Menu目录

2020年第二届“网鼎杯”-朱雀组-部分Writeup

作者:Carl Zhang | 更新时间:2020-06-05 | 分类:科技

荣幸参加了第二届的“网鼎杯”,虽然没有进入到线下半决赛中,但是这次已经算是突破了自我,拿到了自己还算满意的成绩了,也拓宽了自己的眼界,提升了不少,发布一下做出来的题的writeup吧,互相交流互相进步,为我国的网络安全事业更进一步!

0x00 签到

操作内容:

打开网页,发现是一个打怪兽的游戏,打到第五关,输了。。。那就看看源代码吧,一开始想着把关卡数量改了,这样就能直接通关了。但是发现没找到修改的地方,然后接着找js代码,发现在app.js中,有如下截图的代码,当游戏过关以后,会发送一个ajax请求,把链接放到postman中,POST参数传递我们队伍的token,直接就可以获取到flag了。

FLAG值:

flag{162c093223299304f310436579c5661f}

0x01 nmap

操作内容:

(注:部分截图为复盘写wp时候重新下发题目以后的截图,因此bp上显示的时间可能会不一样。)

查看网页源代码,发现flag位于/flag中

直接访问提示404,找不到/flag文件,换思路。

干脆先执行一下网页上的按钮吧:返回的链接地址是:result.php?f=fb864,提交的参数是f=fb864,考虑文件包含漏洞,尝试了php://input发现不行,换data://text/plain发现也不行,难道不是文件包含,换一种思路。

仔细看题目,名字是nmap,然后考虑到是否可以用nmap的-oN保存文件方法,把需要执行的恶意代码保存到文件中,然后去执行。

利用burpsuit抓包,得到scan按钮提交的请求,尝试修改host参数的内容:第一次尝试了<?php cat /flag ?> -oN shell.phtml,发现不行,似乎是被过滤了,那就再换一些方法

尝试了上面几种以后发现返回都是Hacker,那就是被过滤了啊,emmmm,难道所有php都被过滤了?那把最后的php改成phtml呢?

不返回Hacker了?!但是为什么访问不到shell.phtml呢?试试看再换一种,两边加上单引号试试:

这样直接就访问不了了,那也就是说,应该是php语法错了,重新整理一下语法,为了减少不必要的重复尝试,节约做题时间,在linux系统中,是支持正则的,某些忘记某个字符情况下,可以使用?* %等字符来替代,也就是可以用这个来代替:???/??? => /bin/cat

直接访问shell.phtml文件,搜索flag,前几个都不对,搜到最后一个,样子看着像,提交一下,成功。

FLAG值:

flag{65a89976-9a12-44de-8d06-5498a7c4ab7c}

0x02 simple

操作内容:

下载压缩包,名叫“放射”,解压打开文件,看到K1和K2,从谐音的角度来考虑,也就只有仿射变换了。

仿射变换方程为y=(ax+b)%26,因此尝试a=K1, b=K2进行计算。写个python执行以下,得到一张对照表。

将结果放到excel表中,方便对照查询,但是发现好多都对应了两个值(比如K对应了A列的F和S),emmmm,怎么办?首先能确定的,kgws对应的是flag,接下来就只能一个个试一试了,尝试到第3组终于对了。

FLAG值:

flag{c8d8ec65-db9f-44f5-8361-ab225c76bbaa}

0x03 key

操作内容:

Key_123,那就尝试一下密码123,打开了,解压到桌面,两张图,匙和锁,分别拖入010Editor,发现“锁.png”实际上是jpeg,然后跑一下jpg的脚本,发现最后有一段未知的二进制,一看文件头,PK,明显就是zip包.

将十六进制复制出来新建一个文件,保存成“锁.zip”。

打开发现需要密码,那密码肯定就在“匙.png”中了,

按照多年的比赛经验,png一般不会有太复杂的隐写,直接考虑图片的会不会高度被改了,将图片高度改成2000,保存。

打开图片,果然,有一串字符串

看到只有2956a这几种字符,考虑曼彻斯特编码,利用之前我自己写的曼彻斯特编码解密程序,将曼彻斯特编码转换成2进制,然后转成16进制,再将16进制转成字符串。(其中的曼彻斯特有3种标准,一个一个试过来的)

