BUUCTF__[HCTF2018]admin_题解

一、看题

• 拿到题目&＃xff0c;发现一个欢迎页面。有注册、登录功能。
  
• 首先习惯性 F12。发现提示。
  
• 提示不是 admin &＃xff0c;那我们尝试登录用户名 admin &＃xff0c;密码随便输入&＃xff0c;提示密码错误。尝试注 册 admin &＃xff0c;提示账号已被注册&＃xff0c;那么我们怎么才能用 admin 登录呢。
• 那先尝试随便注册一个账号登录看看有什么内容&＃xff0c;注册用户名和密码都为1&＃xff0c;登录。
• 发现有修改密码功能。
  
• 可以注册、登录、修改密码&＃xff0c;很自然的想到二次注入。
• 事实上&＃xff0c;预期解的确是二次注入&＃xff0c;只不过有好几种非预期解法。

二、研究

• 这题得到flag&＃xff0c;实际上可能有四种方式吧。
• 还有一点没想到的是&＃xff0c;在修改密码页面还存在被注释的提示。题目有两处注释提示&＃xff0c;没想到这点&＃xff0c;还是 F12 没用好。
• 在这里提示发现了一个 GitHub 项目。
  
• 访问发现了源码
  
• 下载到本地&＃xff0c;发现是 python 写的&＃xff0c;因为还没学 python 。这题超纲了。
• 不过看wp还是能看懂。

解法一__Unicode欺骗&＃xff08;预期解法&＃xff09;

• 既然有源码&＃xff0c;重点肯定是在注册登录的验证处理和对数据库操作。
• 在 index.html 发现 当登录用户名为 admin 时 输出 flag
  
• 但之前用 admin 登录注册都报错。
• 所以想到二次注入&＃xff0c;也就是先注册一个账号和 admin 不同&＃xff0c;成功注册后&＃xff0c;登录在修改密码时&＃xff0c;能修改 admin 的密码。
• 在 routes.py 中发现了登录注册修改密码的验证代码。
• 注册模块

&＃64;app.route(&＃39;/register&＃39;, methods &＃61; [&＃39;GET&＃39;, &＃39;POST&＃39;])
def register():if current_user.is_authenticated:return redirect(url_for(&＃39;index&＃39;))form &＃61; RegisterForm()if request.method &＃61;&＃61; &＃39;POST&＃39;:name &＃61; strlower(form.username.data)if session.get(&＃39;image&＃39;).lower() !&＃61; form.verify_code.data.lower():flash(&＃39;Wrong verify code.&＃39;)return render_template(&＃39;register.html&＃39;, title &＃61; &＃39;register&＃39;, form&＃61;form)if User.query.filter_by(username &＃61; name).first():flash(&＃39;The username has been registered&＃39;)return redirect(url_for(&＃39;register&＃39;))user &＃61; User(username&＃61;name)user.set_password(form.password.data)db.session.add(user)db.session.commit()flash(&＃39;register successful&＃39;)return redirect(url_for(&＃39;login&＃39;))return render_template(&＃39;register.html&＃39;,


• 登录模块

&＃64;app.route(&＃39;/login&＃39;, methods &＃61; [&＃39;GET&＃39;, &＃39;POST&＃39;])
def login():if current_user.is_authenticated:return redirect(url_for(&＃39;index&＃39;))form &＃61; LoginForm()if request.method &＃61;&＃61; &＃39;POST&＃39;:name &＃61; strlower(form.username.data)session[&＃39;name&＃39;] &＃61; nameuser &＃61; User.query.filter_by(username&＃61;name).first()if user is None or not user.check_password(form.password.data):flash(&＃39;Invalid username or password&＃39;)return redirect(url_for(&＃39;login&＃39;))login_user(user, remember&＃61;form.remember_me.data)return redirect(url_for(&＃39;index&＃39;))return render_template(&＃39;login.html&＃39;, title &＃61; &＃39;login&＃39;, form &＃61; form)

• 修改密码模块

&＃64;app.route(&＃39;/change&＃39;, methods &＃61; [&＃39;GET&＃39;, &＃39;POST&＃39;])
def change():if not current_user.is_authenticated:return redirect(url_for(&＃39;login&＃39;))form &＃61; NewpasswordForm()if request.method &＃61;&＃61; &＃39;POST&＃39;:name &＃61; strlower(session[&＃39;name&＃39;])user &＃61; User.query.filter_by(username&＃61;name).first()user.set_password(form.newpassword.data)db.session.commit()flash(&＃39;change successful&＃39;)return redirect(url_for(&＃39;index&＃39;))return render_template(&＃39;change.html&＃39;, title &＃61; &＃39;change&＃39;, form &＃61; form)


