【星CTF2023】wp

[TOC]

[*CTF2023]wp

WEB

jwt2struts

提示我们以管理员身份登录

抓包发现：JWT_key.php

访问一下：JWT_key.php：

<?php
highlight_file(__FILE__);
include "./secret_key.php";
include "./salt.php";
//$salt = XXXXXXXXXXXXXX // the salt include 14 characters
//md5($salt."adminroot")=e6ccbf12de9d33ec27a5bcfb6a3293df
@$username = urldecode($_POST["username"]);
@$password = urldecode($_POST["password"]);
if (!empty($_COOKIE["digest"])) {
    if ($username === "admin" && $password != "root") {
         if ($_COOKIE["digest"] === md5($salt.$username.$password)) {
            die ("The secret_key is ". $secret_key);
        }
        else {
            die ("Your cookies don't match up! STOP HACKING THIS SITE.");
        }
    }
    else {
        die ("no no no");
    }
}

重点：

//$salt = XXXXXXXXXXXXXX // the salt include 14 characters
//md5($salt."adminroot")=e6ccbf12de9d33ec27a5bcfb6a3293df
 if ($username === "admin" && $password != "root")
 if ($_COOKIE["digest"] === md5($salt.$username.$password))

这个是哈希长度拓展攻击，可以使用脚本HashPump 哈希长度扩展攻击

这里我们的用户名必须为：admin，并且我们知道：md5($salt."adminroot")=e6ccbf12de9d33ec27a5bcfb6a3293df

因此我们把$salt和字符串admin算在一起，所以长度为19，数据就是剩下的root

传参获得key：sk-he00lctf3r

然后我们根据key去伪造jwt：

访问首页：

访问/admiiiiiiiiiiin

结合题目structs漏洞，用工具一把梭了