攻防世界-web-wtf.sh-150（路徑穿越、cookie欺騙、上傳后門）

本文轉載自查看原文 2020-11-19 10:14 402 攻防世界

題目來源：csaw-ctf-2016-quals
題目描述：題目環境是一個論壇，有注冊、登錄、發布、評論的功能。

flag1

進入環境，在展示文章的頁面 post.wtf 下發現路徑穿越漏洞，可以獲得網站源碼

源代碼中搜索flag關鍵字發現，當登錄用戶為admin時，可以get_flag1

先嘗試注冊一個賬號並登錄，發現如下 cookie

在泄露的源碼里得知有 users 目錄

繼續嘗試路徑穿越

發現自己注冊的賬號以及 admin 都被顯示了出來，對比之前的 cookie，發現這個就是TOKEN的值。

admin 的TOKEN也知道了，可以進行 cookie 欺騙。

故登錄 admin 所需的東西如下

登錄成功，獲得 flag1：xctf{cb49256d1ab48803

flag2

因為 wtf 不是常規的網頁文件，故尋找解析 wtf 文件的代碼：

通過源碼可以發現對bash命令的調用，訪問http://220.249.52.133:32374/wtf.sh得到linux腳本代碼。

進行審計后可發現，上傳wtf文件並執行，就可以控制服務器。

function include_page {
    # include_page pathname
    local pathname=$1
    local cmd=
    [[ ${pathname(-4)} = '.wtf' ]];
    local can_execute=$;
    page_include_depth=$(($page_include_depth+1))
    if [[ $page_include_depth -lt $max_page_include_depth ]]
    then
        local line;
        while read -r line; do
            # check if we're in a script line or not ($ at the beginning implies script line)
            # also, our extension needs to be .wtf
            [[ $ = ${line01} && ${can_execute} = 0 ]];
            is_script=$;
            # execute the line.
            if [[ $is_script = 0 ]]
            then
                cmd+=$'n'${line#$};
            else
                if [[ -n $cmd ]]
                then
                    eval $cmd  log Error during execution of ${cmd};
                    cmd=
                fi
                echo $line
            fi
        done  ${pathname}
    else
        echo pMax include depth exceeded!p
    fi
}

繼續進行審計，發現reply函數也存在路徑穿越漏洞。

function reply {
    local post_id=$1;
    local username=$2;
    local text=$3;
    local hashed=$(hash_username "${username}");
    curr_id=$(for d in posts/${post_id}/*; do basename $d; done | sort -n | tail -n 1);
    next_reply_id=$(awk '{print $1+1}' <<< "${curr_id}");
    next_file=(posts/${post_id}/${next_reply_id});
    echo "${username}" > "${next_file}";
    echo "RE: $(nth_line 2 < "posts/${post_id}/1")" >> "${next_file}";
    echo "${text}" >> "${next_file}";
    # add post this is in reply to to posts cache
    echo "${post_id}/${next_reply_id}" >> "users_lookup/${hashed}/posts";
}