secret_key伪造session来进行越权

从swpuctf里面的一道ctf题目来讲解secret_key伪造session来进行越权。

以前没有遇到过这种题目，这次遇到了之后查了一些资料把它做了出来，记录一下知识点。

参考资料

 http://northity.com/2018/11/12/HCTF-WEB%E9%83%A8%E5%88%86%E9%A2%98%E8%A7%A3/

https://xz.aliyun.com/t/2589

https://www.anquanke.com/post/id/163974

https://skysec.top/2018/11/12/2018-HCTF-Web-Writeup/

首先我们进行登录，这里没有注册按钮，所以我们随意输入账号密码即可以登录。

我们使用test/test进行登录

可以看到有一个upload模块，进行点击，返回权限不够的提示。

可以猜测这里我们是需要管理员的权限才可以进行文件上传

再查看一下源代码，里面有一个404 not found的提示

于是我们构造一个不存在的页面，使其服务器返回404页面，burpsuite抓包查看

可以看到404界面服务器返回了

swpuctf_csrf_token:U0VDUkVUX0tFWTprZXlxcXF3d3dlZWUhQCMkJV4mKg==

这里的base64编码我们进行解密之后得到是:

SECRET_KEY:keyqqqwwweee!@#$%^&*

解密之后我们得到了secret_key的值，这里验证了我们最开始的结论，正是要伪造管理员的 session 登录之后拥有upload的权限。

对于官方wp，这个地方的绕过是用的另一种方式

我们继续使用刚才的思路进行伪造。

关于session伪造的相关博客:

 https://www.leavesongs.com/PENETRATION/client-session-security.html

 https://www.jianshu.com/p/f92311564ad0

python脚本地址:

https://github.com/noraj/flask-session-cookie-manager

这里需要提到的是:我们需要知道服务器后端使用的python版本是2或者是3，因为通过这两个版本进行加密的session解密出来的格式是不一样的。

这里经过测试我们可知后端的python的版本是3.x的

接着我们将自己加密后的session和screct_key放进python脚本里面跑出解密后的session

我们把id改成1，用户名改成admin，其余不变进行session加密

最终得到admin加密之后的session:

eyJpZCI6eyIgYiI6Ik1RPT0ifSwiaXNfbG9naW4iOnRydWUsInBhc3N3b3JkIjoidGVzdCIsInVzZXJuYW1lIjoiYWRtaW4ifQ.XfERxA.nrEW0S_sf4jtSfnfGmHbFnSv07w

点击upload使用burpsuite进行抓包，将Session更换成我们伪造的session，权限符合，进入

upload页面有后端的代码:

@app.route('/upload',methods=['GET','POST'])

def upload():

    if session['id'] != b'1':

        return render_template_string(temp)

    if request.method=='POST':

        m = hashlib.md5()

        name = session['password']

        name = name+'qweqweqwe'

        name = name.encode(encoding='utf-8')

        m.update(name)

        md5_one= m.hexdigest()

        n = hashlib.md5()

        ip = request.remote_addr

        ip = ip.encode(encoding='utf-8')

        n.update(ip)

        md5_ip = n.hexdigest()

        f=request.files['file']

        basepath=os.path.dirname(os.path.realpath(__file__))

        path = basepath+'/upload/'+md5_ip+'/'+md5_one+'/'+session['username']+"/"

        path_base = basepath+'/upload/'+md5_ip+'/'

        filename = f.filename

        pathname = path+filename

        if "zip" != filename.split('.')[-1]:

            return 'zip only allowed'

        if not os.path.exists(path_base):

            try:

                os.makedirs(path_base)

            except Exception as e:

                return 'error'

        if not os.path.exists(path):

            try:

                os.makedirs(path)

            except Exception as e:

                return 'error'

        if not os.path.exists(pathname):

            try:

                f.save(pathname)

            except Exception as e:

                return 'error'

        try:

            cmd = "unzip -n -d "+path+" "+ pathname

            if cmd.find('|') != -1 or cmd.find(';') != -1:

				waf()

                return 'error'

            os.system(cmd)

        except Exception as e:

            return 'error'

        unzip_file = zipfile.ZipFile(pathname,'r')

        unzip_filename = unzip_file.namelist()[0]

        if session['is_login'] != True:

            return 'not login'

        try:

            if unzip_filename.find('/') != -1:

                shutil.rmtree(path_base)

                os.mkdir(path_base)

                return 'error'

            image = open(path+unzip_filename, "rb").read()

            resp = make_response(image)

            resp.headers['Content-Type'] = 'image/png'

            return resp

        except Exception as e:

            shutil.rmtree(path_base)

            os.mkdir(path_base)

            return 'error'

    return render_template('upload.html')

@app.route('/showflag')

def showflag():

    if True == False:

        image = open(os.path.join('./flag/flag.jpg'), "rb").read()

        resp = make_response(image)

        resp.headers['Content-Type'] = 'image/png'

        return resp

    else:

        return "can't give you"

一个是检测来到upload页面的权限，另外一个是flag所在的位置，即./flag/flag.jpg

所以接下来要做的事情很明确，我们需要将上传的压缩包能够读取服务器端的文件。

这里使用linux里面的软链接达到这个效果，不过我们需要先填入需要读取文件的路径。

我们先使用:

 ln -s /etc/passwd test

zip -y test.zip test

看看能不能读到东西

看出来我们可以使用这种方式读取文件，接下来我们可以看一下/proc/self/environ，能读到uwsgi配置文件

这里跟题目环境不太一样，不懂开发的我确实找不到路径，第二种方法就是在linux中，/proc/self/cwd/会指向进程的当前目录，当我们不知道flask工作目录的时候，我们就使用/proc/self/cwd/flag/flag.jpg来访问flag.jpg

（因为代码里面已经显示了flag.jpg在当前目录下的/flag/flag.jpg这个位置）

上传之后即查询到了flag的值

巴特西

secret_key伪造session来进行越权

最新文章

热门文章