BaseCTF2024复现_web_week4部分

最新推荐文章于 2025-08-28 00:00:00 发布

原创最新推荐文章于 2025-08-28 00:00:00 发布 · 379 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #web安全 #安全

圣钥之战1.0（原型链污染）

题目提示，去read，找flag

得到源码

J1ngHong说：你想read flag吗？
那么圣钥之光必将阻止你！
但是小小的源码没事，因为你也读不到flag(乐)

from flask import Flask,request
import json

app = Flask(__name__)

def merge(src, dst):
    for k, v in src.items():
        if hasattr(dst, '__getitem__'):
            if dst.get(k) and type(v) == dict:
                merge(v, dst.get(k))
            else:
                dst[k] = v
        elif hasattr(dst, k) and type(v) == dict:
            merge(v, getattr(dst, k))
        else:
            setattr(dst, k, v)

def is_json(data):
    try:
        json.loads(data)
        return True
    except ValueError:
        return False

class cls():
    def __init__(self):
        pass

instance = cls()

@app.route('/', methods=['GET', 'POST'])
def hello_world():
    return open('/static/index.html', encoding="utf-8").read()

@app.route('/read', methods=['GET', 'POST'])
def Read():
    file = open(__file__, encoding="utf-8").read()
    return f"J1ngHong说：你想read flag吗？
那么圣钥之光必将阻止你！
但是小小的源码没事，因为你也读不到flag(乐)

{file}

"

@app.route('/pollute', methods=['GET', 'POST'])
def Pollution():
    if request.is_json:
        merge(json.loads(request.data),instance)
    else:
        return "J1ngHong说：钥匙圣洁无暇，无人可以污染！"
    return "J1ngHong说：圣钥暗淡了一点，你居然污染成功了？"

if __name__ == '__main__':
    app.run(host='0.0.0.0',port=80)

然后进入

关键代码分析：

1、merge函数：递归地将源字典src中的键值对合并到目标对象dst中（这种递归合并的方式可能会导致原型链污染）

2、cls类：用于储存被污染的数据

3、pollute路由：如果请求是JSON格式，merge函数会将JSON数据合并到instance对象中

思路：利用merge函数的递归特性，通过构造恶意的JSON数据来污染instance对象，再根据/read目录里的file = open(__file__, encoding="utf-8").read()，利用__file__属性查看

然后再刷新/read界面

flag直接读取不就行了？（目录遍历）

<?php
highlight_file('index.php');
# 我把flag藏在一个secret文件夹里面了，所以要学会遍历啊~
error_reporting(0);
$J1ng = $_POST['J'];
$Hong = $_POST['H'];
$Keng = $_GET['K'];
$Wang = $_GET['W'];
$dir = new $Keng($Wang);
foreach($dir as $f) {
    echo($f . '<br>');
}
echo new $J1ng($Hong);
?>

源码中有提示，要进行目录遍历

那我们就先进行目录遍历，然后在去读取文件内容

这里是通过J、K传入类名，然后H、W传入对应值

先找可以进行目录遍历的类

DirectoryIterator类：一个内置的类，用于迭代目录中的文件和子目录。它实现了 Iterator 接口，可以方便地在目录中进行遍历。

RecursiveDirectoryIterator 类：一个递归迭代器，可以用于遍历目录及其所有子目录。它通常与 RecursiveIteratorIterator 配合使用，以便更方便地处理递归目录。

任选一个作为K的值传入即可，W的值为“/secret”