最后发现差分曼彻斯特编码接出来的字符最有可能是密码,直接输入提示不正确,说明其中两个字符是错误的,那么猜一下,Lov后面肯定就是e了,组成Love,最前面那个单词,akura,能想到的就是Sakura,结合百变小樱的库洛牌,Sakura就可以翻译为小樱,那就全都解释的通了,组成解压密码Sakura_Love_Strawberry,密码正确,解压得到flag.txt,里面就是flag,提交,成功。

FLAG值:

flag{061056cc-980c-4214-b163-230e5cd5c78e}

0x04 RUA

操作内容:

下载下来打开txt,发现有3串密文以及3串n,直接考虑低加密指数广播攻击。

将3个n和密文填入以前就用过的低加密指数广播攻击python脚本中,代码如下:

#coding:utf-8


from struct import pack,unpack
import zlib
import gmpy

def my_parse_number(number):
string = "%x" % number
#if len(string) != 64:
# return ""
erg = []
while string != '':
erg = erg + [chr(int(string[:2], 16))]
string = string[2:]
return ''.join(erg)

def extended_gcd(a, b):
x,y = 0, 1
lastx, lasty = 1, 0
while b:
a, (q, b) = b, divmod(a,b)
x, lastx = lastx-q*x, x
y, lasty = lasty-q*y, y
return (lastx, lasty, a)

def chinese_remainder_theorem(items):
N = 1
for a, n in items:
N *= n
result = 0
for a, n in items:
m = N/n
r, s, d = extended_gcd(n, m)
if d != 1:
N=N/n
continue
#raise "Input not pairwise co-prime"
result += a*s*m
return result % N, N

sessions=[{"c": 8024667293310019199660855174436055144348010556139300886990767145319919733369837206849070207955417356957254331839203914525519504562595117422955140319552013305532068903324132309109484106720045613714716627620318471048195232209672212970269569790677144450501305289670783572919282909796765124242287108717189750662740283813981242918671472893126494796140877412502365037187659905034193901633516360208987731322599974612602945866477752340080783296268396044532883548423045471565356810753599618810964317690395898263698123505876052304469769153374038403491084285836952034950978098249299597775306141671935146933958644456499200221696, "e": 17, "n": 18856599160001833299560082802925753595735945621023660831294740454109973698430284916320395522883536507135735383517926050963512440162483065097256884040938259092582892259657340825971260278387406398529168309426241530551396056450450728728601248269612166083300938497235910244979946020059799495231539400114422748104072550004260736766137354572252872437140063474603268146956570787143010441293268321641092743010805639953103578977668248726500636191043930770036787317928372179939360510179438436665591755940224156131460271763912868322774604558314812111335691108887319827579162188169744014973478052491398688611046800951698773893393},
{"c": 17388575106047489057419896548519877785989670179021521580945768965101106268068805843720622749203590810185213416901978773748832854888898576822477243682874784689127705334243899967896321836688567602323551986980634884700045627950473546069670440078998428940082620044462222475031805594211784370238038168894827559017562364252406425134530719911057780692073760058203345936344269833206906999625580911856011564697811258009937314511410514416706482571471852503756675411177080916350899445106002226392895645443215522671155311715637759618276305217468892076287376401516124640727839779731609203202530346427613422430202271506248285086956, "e": 17, "n": 21996468204721630460566169654781925102402634427772676287751800587544894952838038401189546149401344752771866376882226876072201426041697882026653772987648569053238451992877808811034545463363146057879646485465730317977739706776287970278094261290398668538232727000322458605289913900919015380904209692398479885177984131014170652915222062267448446642158394150657058846328033404309210836219241651882903083719822769947131283541299760283547938795574020478852839044803553093825730447126796668238131579735916546235889726257184058908852902241422169929720898025622336508382492878690496154797198800699611812166851455110635853297883},
{"c": 5170826942130658374627267470548549396328896108666717036999395626588154882531377393671593939192779292151584678688653835775920356845071292462816417186595460417761844407911946323815187102170021222644920874070699813549492713967666736815947822200867353461264579419205756500926218294604616696969184793377381622818381733352202456524002876336304465082656612634304327627259494264840838687207529676882041997761204004549052900816658341867989593333356630311753611684503882509990853456022056473296726728969894815574884063807804354952314391764618179147583447848871220103094864884798102542377747761263052887894135796051521881179607, "e": 17, "n": 22182114562385985868993176463839749402849876738564142471647983947408274900941377521795379832791801082248237432130658027011388009638587979450937703029168222842849801985646044116463703409531938580410511097238939431284352109949200312466658018635489121157805030775386698514705824737070792739967925773549468095396944503293347398507980924747059180705269064441084577177316227162712249300900490014519213102070911105044792363935553422311683947941027846793608299170467483012199132849683112640658915359398437290872795783350944147546342693285520002760411554647284259473777888584007026980376463757296179071968120796742375210877789},]

data = []
for session in sessions:
e=session['e']
n=session['n']
msg=session['c']
data = data + [(msg, n)]
print "Please wait, performing CRT"
x, n = chinese_remainder_theorem(data)
e=session['e']
realnum = gmpy.mpz(x).root(e)[0].digits()
print my_parse_number(int(realnum))

