实验吧-啦啦啦Write up

实验吧-啦啦啦Wr…

内容纲要

实验吧昨天放了三个新题，随便选了个misc的做了一下。虽然有些坑，但还是比较不错的一道题。

隐藏在数据包中的秘密
解题链接： http://ctf5.shiyanbar.com/misc/LOL/LOL.pcapng

数据包，基本上都是可以导出些什么东西，然后进行接下来的求解。这道题也不例外。

导出http的文件，有两个upload.php比较可疑，进入其中可以观察到，一个是上传了lol.zip一个是lol.docx。

前者是正确方向，后者是错误的。

打开lol.zip文件，发现是加密的。正常思维首先会以为密码在另一个文件里面，对，没错，我就是这么掉进坑的。

word文档其本质就是一个压缩包。所以可以把docx文件以压缩包形式打开，最终在document.xml里可以找到一副图片和一句话，大意就是这里风景很美好，但不是想要的。现在看来，这就是说这个方向是错误的，当时没有想到，还做了很久的图片隐写。。。。

zip文件用winhex看一下，会发现头上的加密位是未加密的状态，那么肯定就是在文件目录区所修改的伪加密了。

果不其然，在文件目录区修改伪加密位即可解压文件。

发现是4个16进制文本，扔到解密站看看，看到了png文件头，那大致就明白了，winhex做成png文件即可。

会发现是4个二位码的四个部分，ps拼接之，扫码，得flag。

主要是想看看我老婆

另：
附上伪加密知识点：

压缩源文件数据区+压缩源文件目录区+压缩源文件目录结束标志

压缩源文件数据区：
50 4B 03 04：这是头文件标记（0x04034b50）
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
00 00：扩展记录长度
压缩源文件目录区：
50 4B 01 02：目录中文件文件头标记(0x02014b50)
3F 00：压缩使用的 pkware 版本
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密，这个更改这里进行伪加密，改为09 00打开就会提示有密码了）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
24 00：扩展字段长度
00 00：文件注释长度
00 00：磁盘开始号
00 00：内部文件属性
20 00 00 00：外部文件属性
00 00 00 00：局部头部偏移量
压缩源文件目录结束标志：
50 4B 05 06：目录结束标记
00 00：当前磁盘编号
00 00：目录区开始磁盘编号
01 00：本磁盘上纪录总数
01 00：目录区中纪录总数
59 00 00 00：目录区尺寸大小
3E 00 00 00：目录区对第一张磁盘的偏移量
00 00：ZIP 文件注释长度

harmoc