读取它的内容。
构造
大概捋了一下思路之后，我们反向进行构造。
- 首先我们需要是self.checkSign()函数返回为真，所以我们需要让经过了getSign函数的action和param返回值等于sign
需要secert_key+param+action三个字符串连接起来之后进行md5加密作为返回值，但是这里我们不知道secert_key的值。
（关键）但是这里的字符串是连接起来的，举个例子:
action=def;
param+action=abcdef;
param=a;
action=bcdef;
param+action=abcdef;
又因为我们需要让param能够读取flag.txt
所以我们需要令action里面有scan和read这两个参数
所以我们现在就需要
md5(key+flag.txt+scanread/readscan)
虽然key我们不知道，但是这里访问这个页面，我们可以得到一个getSign返回的md5值，不过action已经被写死为scan了。
但是最后的时候我们还是需要读取flag.txt，所以我们令param为flag.txtread
这样就能得到对应的用来登录的md5值了。
可以看到我们获得了
de574b6f7f9ac65cdd678200127faf83
这就是我们登录需要的md5
接着我们访问De1ta页面，传递参数
按照之前的思路，获取到了flag