PCTF2025 Web 赛题解析（后半部分）

We_will_rockyou

下载源码，进行分析。

from flask import Flask, redirect, url_for, render_template, request
import jwt
import uuid
import os
import subprocess
from werkzeug.security import generate_password_hash, check_password_hash

app = Flask(__name__)
app.config['SECRET_KEY'] = str(uuid.uuid4())
accounts = {}

def create_token(user_id, username):
    payload = {
        'user_id': user_id,
        'username': username
    }
    token = jwt.encode(payload, app.config['SECRET_KEY'], algorithm='HS256')
    if isinstance(token, bytes):
        token = token.decode('utf-8')
    return token

def verify_token(token):
    try:
        payload = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'])
        user_id = payload['user_id']
        username = payload['username']
        return user_id, username
    except:
        return None

def login_required(f):
    from functools import wraps
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.cookies.get('token')
        if not token:
            return redirect(url_for('login'))
        res = verify_token(token)
        if not res:
            return redirect(url_for('login'))
        user_id, username = res
        return f(user_id, username, *args, **kwargs)
    return decorated

def check_login(u, p):
    for user_id, info in accounts.items():
        if info['username'] == u:
            return check_password_hash(info['password'], p), user_id
    return False, None

@app.route('/')
def index():
    return redirect(url_for('login'))

@app.route('/login', methods=['GET', 'POST'])
def login():
    error_msg = None
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        ok, user_id = check_login(username, password)
        if ok:
            token = create_token(user_id, username)
            response = redirect(url_for('dashboard'))
            response.set_cookie('token', token, httponly=True)
            return response
        else:
            error_msg = "Username or Password incorrect!"
    return render_template('login.html', error_msg=error_msg)

@app.route('/logout')
def logout():
    response = redirect(url_for('login'))
    response.delete_cookie('token')
    return response

@app.route('/dashboard')
@login_required
def dashboard(user_id, username):
    return render_template('dashboard.html', user_id=user_id, username=username)

SAFE_COMMANDS = ['ls', 'pwd', 'whoami', 'dir', 'more']

@app.route('/dashboard/run', methods=['POST'])
@login_required
def run_command(user_id, username):
    user_id, username = verify_token(request.cookies.get('token'))
    cmd = request.form.get('command', '').strip()
    if not cmd or cmd.split()[0] not in SAFE_COMMANDS:
        return render_template('dashboard.html', user_id=user_id, username=username, error_msg="Error: Command not allowed or empty")
    try:
        result = subprocess.run(cmd, shell=True, capture_output=True, text=True, timeout=5)
        output = result.stdout + result.stderr
        return render_template('dashboard.html', user_id=user_id, username=username, output=output, command=cmd)
    except Exception as e:
        return render_template('dashboard.html', username=username, error_msg=f"Error: {str(e)}")

if __name__ == '__main__':
    admin_id = 0
    admin_username = 'admin123'
    admin_password = str(uuid.uuid4())
    # 密码覆盖机制：尝试从系统文件读取密码
    for path in ['/password', './password.txt']:
        try:
            if os.path.exists(path) and os.path.isfile(path):
                with open(path, 'rb') as f:
                    raw = f.read()
                    if not raw:
                        continue
                    text = raw.decode('utf-8', errors='replace').strip()
                    candidates = [line.strip() for line in text.splitlines() if line.strip()]
                    if candidates:
                        import secrets
                        admin_password = secrets.choice(candidates)
                        break
        except:
            pass
    print(f' * Admin password: {admin_password}')
    accounts[admin_id] = {
        'username': admin_username,
        'password': generate_password_hash(admin_password)
    }
    app.run(debug=False, host='0.0.0.0')

基础配置与初始化

每次重启服务器时，SECRET_KEY 都会随机生成，这意味着服务器重启后所有旧 Token 都会失效。用户信息存储在字典中，服务器重启则数据清空。

认证逻辑 (JWT)

这部分负责用户登录状态的维持。使用 HS256 算法加密生成 JWT token。由于使用了随机 UUID 作为 KEY，安全性在运行时还可以，但无法持久化。

命令执行逻辑

检查机制只判断命令行的第一个单词是否在白名单内。风险点在于 shell=True。虽然开头是 ls，但可以利用 shell 拼接符。例如输入："ls ; cat /etc/passwd"，这里的白名单检查只看到了 "ls"，符合要求，但 shell 会执行后面的 cat 命令。

