社区首页 >专栏 >攻防世界web进阶区wtf.sh-150详解

攻防世界web进阶区wtf.sh-150详解

wuming

发布于 2021-01-18 13:04:45

98200

代码可运行

文章被收录于专栏：wuming_CTFwuming_CTF

运行总次数：0

代码可运行

1. 题目
1. 1.1. 详解

题目

看起来像一个论坛，可以注册，登录

详解

我们随便打开一个尝试注入

并没有发现可以注入

注册发现，admin已经存在，我们看看能不能二次注入

看来也不行

正常登录试试看看有没有其他漏洞

我们发送的时候，看到有个参数，我们试试目录穿越使用../

发现了源码泄露

发现有一个flag 那么我们代码审计

<html>
<head>
    <link rel="stylesheet" type="text/css" href="/css/std.css" >
</head>
$ if contains 'user' ${!URL_PARAMS[@]} && file_exists "users/${URL_PARAMS['user']}"
$ then
$   local username=$(head -n 1 users/${URL_PARAMS['user']});
$   echo "<h3>${username}'s posts:</h3>";
$   echo "<ol>";
$   get_users_posts "${username}" | while read -r post; do
$       post_slug=$(awk -F/ '{print $2 "#" $3}' <<< "${post}");
$       echo "<li><a href=\"/post.wtf?post=${post_slug}\">$(nth_line 2 "${post}" | htmlentities)</a></li>";
$   done 
$   echo "</ol>";
$   if is_logged_in && [[ "${COOKIES['USERNAME']}" = 'admin' ]] && [[ ${username} = 'admin' ]]
$   then
$       get_flag1
$   fi
$ fi
</html>

这里写的，如果我们登录时cookies是admin同时username=admin 我们即可获得flag

我们看到有一些user 同时他是users的目录我们试试users 看看能不能进行读取

果然发现了加密信息之类的，我们怀疑他是token

果然他给我们赋值了，我们正常发东西即可，修改cookie即可

在返回包中因为有set cookie 所以我们直接修改

我们在profile处找到了前半个flag 我们继续分析之前泄露的源码因为整个网站都是wtf的文件，所以我们看看

max_page_include_depth=64
page_include_depth=0
function include_page {
    # include_page pathname
    local pathname=$1
    local cmd=
    [[ ${pathname(-4)} = '.wtf' ]];
    local can_execute=$;
    page_include_depth=$(($page_include_depth+1))
    if [[ $page_include_depth -lt $max_page_include_depth ]]
    then
        local line;
        while read -r line; do
            # check if we're in a script line or not ($ at the beginning implies script line)
            # also, our extension needs to be .wtf
            [[ $ = ${line01} && ${can_execute} = 0 ]];
            is_script=$;
            # execute the line.
            if [[ $is_script = 0 ]]
            then
                cmd+=$'n'${line#$};
            else
                if [[ -n $cmd ]]
                then
                    eval $cmd  log Error during execution of ${cmd};
                    cmd=
                fi
                echo $line
            fi
        done  ${pathname}
    else
        echo pMax include depth exceeded!p
    fi
}

这里有一个replay功能

function reply {
    local post_id=$1;
    local username=$2;
    local text=$3;
    local hashed=$(hash_username "${username}");
    curr_id=$(for d in posts/${post_id}/*; do basename $d; done | sort -n | tail -n 1);
    next_reply_id=$(awk '{print $1+1}' <<< "${curr_id}");
    next_file=(posts/${post_id}/${next_reply_id});
    echo "${username}" > "${next_file}";
    echo "RE: $(nth_line 2 < "posts/${post_id}/1")" >> "${next_file}";
    echo "${text}" >> "${next_file}";
    # add post this is in reply to to posts cache
    echo "${post_id}/${next_reply_id}" >> "users_lookup/${hashed}/posts";
}