[De1CTF 2019]SSRF Me
这题进去后题目直接给出源代码
#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')
app = Flask(__name__)
secert_key = os.urandom(16)
class Task:
def __init__(self, action, param, sign, ip):
self.action = action
self.param = param
self.sign = sign
self.sandbox = md5(ip)
if(not os.path.exists(self.sandbox)): #SandBox For Remote_Addr
os.mkdir(self.sandbox)
def Exec(self):
result = {}
result['code'] = 500
if (self.checkSign()):
if "scan" in self.action:
tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
resp = scan(self.param)
if (resp == "Connection Timeout"):
result['data'] = resp
else:
print resp
tmpfile.write(resp)
tmpfile.close()
result['code'] = 200
if "read" in self.action:
f = open("./%s/result.txt" % self.sandbox, 'r')
result['code'] = 200
result['data'] = f.read()
if result['code'] == 500:
result['data'] = "Action Error"
else:
result['code'] = 500
result['msg'] = "Sign Error"
return result
def checkSign(self):
if (getSign(self.action, self.param) == self.sign):
return True
else:
return False
#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
param = urllib.unquote(request.args.get("param", ""))
action = "scan"
return getSign(action, param)
@app.route('/De1ta',methods=['GET','POST'])
def challenge():
action = urllib.unquote(request.cookies.get("action"))
param = urllib.unquote(request.args.get("param", ""))
sign = urllib.unquote(request.cookies.get("sign"))
ip = request.remote_addr
if(waf(param)):
return "No Hacker!!!!"
task = Task(action, param, sign, ip)
return json.dumps(task.Exec())
@app.route('/')
def index():
return open("code.txt","r").read()
def scan(param):
socket.setdefaulttimeout(1)
try:
return urllib.urlopen(param).read()[:50]
except:
return "Connection Timeout"
def getSign(action, param):
return hashlib.md5(secert_key + param + action).hexdigest()
def md5(content):
return hashlib.md5(content).hexdigest()
def waf(param):
check=param.strip().lower()
if check.startswith("gopher") or check.startswith("file"):
return True
else:
return False
if __name__ == '__main__':
app.debug = False
app.run(host='0.0.0.0')
那话不多说，我们先来分析一下源代码吧
从这代码我们不难看出，这是个flask架构的网站，有三个路由，其中一个路由/是用来显示源代码的，还剩两个路由，我们先看看/De1ta吧
这个路由很常规的，先获取三个参数action，param，sign的值，接下来param参数的值会被传入waf函数检查
我们看waf函数的代码不难发现他其实就是检查param参数里面有没有用到gopher和file两个协议，这两个协议被禁止了
回到/De1ta路由的代码，在param参数经过waf检查后，action，param，sign，ip这四个参数将会被用来生成一个Task类的对象
这个类值得关注的就是它会把传入的IP地址经过md5加密后作为一个文件夹的名字，并创建该文件夹，action，param，sign这三个正常赋值作为Task类的属性
再回到/De1ta路由的代码，可以看Task类对象创建后，那个对象要调用Task类的Exec函数
我们来看看Exec函数的代码
这里首先要执行checkSign函数，那我们看看checkSign函数的代码
这里要提一下这个函数也是Task类的一个方法，所以传入到这里的action和param和sign就是我们上面生成那个对象的属性，这里要把action和param传入getSign函数来判断它们的返回值和sign是否相等，我们看看getSign函数的代码
这个函数把secert_key的值加上action和param的值后进行md5加密就返回了，但这里得注意的是secert_key我们是不知道的
Exec函数的代码
我们可以看到，如果checkSign函数返回真值，也就是md5(secert_key + param + action)和sign的值相等的话，我们就可以根据action函数的值执行不同功能
如果action的值是scan，那么他会打开前面对象创建时产生的文件夹里的result.txt文件，然后param参数的值会被scan函数调用，从下面scan函数的代码不难看出他会把param参数指明的文件打开，接着他会把文件内容写入result.txt
看到这大概就有个思路了，让action的值为scan，然后param的值为flag.txt的话，就可以把flag写入result.txt
接着往下看Exec的代码
如果action的值为read，它就会读result.txt的内容，配合上面scan的功能，那我们就可以读flag的内容咯
看到这，这题的思路其实已经很清楚了，现在唯一的目标就是让checkSign函数返回真值，也就是md5(secert_key + param + action)和sign的值相等
我们看下最后一个路由的内容
哦吼，它action的值固定是scan，param的值我们自己传入，然后会调用getSign函数，那这样如果我们传入的param是flag.txt,getSign函数返回的内容就是**md5(secert_key+flag.txtscan)**的值，如果再把这个值给sign参数，param参数是flag.txt,action参数是scan传入/De1ta路由，就可以把flag写入result.txt，但是我们仅仅这样读不了flag
很头疼的是他这里action写死了是scan，要读的话action得是read，得找办法绕过这里。
回去看了Exec的代码后有了意外的发现，它这里用的是in判断read和scan在不在action中，并不是read和scan一定要只有它们自己在才可以，也就是说如果action是readscan，那就能同时满足读写的要求，而且代码**md5(secert_key+flag.txtscan)**用的是拼接的方式，所以我们可以构造param参数为param=flag.txtread，那这样我们就能够得到md5(secert_key+flag.txtreadscan)的md5值
所以我们先访问获得其MD5的值
再访问De1ta页面进行参数传递，拿到flag