启动逻辑与管理员密码初始化

默认随机生成一个 UUID 密码。密码覆盖机制：尝试从系统文件读取密码。如果能控制这两个文件之一，就能预设管理员密码。启动时会在控制台打印管理员密码（用于初次运行查看）。

admin 用户名不变一直为 admin123。jwt 密钥是随机生成的，但是审计发现 admin 密码虽然一开始是随机生成的，但是后面从一个 txt 文本中随机抽取并覆盖了 admin 密码，这里考察点应该是用字典中的密码爆破。

题目描述提示 Try rockyou.txt!，则使用 rockyou 字典爆破密码，用户名是 admin123。

Jwt_password_manager

下载附件审计代码，发现泄露的 jwt 密钥，查看逻辑发现，他读取了 flag，flag 是 admin 的 password。

app.config['SECRET_KEY'] = '0f3cbb44-f199-4d34-ade9-1545c0972648'

admin_password = str(uuid.uuid4())
insert_account('admin', generate_password_hash(admin_password))
# flag in admin account ! ^-^ 
for path in ['/flag', './flag.txt']:
    try:
        if os.path.exists(path) and os.path.isfile(path):
            with open(path, 'rb') as f:
                raw = f.read()
                if raw:
                    content = raw.decode('utf-8', errors='replace').strip()
                    add_password_item('admin', website='seeded-flag', site_username='flag-file', password=content, notes=f'seeded from {path}')
                    break
    except:
        pass

那么我们就开始，先注册一个账号拿到普通的 token，然后去 jwt.io 解密 jwt 然后修改成 admin 然后伪造后得到 flag。

伪造后 admin 的 token 为 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6ImIzMGEwYzNhLTI5Y2YtNGQ0ZS04ZDJiLTcxZGIxOWJlYjc2MiIsInVzZXJuYW1lIjoiYWRtaW4ifQ.PMpPt65DM7rU-z3gljV1f8z5h_DIXSmoDQnMu2vKgQo

然后修改为 admin 的 token，保存密码获取 flag。

ez_upload

打开文件，上传任何文件都查看不了，尝试直接读取/etc/passwd 但是被过滤了，查看源码。

ALLOWED_EXTENSIONS = {'txt', 'pdf', 'png', 'jpg', 'jpeg', 'gif', 'doc', 'docx', 'zip', 'html'}
BLACKLIST_KEYWORDS = [
    'env', '.env', 'environment', 'profile', 'bashrc', 'proc', 'sys', 'etc', 'passwd', 'shadow', 'flag'
]

@app.route('/file')
def view_file():
    file_path = request.args.get('file', '')
    # 从 URL 参数 ?file= 获取路径
    if not file_path:
        # ... (逻辑省略)
    # [黑名单防御]
    file_path_lower = file_path.lower()
    for keyword in BLACKLIST_KEYWORDS:
        if keyword in file_path_lower:
            # 如果命中黑名单，渲染错误信息
            return render_template_string(template, error_message='...{}'.format(keyword))
    try:
        with open(file_path, 'r', encoding='utf-8') as f:
            # [高危] 直接打开用户指定的路径
            file_content = f.read()
            # [SSTI 漏洞]
            # file_content 是用户上传的文件内容
            # 如果用户上传一个包含 {{ 7*7 }} 的文件并在此查看，Flask 会执行其中的模板代码
            return render_template_string(template, file_path=file_path, file_content=file_content)
    except Exception as e:
        # ... (错误处理)

render_template_string 渲染了 html 页面内容，则可以实现覆盖 index.html 在里面实现 ssti 绕过上传限制....//templates/index.html

成功读取。

Do_you_know_session?

看到题目到处试了试 ssti，发现在搜索框中可以进行 ssti。

/search?context=

但是有 waf，只能看到 config，刚好 secretkey 就存在这里，我们直接就可以获取到。

1919810#mistyovo@foxdog@lzz0403#114514

然后我们看到我们有 session，用 flask-session-cookie-manager。

读取 environ 得到 flag。

总结：Session 伪造