PCTF2025 Web 后半部分解题复盘

We_will_rockyou

这是一道基于 Flask 的题目，考察了 JWT 机制缺陷、文件读取及命令执行。

代码审计

源码中定义了 SECRET_KEY 为随机 UUID，这意味着每次重启服务密钥都会变化，旧 Token 失效。但关键逻辑在于管理员密码初始化部分：

if __name__ == '__main__':
    admin_password = str(uuid.uuid4())
    # 密码覆盖机制：尝试从系统文件读取密码
    for path in ['/password', './password.txt']:
        try:
            if os.path.exists(path) and os.path.isfile(path):
                with open(path, 'rb') as f:
                    raw = f.read()
                    text = raw.decode('utf-8', errors='replace').strip()
                    candidates = [line.strip() for line in text.splitlines() if line.strip()]
                    if candidates:
                        import secrets
                        admin_password = secrets.choice(candidates)
                        break
        except: pass
    accounts[admin_id] = {
        'username': 'admin123',
        'password': generate_password_hash(admin_password)
    }

这里存在一个明显的逻辑漏洞：如果攻击者能控制 /password 或 ./password.txt，就能预设管理员密码。结合题目提示 Try rockyou.txt!，我们可以推断需要爆破该文件中的密码。

命令执行

路由 /dashboard/run 允许执行命令，虽然做了白名单校验（只允许 ls, pwd 等），但使用了 shell=True：

result = subprocess.run(cmd, shell=True, capture_output=True, text=True, timeout=5)

白名单仅检查第一个单词，利用 Shell 拼接符（如 ; 或 |）即可绕过。例如输入 ls ; cat /etc/passwd，程序会先执行 ls 通过校验，随后执行 cat 命令。

解题步骤：

1. 访问 /password 或 ./password.txt 获取密码字典。
2. 使用 RockYou 字典爆破 admin123 的密码。
3. 登录后进入 Dashboard，利用 shell=True 特性执行任意命令获取 Flag。

barbie

题目较为简单，主要考察基础信息收集与命令执行。登录后发现过滤规则较松，直接尝试常见命令如 ls / 即可找到 Flag 位置。

Jwt_password_manager

这道题的核心在于硬编码的 JWT 密钥。

漏洞分析

代码中直接写死了 SECRET_KEY：

app.config['SECRET_KEY'] = '0f3cbb44-f199-4d34-ade9-1545c0972648'

同时，Flag 被作为一条密码项存储在了 admin 账号下：

add_password_item('admin', website='seeded-flag', site_username='flag-file', password=content)

利用方式

1. 注册一个普通用户，获取合法 Token。
2. 使用 jwt.io 解密当前 Token。
3. 将 Payload 中的 username 修改为 admin，并使用硬编码密钥重新签名。
4. 替换 Cookie 中的 Token，刷新页面即可查看 admin 的密码列表，其中包含 Flag。

ez_upload

文件上传题目，看似限制了文件类型和路径关键词，实则存在 SSTI（服务器端模板注入）。

代码逻辑

上传功能本身有限制，但在查看文件的路由 /file 中：

@app.route('/file')
def view_file():
    file_path = request.args.get('file', '')
    # ... 黑名单检查 ...
    try:
        with open(file_path, 'r', encoding='utf-8') as f:
            file_content = f.read()
        return render_template_string(template, file_path=file_path, file_content=file_content)

关键点在于 render_template_string 渲染了用户上传的文件内容。如果上传一个包含 Jinja2 语法（如 {{ 7*7 }}）的 .html 或 .txt 文件，并在查看时触发，Flask 会执行其中的模板代码。

绕过思路

1. 上传包含 SSTI payload 的 HTML 文件（注意后缀需符合白名单，如 .html）。
2. 通过 ?file=templates/index.html 或直接引用上传文件路径。
3. 利用模板注入读取敏感文件或执行命令。

Do_you_know_session?

搜索框中存在 SSTI 漏洞，且配置泄露。

漏洞利用

1. SSTI 探测：在 /search?context= 参数处尝试注入，发现 WAF 拦截了大部分关键字，但 config 对象未被完全过滤。
2. 密钥泄露：通过 SSTI 访问 config.SECRET_KEY，获取到 Flask 会话密钥。
3. Session 伪造：拿到密钥后，使用工具（如 Flask-Session-Cookie-Manager）伪造管理员 Session，直接接管后台权限。

总结 本次复盘中，Web 安全的核心依然围绕认证机制（JWT/Session）、输入验证（命令执行/文件上传）及代码审计展开。在实际渗透测试中，不仅要关注显性的漏洞点，更要留意业务逻辑中的细节，如密码覆盖机制、随机密钥生成策略以及模板渲染函数的使用场景。