ct

这题的ngnix文件没有漏洞，我们看default.conf

我们看到

location /static {
        alias /var/www/static/;
    }

这里有一个很明显的漏洞，/static后面没有加/但是alias后面加了，假如说我们输入../app<，实际上它识别出的是/static../app，然后它匹配到了location /static，然后就会变成/var/www/static/../app，这个实际上代表的意思是下载/var/www/app，那我们就能获取/var/www/下的文件，然后我们看到注释中有写：

JWT: /var/www/app/config.yaml

所以我们直接输入/static../app/config.yaml,我们就把config.yaml下载下来了，那我们就成功获得jwt密钥（我们从注释的说明中可以看到3002和3003端口都需要jwt认证）

下一步我们要寻找其他漏洞了，我们看到注释里3002是调用的这个服务：/var/www/app/config-service

那我们就用前面的漏洞把config-service下载下来看看有没有漏洞

然后我们用ida看看

Polarisctf2026ct (3).png

在这里我们可以看到这里系统调用了一个sed（第196行）

我们看到181行它是用#代替/来分隔的，两个%s是占位符

正常的 sed 替换命令通常长这样：s/正则模式/替换内容/标记。

组成部分	示例 (正常情况)	含义
`s`	`s`	告诉 `sed`：我要进行替换（Substitute）操作。
第一个 `#`	`#`	起始分隔符。告诉 `sed`：后面紧跟的是要找的内容。
*`.old.`*	`.DefaultSSID.`	正则模式。`.`是任意字符，`*`是任意次数。意思是：匹配包含旧值的整行。
第二个 `#`	`#`	中间分隔符。告诉 `sed`：寻找结束，后面开始写要换成什么。
`new`	`MyWiFi`	替换内容。你想把旧内容改成什么。
第三个 `#`	`#`	结束分隔符。告诉 `sed`：替换内容写完了。
标记 (Flags)	`g`	可选标记。比如 `g`代表全局替换。