课。

注入是什么？#

注入是指通过恶意输入或操作，将不被预期的代码或命令插入到程序中，从而造成安全漏洞或执行未授权的操作。

原题【CTF】Web#

T573673 【CTF】Web - 洛谷

运行测试#

双击即可打开服务器。

操作1：注册用户。localhost:4080/register/this_is_a_test_user

操作2：查看用户信息。localhost:4080/info/10000

代码审查#

我们先来看整体代码结构：

我们按上面的流程来看。首先是注册用户的请求：

1
// Register user
2
string registerUser(const string& name) {
3
    int uid = database.size() + 10000;
4
    InfoTable userInfo;
5
    // STOP CRACKING MD5 PLEASE THIS IS NOT WHAT WE WANT
6
    userInfo["admin"] = MD5Hash(name) == "f1d1c50c0e066b430a6d8ac375b75c57" ? "true" : "false";
7
    userInfo["time"] = std::to_string(time(0));
8
    userInfo["name"] = name;
9

10
    // Store user information
11
    database[uid] = toJson(userInfo);
12
    return "Registered user. UID is " + std::to_string(uid);
13
}

这里传入一个 name 用户名，并且将用户名、注册时间、是否是管理员写入数据库中。这里说了不要试图通过逆向 MD5 的方式来获取管理员权限，那我们就不管了。

这里我们注意到一个 toJson 函数，要小心了：Json 是可以被注入的。

JSON 反序列化采用覆盖模式：指的是将 JSON 数据中的字段值直接覆盖目标对象中已有的同名字段值，而不是合并或保留原有数据。

JSON 标准（RFC 8259）并没有明确规定反序列化时采用覆盖模式或合并模式，它主要定义了 JSON 数据的格式和编码规则。JSON 的标准目标是确保数据的结构和格式一致性，而对于如何将 JSON 数据映射到程序中的对象（即反序列化）的具体行为，则由各编程语言的实现和库来决定。

因此，反序列化的行为，如是否采用覆盖模式或其他方式，通常取决于具体的 JSON 解析库或框架的设计，而不是 JSON 标准本身。

然后我们来看查看用户信息的部分：

1
// Execute user command
2
string info(const string& uid) {
3
  int currentUser = atoi(uid.c_str());
4
    if (database.find(currentUser) == database.end()) throw (string)"User not found";
5

6
    InfoTable userInfo = toTable(database[currentUser]);
7
    string result = "";
8
    result += "Name: " + userInfo["name"] + "\n\n";
9
    result += "Registered at: " + userInfo["time"] + "\n\n";
10
    result += "You are ";
11
    result += userInfo["admin"] == "true" ? "admin" : "user";
12

13
    return result;
14
}

这里传入一个用户序号，其中我们可以看到，程序向数据库获取了当前用户的信息。是如何判断是否是管理员的呢？原来，获取到的 userInfo 中有一个 admin 的键，如果这个字符串是 true ，就被认为是管理员。

该程序对 Json 的处理：

1
// Convert info table to JSON format string
2
    string toJson(const InfoTable& m) {
3
        string result = "{";
4
        bool first = true;
5
        for (const auto& entry : m) {
6
            if (first) first = false;
7
            else result += ',';
8
            result += '"' + escape(entry.first) + '"';
9
            result += ':';
10
            result += '"' + escape(entry.second) + '"';
11
        }
12
        return result + "}";
13
    }

可以看到一个逻辑：如果碰到和之前相同的键名，它不会做出判断，而是直接覆盖掉。

这就为我们的攻击提供了契机：registerUser 中有在前面的 admin 值，而我们的 name 是在后面的位置。这意味着，我们可以给 name 字段动动手脚，让它也“生”出一个键值对来，然后覆盖掉之前的 admin 字段。所以，如果能够想办法在 JSON 字符串的末尾添加一个 "admin":"true" ，那就能覆盖掉 前面的 false 注册成为管理员。