然后猜e的大小,从1开始一次次尝试,

e=1

这一看就不对,接着测试

e=2

也不对,继续,最终在e=17的时候,得到了flag,提交答案,成功(其实这里可以写循环来找e,但是一开始没有想到,觉得e应该不会太大,应该还挺快的,就在测试e的过程中浪费了一些时间)

FLAG值:

flag{83f4dc02-22ee-44dd-abf2-2fe64f87512f}

0x05 phpweb

操作内容:

访问一下网页,查看html源码,发现每5s会自动刷新一下,看不出其他的内容了,那就用web最简单粗暴的方法,直接抓包。看到抓包以后的http请求,从

func=date&p=Y-m-d+h%3Ai%3As+a的传参大概可以看出这是个php的date方法,func传的是一个php的函数,而p是这个函数需要执行的参数,因此可以利用file_get_contents得到源码:

查看php的源码发现过滤了很多方法,由于题目没有告诉我们flag的位置,那我们首要目的是查找到flag的位置,最好的办法就是利用php的system函数,因为system函数可以直接调用linux的终端命令。但是看到system被过滤了,我们首先需要考虑的是如何绕过这个过滤,从func这个参数传递system已经是不可行的了,看了一下反序列化的方法没有被过滤,那么我们就可以开始构建序列化的参数了。

根据源码中的这个Test函数,以及p和func参数,我们就可以大概尝试序列化以后的结构了:func=unserialize&p=O:4:"Test":2:{s:1:"p";s:20:"find / -name *flag* ";s:4:"func";s:6:"system";}

Func调用unserialize方法,p的参数为序列化以后的结构,结构中的Test为源码中的Class名,p为参数,func为需要执行的方法。我们实际上执行的是system(find/ -n *flag*),其中*为通配符,为了能将系统中所有的flag都找出来。

执行完以后在一堆的文件中找到真正的flag:

最后执行最初的file_get_contents方法,将这个文件读取出来就可以拿到flag了

FLAG值:

flag{3cb7a47c-c147-4af1-92a9-6b36a23cf87e}

0x06 九宫格

操作内容:

将附件下载后发现有576张图片,都是二维码,使用脚本进行自动识别

获取字符串结果为

010101010011001001000110011100110110010001000111010101100110101101011000001100010011100101101010010101000110100001111000010101110111000101001011011011010101100101010100010110100101000000110001010110000011010001000001011001100111010101000110010010100010111100110111010001100110110001110001010010010100011000110001010010110100100001010001010101000101001000110101010100110011011000110011011110100100111101101011011110010110111101011000001100110011011001101110010110100110110001100001010011110111000100110100010110000011010001101011011011000111011101010010011101110111000101100001

转成字符串进制,对应的字符串为

U2FsdGVkX19jThxWqKmYTZP1X4AfuFJ/7FlqIF1KHQTR5S63zOkyoX36nZlaOq4X4klwRwqa

根据提示九宫格横竖斜角都是15,可以知道中间为5,四个角分别是2,4,6,8,对角线的数字从小到大排列组合就是245568,尝试各种解密方式,最后在rabbit解密中,得到对应的flag为flag{2c4fdc156fe74836954a05058c5d0382}

FLAG值:

flag{2c4fdc156fe74836954a05058c5d0382}

(本文为作者原创。转载请注明:转自carlzhang.xyz





*昵称:

*邮箱:

*留言:




精选留言:

我是作者

回复 Summer:下一篇可以安排了!

好的呢~

2020/06/27 22:24:21 | 回复

我是作者

回复 syang:终于更新了,但是一个字都看不懂了。

哈哈哈哈哈,学无止境。

2020/06/27 21:19:38 | 回复

Summer

下一篇可以安排了!

2020/06/21 18:33:53 | 回复

syang

终于更新了,但是一个字都看不懂了。

2020/06/06 19:43:41 | 回复