[De1CTF 2019]SSRF Me

题目提示我们flag在./flag.txt

环境直接给了我们源代码，整理之后得到

#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16)


class Task:
    def __init__(self, action, param, sign, ip):
        self.action = action
        self.param = param
        self.sign = sign
        self.sandbox = md5(ip)
        if(not os.path.exists(self.sandbox)):          #SandBox For Remote_Addr
            os.mkdir(self.sandbox)

    def Exec(self):
        result = {}
        result['code'] = 500
        if (self.checkSign()):
            if "scan" in self.action:
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param)
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

    def checkSign(self):
        if (getSign(self.action, self.param) == self.sign):
            return True
        else:
            return False


#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
    param = urllib.unquote(request.args.get("param", ""))
    action = "scan"
    return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))
    ip = request.remote_addr
    if(waf(param)):
        return "No Hacker!!!!"
    task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())
@app.route('/')
def index():
    return open("code.txt","r").read()


def scan(param):
    socket.setdefaulttimeout(1)
    try:
        return urllib.urlopen(param).read()[:50]
    except:
        return "Connection Timeout"



def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
    return hashlib.md5(content).hexdigest()


def waf(param):
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False


if __name__ == '__main__':
    app.debug = False
    app.run(host='0.0.0.0')

对python写的后端程序我们首先看路由。

可以看到在/De1ta页面我们get方法传入param参数值，在cookie里面传递action和sign的值，将传递的param通过waf这个函数。

于是我们先去看waf函数

waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件

接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法

我们接着去看Exec方法

先通过checkSign方法检测登录。

到checkSign方法里面去看看

当我们传入的参数action和param经过getSign这个函数之后与sign相等，就返回true

返回true之后则进入if语句里面

这里可以看到，如果scan在action里面，则我们可以让param进入scan这个函数。值得注意的是，这里使用的是in而不是==，于是在这里必定是破题的地方。

跳转到scan函数

这里我们很容易注意到，此处传入到scan里面的param没有被过滤，对于param参数的过滤，仅仅在于最开始的waf函数，意于阻止我们使用gopher协议和file协议读取服务器本地的文件。于是如果我们能够令param为flag.txt，我们就能读取它的内容。

大概捋了一下思路之后，我们反向进行构造。

首先我们需要是self.checkSign()函数返回为真，所以我们需要让经过了getSign函数的action和param返回值等于sign

需要secert_key+param+action三个字符串连接起来之后进行md5加密作为返回值，但是这里我们不知道secert_key的值。

但是这里的字符串是连接起来的，举个例子:

param=abc;
action=def;
param+action=abcdef;
param=a;
action=bcdef;
param+action=abcdef;

又因为我们需要让param能够读取flag.txt

而又因为

所以我们需要令action里面有scan和read这两个参数

所以我们现在就需要

md5(key+flag.txt+scanread/readscan)

虽然key我们不知道，但是这里

访问这个页面，我们可以得到一个getSign返回的md5值，不过action已经被写死为scan了。

但是最后的时候我们还是需要读取flag.txt，所以我们令param为flag.txtread

这样就能得到对应的用来登录的md5值了。

可以看到我们获得了

0f10b9dfb586adf81d993acd6af48f84

这就是我们登录需要的md5

接着我们访问De1ta页面，传递参数

按照之前的思路，获取到了flag

这道题目的收获:(直接抄的别的师傅的，我觉得说的很对hhh)代码审计类的题目总体上讲没有什么特别的套路，尤其是这种体量较小的代码，也不需要很大的脑洞，只要有较为扎实的基本功，认真的审计代码，找出关键点，耐心回溯与跟进，搞清楚流程，构建一个大体的思路，去实践去验证它的可行性，即使没有接触题目，也一定有所提升。