继续#

直接拿 “admin”:“true” 当用户名是不行的，需要闭合前面的引号。

例如，我们现在正常注册的字符串是这样的：

{"admin": false, "time": 114514, "name": "example_name"}

如果我们直接拿 “admin”:“true” 当用户名：

{"admin": false, "time": 114514, "name": "\"admin\":\"true\""}

这里的引号会被直接转义掉，打不成预期的效果。

1
Name: "admin":"true"
2

3
Registered at: 1744793493
4

5
You are user

程序会对输入的字符串里的双引号进行转义。但是又能发现，程序遇到行转义，如果在引号前面加入一个字节比如 0x80 等特殊字节会跳过后面的字符不进 0xdf ，就会让程序略过后面的双引号不转义。另外， JSON 反序列化的时候遇到右花括号 } 就会直接停止运行。所以注入完之后立刻添加个 } 字符 就可以了。

让我们分解代码，并将其与提供的解释进行关联。我们可以识别解释中提到的操作在代码中发生的位置，并详细解释每个逻辑部分。

解释分解：#

该解释实质上是在描述程序中的安全漏洞，通过利用字符串中的转义序列来允许JSON 注入。以下是逐步分解：

1. “程序会对输入的字符串里的双引号进行转义。”

   • 这指的是程序在处理字符串时会对双引号进行转义。在代码中，这一逻辑通过 StringChecker 命名空间中的 escape 函数实现。

   1
   string escape(const string& input) {
   2
       string result = "";
   3
       for (auto c : input) {
   4
           if (c == '\"' || c == '\\') result.push_back('\\');
   5
           result.push_back(c);
   6
       }
   7
       return result;
   8
   }

   这确保了输入中的双引号（"）或反斜杠（\）会被正确转义，防止它们破坏 JSON 对象中的字符串结构或引发其他问题。

2. “但是又能发现，程序遇到行转义，如果在引号前面加入一个字节比如 0x80 等特殊字节会跳过后面的字符不进 0xdf”

   • 这指的是利用特殊字符操作转义序列，可能绕过某些逻辑。toTable 函数中提到的GBK 编码可能允许这种操作：

   1
   if (json[idx] & 0x80) {
   2
       result.push_back(json[idx]);
   3
       idx++;
   4
   }

   这行代码检查字符是否是多字节字符编码（GBK，常用于中文字符编码）。这可能允许恶意输入通过利用编码绕过某些检查。

3. “就会让程序略过后面的双引号不转义。”

   • 这再次与之前提到的转义逻辑相关。特殊字节（如 0x80）可能导致程序以不同方式解释某些字符，从而有效跳过或错误地解释诸如双引号之类的字符。

4. “另外，JSON 反序列化的时候遇到右花括号 } 就会直接停止运行。”

   • 这一行描述了程序在 JSON 反序列化时遇到右花括号 } 后停止运行的情况。在 toTable 函数中，我们可以看到使用了 readChar('}') 函数，当遇到 JSON 对象的右花括号时，它会停止解析：

   1
   readChar('}');

   这一点非常重要，因为攻击者可以通过注入 } 来提前结束 JSON 对象，从而导致潜在的注入或数据格式错误。

5. “所以注入完之后立刻添加个 } 字符 就可以了。”

   • 这将所有内容联系起来：如果攻击者能够注入数据并强制程序提前终止 JSON 解析（通过 }），他们就可以控制系统的行为。如果攻击者成功地将内容注入到字符串中，可能通过额外的 } 来关闭 JSON 对象。

代码段分析：#

这些漏洞可能被利用的关键部分是在JSON 解析逻辑中：

• 在 toTable 函数中，执行了读取和解析 JSON 对象的逻辑，处理字符串和键值对。如果攻击者能够将 } 字符注入到字符串中，它可能会提前关闭 JSON 对象，从而绕过验证或引发意外行为：

  1
  // readChar 用于跳过空格并检查字符如 '}'
  2
  readChar('}');

• toJson 函数将一个 InfoTable（键值对的映射）转换成一个 JSON 格式的字符串。如果攻击者能够插入特殊字节或以某种方式操控输入，跳过某些字符的转义，他们就可能操控最终的 JSON 输出。

这就是 GBK 编码注入抗转义，然后就会成功让双引号不被转义，然后闭合引号实现逃逸。接着还 会发现，处理 JSON 的时候还是允许使用单引号的，所以可以用单引号的版本： ‘admin’:‘true’ 。 最终答案是： http://localhost:4080/register/%df",'admin':'true'} 。