• 在登录后&＃xff0c;发现有 session 储存在本地&＃xff0c;而且修改密码也是取的 session 验证用户名。
• 但本来储存在本地的应该是 COOKIE&＃xff0c;session 应该是存储在服务器的&＃xff0c;而这里为什么 session 在本地&＃xff1f;&＃xff1f;&＃xff1f;
• 这里引用解释

根据p神的文章 https://www.leavesongs.com/PENETRATION/client-session-security.html
可以知道&＃xff0c;flask的session是存在客户端的

• 那么问题就出在这里。它取 session 还经过了一下处理&＃xff0c;而不是直接 session 解密后的内容

  name &＃61; strlower(session[&＃39;name&＃39;])


• 而在代码末可以找到这个函数。

def strlower(username):username &＃61; nodeprep.prepare(username)return username


• 这个函数的解释是(百度没找到相关文档)&＃xff0c;在别人的wp里看到的。

nodeprep.prepare函数会将unicode字符ᴬ转换成A&＃xff0c;而A在调用一次nodeprep.prepare函数会把A转换成a

• 这个字符可以在后面网站找到&＃xff0c;https://unicode-table.com/en/1D2E/

• 知道这个结合源码就能理解一下&＃xff0c;看到注册、登录、修改密码都经过了处理。

  name &＃61; strlower(session[&＃39;name&＃39;])


• 那么如果用 ᴬᴰᴹᴵᴺ 注册&＃xff0c;注册经过处理&＃xff0c;储存在数据库就变成了 ADMIN&＃xff0c;

• 登录后&＃xff0c;加密储存在session 的也是 ADMIN&＃xff0c;

• 那么修改密码时&＃xff0c;取出session解密后的用户名也是 ADMIN&＃xff0c;

• 再一次调用 strlower 函数处理就变成了 admin 所以修改密码就是修改admin 的密码&＃xff0c;所以实际上修改了数据库中的admin 。

• 这时admin 的密码就变成了自定义修改后的密码。登录后就得到 flag 。

• 只能说看wp不难理解&＃xff0c;但还是不简单。

解法二__弱密码&＃xff08;最大非预期&＃xff09;

• 直接 admin 的密码就是 123 。登录直接出 flag 。
• 跑一下字典或者随便输入都能出 flag。

解法三__flask session 伪造&＃xff08;非预期&＃xff09;

• 这个对我来说&＃xff0c;是很大的知识盲区。
• 首先我知道session 可以用来身份验证&＃xff0c;就是你在浏览器打开网页登录后&＃xff0c;可能关闭后再打开不需要重新登录&＃xff0c;这就是 COOKIE 和 session 的作用。其次&＃xff0c;修改 session 绕过验证的操作接触过&＃xff0c;之前看着大佬的教程&＃xff0c;绕过一个钓鱼网站进入后台。但是我不会利用&＃xff0c;我只是知道有这个东西。
• 主要的知识盲区是这里用了签名&＃xff0c;而且我不会解密 session
• 但知道这个方法后&＃xff0c;百度可以找到 flask session 加解密的脚本。
• 理论上可以做出来。解密 session 修改后替换原 session 再访问即可。
• 这里不详细介绍&＃xff0c;因为没复现成功&＃xff0c;详细了解可以看其他师傅的wp。

解法四__条件竞争 &＃xff08;非预期&＃xff09;

• 这种解法原理更深层&＃xff0c;完全的知识盲区。
• 涉及到了多进程和多线程在共享数据时的逻辑顺序问题。
• 暂时无法理解。说一下有这种方法。

三、最后

• 很多知识点和做题技巧&＃xff0c;有点难懂。

• web真的太多知识点了。很难灵活运用。

• 附上原题链接 https://buuoj.cn/challenges#[HCTF%202018]admin

• 持续更新BUUCTF题解&＃xff0c;写的不是很好&＃xff0c;欢迎指正。

• 最后欢迎来访个人博客 http://ctf-web.zm996.cloud/