记一次Flask后端被渗透的经历

0x00写在前面

2021-11-04中午，在flask文档的帮助下，我成功在一小时内搭建起一个带有沙盒的可以执行部分python语句的后端脚本，并第一次将项目部署在docker上。NekoBot新功能+1，在某十几个群开放了此功能，并特别标注为菜单的第-1项，开始期待几个群聊里做渗透的师傅们对其进行攻击。

接下来的20多天里，如此明显的功能几乎没有人使用，这些人几乎全他妈的都在用Bot在看色图、犯病。不过好在有些人注意到了，其中有几位也是打CTF的师傅，可惜他们几乎都在瞎搞（）这期间有个南信大的朋友，对bot进行了一些列攻击，可惜这些方式都在我的预判之内，并没成功。但是单纯的部分绕过都做到了，因为真的很简单（）

2021-11-27凌晨，在持续几个小时的尝试下，这个后端被巨佬plusls（我也是从前小绿草的腿腿acdxvfsvd大仙贝那得知这位巨佬的）读取了源码，读取到了环境信息，最终利用flask的拒绝服务打了下来（我超我怎么不知道flask还有这个后门）。并在几个小时后发现了最后某几个关键字的绕过方法，基本就能get shell了。

在写waf的时候我预先留了个open方法，这就能让所有人对任意文件进行读操作，还有dir()啥的也没过滤（要是过滤了很多东西也没法用了x）；当然还有一些然后以我浅薄的认知，封掉了几个可以利用os模块进行RCE的方法和关键词。我想看看，巨佬是怎么在这些阴间过滤的条件下成功get shell。很幸运，plusls的攻击过程十分精彩，让我学到许多，这波熬夜值了。记录一下记录一下.jpg

（虽然说最后plusls师傅似乎发现了非常不错的绕过方式，但是我被他打掉的脚本不敢重启了，万一他手里有逃出docker的0day呢（害怕.jpg））

0x01文件源码

这么屑的源码有公开的必要吗（恼），直接open('/proc/self/cwd/app/app.py', 'r').read()，请。

#coding=utf-8
from flask import Flask, request
import random

wrong_msg = ["嘤嘤嘤，听不懂吖QAQ~", "呜呜呜~咱好笨~", "咱看不懂这些呀……", "咿呀，好像出错了……", "这超出窝的理解范围了QwQ", "好难~咱听不懂~"]


def keyword_filter(keyword, msg):
    for i in keyword:
        if i not in msg:
            return False
    return True


def py_filter(msg):
    for keyword in ["class", "import", "eval", "exec", "sys", "globals", "_", "builtins", "getattr", "pow", "",
                    "&",]:
        if keyword_filter(keyword, msg):
            return False
    if "**" in msg:
        return False

    return True


def do_python(msg):
    try:
        if py_filter(msg):
            temp = eval(msg)
        else:
            return "Hacking for fun~"

        return str(temp)
    except:
        return random.choice(wrong_msg)


app = Flask(__name__)


@app.route("/submit", methods=["GET"])
def submit():
    data = request.args.get("text")
    print(data)
    return do_python(data)


if __name__ == '__main__':
    app.run(host="0.0.0.0")

0x02文件源码读取原理和/proc

我们都知道可以通过/proc/$pid/来获取指定进程的信息，例如内存映射、CPU绑定信息等等。如果某个进程想要获取本进程的系统信息，就可以通过进程的pid来访问/proc/$pid/目录。但是这个方法还需要获取进程pid，在fork、daemon等情况下pid还可能发生变化。为了更方便的获取本进程的信息，linux提供了/proc/self/目录，这个目录比较独特，不同的进程访问该目录时获得的信息是不同的，内容等价于/proc/本进程pid/。进程可以通过访问/proc/self/目录来获取自己的系统信息，而不用每次都获取pid。

Linux 内核提供了一种通过 /proc 文件系统，在运行时访问内核内部数据结构、改变内核设置的机制。proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它以文件系统的方式为访问系统内核数据的操作提供接口。

还有的是一些以数字命名的目录，他们是进程目录。系统中当前运行的每一个进程都有对应的一个目录在/proc下，以进程的PID号为目录名，他们是读取进程信息的接口。而self目录则是读取进程本身的信息接口，是一个link

巨佬在做了一些常见的信息获取方式后，也试了一些关键字，然后就直接上手/proc/self/这个目录了（不愧是bin巨佬）

读取/proc/self/maps可以得到当前进程的内存映射关系，通过读该文件的内容可以得到内存代码段基址。