Day1
AWDP
ezjs
1.Fix
大概把所有的路径穿越给 ban 掉就好了
用了一些奇怪的操作：new URL(`http://123/${path}`).pathname ，这样得到的就是过滤后的正常路径了。
patch 如下：
*** app.js Tue Jul 23 10:30:21 2024
--- app-fix.js Tue Jul 23 10:30:21 2024
***************
*** 7,14 ****
const path = require("path");
function createDirectoriesForFilePath(filePath) {
! const dirname = path.dirname(filePath);
fs.mkdirSync(dirname, { recursive: true });
}
--- 7,17 ----
const path = require("path");
+ function filter(path){
+ return new URL(`http://1/${path}`).pathname
+ }
function createDirectoriesForFilePath(filePath) {
! const dirname = path.dirname(filter(filePath));
fs.mkdirSync(dirname, { recursive: true });
}
***************
*** 105,113 ****
return res.status(400).send('Filename parameter is required');
}
! const filePath = path.join(__dirname, 'uploads', filename);
! if (filePath.endsWith('.ejs')) {
return res.status(400).send('Invalid file type.');
}
--- 108,116 ----
return res.status(400).send('Filename parameter is required');
}
! const filePath = path.join(__dirname, 'uploads', filter(filename));
! if (filePath.includes('.ejs')) {
return res.status(400).send('Invalid file type.');
}
***************
*** 132,141 ****
}
const new_file = newPath.toLowerCase();
! const oldFilePath = path.join(__dirname, 'uploads', oldPath);
! const newFilePath = path.join(__dirname, 'uploads', new_file);
! if (newFilePath.endsWith('.ejs')){
return res.status(400).send('Invalid file type.');
}
if (!oldPath) {
--- 135,144 ----
}
const new_file = newPath.toLowerCase();
! const oldFilePath = path.join(__dirname, 'uploads', filter(oldPath));
! const newFilePath = path.join(__dirname, 'uploads', filter(new_file));
! if (newFilePath.includes('.ejs')){
return res.status(400).send('Invalid file type.');
}
if (!oldPath) {2.Break
打的时候没想到，后面才想到的
方法是往 node_modules 里写入文件比如 node_modules/ejss/index.js ，然后通过 render 渲染 ejss 为后缀的文件，即可做到RCE。
ShareCard
1.Fix
比赛的时候用的 filter，把所有传来的参数过滤一下即可。
*** app.py Thu Jul 11 14:33:06 2024
--- app-fix.py Tue Jul 23 10:50:42 2024
***************
*** 15,20 ****
--- 15,26 ----
def is_safe_callable(self, obj) -> bool:
return False
+ def filter(str):
+ banned_chrs = "{}%[]_"
+ for ch in banned_chrs:
+ if ch in str:
+ return False
+ return True
class Info(BaseModel):
name: str
***************
*** 34,40 ****
def create_card():
if request.method == "GET":
return safer_render_template("create.html")
! if request.form.get('style')!=None:
open('templates/style.css','w').write(request.form.get('style'))
info=Info(**request.form)
if info.avatar not in os.listdir('avatars'):
--- 40,46 ----
def create_card():
if request.method == "GET":
return safer_render_template("create.html")
! if request.form.get('style')!=None and filter(request.form.get('style')):
open('templates/style.css','w').write(request.form.get('style'))
info=Info(**request.form)
if info.avatar not in os.listdir('avatars'):
***************
*** 45,59 ****
--- 51,71 ----
qrcode.make(share_url).save(qr_img,'png')
qr_img.seek(0)
share_img = base64.b64encode(qr_img.getvalue()).decode()
+ if filter(share_url):
return safer_render_template("created.html", share_url=share_url, share_img=share_img)
+ else:
+ return safer_render_template("created.html")
@app.route("/showCard", methods=["GET"])
def show_card():
token = request.args.get("token")
data = jwt.decode(token, rsakey.publickey().exportKey(), algorithms=jwt.algorithms.get_default_algorithms())
info = Info(**data)
+ if filter (info.name) and filter(info.signature) and info.avatar:
info.parse_avatar()
return safer_render_template("show.html", info=info)
+ else:
+ return safer_render_template("show.html", info=None)
@app.route("/", methods=["GET"])
def index():
赛后发现很好修，把 render 的 sandbox 改回原来的类就行了
*** app.py Thu Jul 11 14:33:06 2024
--- app-fix.py Tue Jul 23 10:41:17 2024
***************
*** 24,30 ****
self.avatar = base64.b64encode(open('avatars/'+self.avatar,'rb').read()).decode()
def safer_render_template(template_name, **kwargs):
! env = SaferSandboxedEnvironment(loader=current_app.jinja_env.loader)
return env.from_string(open('templates/'+template_name).read()).render(**kwargs)
app = Flask(__name__)
--- 24,30 ----
self.avatar = base64.b64encode(open('avatars/'+self.avatar,'rb').read()).decode()
def safer_render_template(template_name, **kwargs):
! env = SandboxedEnvironment(loader=current_app.jinja_env.loader)
return env.from_string(open('templates/'+template_name).read()).render(**kwargs)
app = Flask(__name__)2.Break
因为只给了读权限，走style.css SSTI 拿全局变量的 RSA key，然后走前面打路径穿越
poc：
{{ info.__class__.parse_avatar.__globals__.rsakey.__dict__ }}update：比赛时没做出来，思路来自@mnixry 师傅
剩下两个 java 没看是队友打的，不管了
Day2
Pentest
给了两个可以打的公网 ip。一个是企业官网和考勤数据，另一个是 springboot 的好像 Ruoyi 的服务端（ERW）。
考勤数据可以注册 admin 覆盖密码提权（后面没看
ERW
Ruoyi 走堆泄露的 api 端口 heapdump 得到 shirokey，可以用 rememberme 洞拿到 rce，种马之后加用户或者 .ssh/authorized_keys 连 ssh 进内网。
内网有八台机子对应八道题，用 fscan 扫一下基本能匹配上。
Jenkins
直接扫弱密码，能扫到admin admin123 ，登录进去走 script console 拿到命令执行，可以选择用 msf 进行后渗透操作。
PC-…88（忘名字了
只开了 3306，弱密码 root 123456连上然后任意写文件上传 sys_exec库得到无回显 RCE。同样用 msf 拿到完整 shell 之后后渗透，提权开端口。
RODC
上一台中连上 RDP 之后发现桌面上 wps 点开发现有 RODC 主机上用户名和密码，随便连一个都是管理员权限。
Gitlab
Jenkins后台有 Gitlab 的token，拿到之后可以对 Gitlab 进行操作得到 RCE。
（好像是原题，可以参考https://fushuling.com/index.php/2023/10/10/春秋云境·privilege/
DC
打的太慢了，做到这里没什么时间了。
似乎是打黄金票据从RODC 提升到 DC。