题目提示我们flag在./flag.txt
环境直接给了我们源代码，整理之后得到
#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')
app = Flask(__name__)
secert_key = os.urandom(16)
class Task:
def __init__(self, action, param, sign, ip):
self.action = action
self.param = param
self.sign = sign
self.sandbox = md5(ip)
if(not os.path.exists(self.sandbox)): #SandBox For Remote_Addr
os.mkdir(self.sandbox)
def Exec(self):
result = {}
result['code'] = 500
if (self.checkSign()):
if "scan" in self.action:
tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
resp = scan(self.param)
if (resp == "Connection Timeout"):
result['data'] = resp
else:
print resp
tmpfile.write(resp)
tmpfile.close()
result['code'] = 200
if "read" in self.action:
f = open("./%s/result.txt" % self.sandbox, 'r')
result['code'] = 200
result['data'] = f.read()
if result['code'] == 500:
result['data'] = "Action Error"
else:
result['code'] = 500
result['msg'] = "Sign Error"
return result
def checkSign(self):
if (getSign(self.action, self.param) == self.sign):
return True
else:
return False
#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
param = urllib.unquote(request.args.get("param", ""))
action = "scan"
return getSign(action, param)
@app.route('/De1ta',methods=['GET','POST'])
def challenge():
action = urllib.unquote(request.cookies.get("action"))
param = urllib.unquote(request.args.get("param", ""))
sign = urllib.unquote(request.cookies.get("sign"))
ip = request.remote_addr
if(waf(param)):
return "No Hacker!!!!"
task = Task(action, param, sign, ip)
return json.dumps(task.Exec())
@app.route('/')
def index():
return open("code.txt","r").read()
def scan(param):
socket.setdefaulttimeout(1)
try:
return urllib.urlopen(param).read()[:50]
except:
return "Connection Timeout"
def getSign(action, param):
return hashlib.md5(secert_key + param + action).hexdigest()
def md5(content):
return hashlib.md5(content).hexdigest()
def waf(param):
check=param.strip().lower()
if check.startswith("gopher") or check.startswith("file"):
return True
else:
return False
if __name__ == '__main__':
app.debug = False
app.run(host='0.0.0.0')对python写的后端程序我们首先看路由。
可以看到在/De1ta页面我们get方法传入param参数值，在cookie里面传递action和sign的值，将传递的param通过waf这个函数。
于是我们先去看waf函数
waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件
接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法
我们接着去看Exec方法
先通过checkSign方法检测登录。
到checkSign方法里面去看看
当我们传入的参数action和param经过getSign这个函数之后与sign相等，就返回true
返回true之后则进入if语句里面
这里可以看到，如果scan在action里面，则我们可以让param进入scan这个函数。值得注意的是，这里使用的是in而不是==，于是在这里必定是破题的地方。
跳转到scan函数
这里我们很容易注意到，此处传入到scan里面的param没有被过滤，对于param参数的过滤，仅仅在于最开始的waf函数，意于阻止我们使用gopher协议和file协议读取服务器本地的文件。于是如果我们能够令param为flag.txt，我们就能读取它的内容。
大概捋了一下思路之后，我们反向进行构造。
首先我们需要是self.checkSign()函数返回为真，所以我们需要让经过了getSign函数的action和param返回值等于sign
需要secert_key+param+action三个字符串连接起来之后进行md5加密作为返回值，但是这里我们不知道secert_key的值。
但是这里的字符串是连接起来的，举个例子:
param=abc; action=def; param+action=abcdef; param=a; action=bcdef; param+action=abcdef;
又因为我们需要让param能够读取flag.txt
而又因为
所以我们需要令action里面有scan和read这两个参数
所以我们现在就需要
md5(key+flag.txt+scanread/readscan)
虽然key我们不知道，但是这里
访问这个页面，我们可以得到一个getSign返回的md5值，不过action已经被写死为scan了。
但是最后的时候我们还是需要读取flag.txt，所以我们令param为flag.txtread
这样就能得到对应的用来登录的md5值了。
可以看到我们获得了
0f10b9dfb586adf81d993acd6af48f84这就是我们登录需要的md5
接着我们访问De1ta页面，传递参数
按照之前的思路，获取到了flag
这道题目的收获:(直接抄的别的师傅的，我觉得说的很对hhh)代码审计类的题目总体上讲没有什么特别的套路，尤其是这种体量较小的代码，也不需要很大的脑洞，只要有较为扎实的基本功，认真的审计代码，找出关键点，耐心回溯与跟进，搞清楚流程，构建一个大体的思路，去实践去验证它的可行性，即使没有接触题目，也一定有所提升。