分类： <span>Write up</span>

TUCTF

2017年12月14日2018年6月4日
by harmoc

前些日子打了一下TUCTF，很惭愧，又是几百名的成绩，不过YY一下自己在国际上能排三百多也还可以，咳咳，精神胜利法。

一直没有时间整理，再加上也没做出来多少。今天发现CTFtime上原来是有write up模块的，QAQ。

先说一下它的一道Web，Cookie Duty

Web-Cookie Duty

显然，从Cookie做文章了，testalert(document.cookie)

可以看到题目的意思是你身份成功了，但权限不对，不是admin。但看到not_admin=1，也就很容易联想到改这个http头了。
burp修改之，得flag。

Web-Git Gud

Git Gud

Jimmy has begun learning about Version Control Systems and decided it was a good time to put it into use for his person website. Show him how to Git Gud.
http://gitgud.tuctf.com

这题很有意思，国内还没遇到用git出题和解题的姿势。学习了。

那就是用git咯。

I have solved a challenge like this in SVATTT-2017 Qual Round , so to deal with this challenge, first we need to Dump the link/.git/ , then Extract it, then Grep for the flag

这是一个写wp老哥的思路。看样子国外还挺喜欢用git出题。

首先dump(转储) link/.git/，即
./gitdumper.sh http://gitgud.tuctf.com/.git/ Folder-To-Save

然后它没显示，此处是用ls -lia去see this file.

最后，Extract it.

./extractor.sh git-saved-folder folder-to-save

然后就grep for flag了。

grep -rnw TUCTF

P.S.git泄露神器，GitHack

Crypto-The Never Ending Crypto

Challenge:

Welcome to the never ending crypto!
How quickly can you make it through?

nc neverending.tuctf.com 12345

我连上之后发现是输入一段字符，观察输出密文，然后它会给你一个密文，让你还原。
但时间不长，几秒钟，so，得用写算法。

Assume our send data is sdata
Our sdata when encrypted is s_encrypt
And the cipher they give us: cipher
To decrypt we need to find key = ord( s_encrypt[0] ) – sdata[0] )
Then cipher[i] = ( cipher[i] – key – 32 ) % (127 – 32) + 32

看看别人的解密思维。。。我怎么就混乱了呢。。。

可以说非常清晰了，写个脚本，一跑了事。

Crypto-Transporter

Challenge:

**We have discovered some hackers have infiltrated our mainframe and may have exfiltrated some highly classified data.
Can you help us figure out what they stole?
**
nc transporter.tuctf.com 54321

连上之后给了一个长base64，解开之后是两段base64，一个再解是给了一个enc_key和一个n一个e，另一个invalid。

Maybe it is encrypted with AES – DES ? Because we can see the IV, and with the view of this data in hex. We see that after the 69763a ( iv: ) is 16 bytes => which decode to 8 bytes ascii . and The IV is 8 bytes huh? should be DES.

而后，看wp里推断是DES。这点真的学到了，贴出了。

公钥（n,e）不算长到不能分解出p，q
再解enc_key

然后用pyDES解出。

VM-Gateway

是时候展现真正的技术了，这是我做的题目种类最优秀的ctf了，第一次见一次CTF出VM题的。涨姿势。

然而我连最初的进入vm都没有做到。。。。。
实在弱鸡。

This CTF provided a VM which encompassed a number of different challenges, the first part of which is to actually access it. When booting up the VM, we find that the drive it's accessing is encrypted and you need a passkey to decrypt it. Luckily there is an unencrypted drive that is accessible.

To access this, we need to add a live CD to the VM so that we can boot off that instead. I chose to use Kali Linux for this. Once we boot into Kali, we can access the unencrypted drive which is labeled "Boot".

Right away there is a file that stands out: "usefultool.exe"
Running this we discover that it is just a program that ROT13's whatever string you provide, so this is a pretty good indicator that our flag will be a ROT13 that needs to be decoded.

Looking around the drive more, nothing of use was really found, so I took a closer look at the .exe. Running strings on it I found something interesting.

However, this turned out to only be part of the flag. Looking closer at the strings output, it seems that the exe has been packed with UPX. Using UPX to unpack it, we can finally get the full output of all the strings, as well as our full ROT13 flag.

大佬的解释如是，已经不容置喙了。。
只敢谈一下个人理解，我没做出来的点在于没找到an unencrypted drive that is accessible，这个是个突破口，我就死于老虎吃天，无从下口。然后就是 "usefultool.exe"解密
rot13,。

VM-Leap of Faith

题面很有意思，说这个题目已经在前面的题目里给出。flag里有秘密，因为当时没做到这儿，具体的flag也不得而知，很遗憾。不过很喜欢这种想象力。

把大佬的解释放出来吧。

This challenge utilized the same exe from the previous challenge. I overthought this one a lot, but looking at all the strings in GDB by accessing the function 'randomPaddingFunction' that I was told to ignore, I finally realized that the first letter of each string gave the flag!

第一次稍微做了下国际赛，果然很爽。。。
向活跃在这第四空间的全体CTFer致敬。
思维万岁。

实验吧-啦啦啦Wr…

2017年12月1日
by harmoc

实验吧昨天放了三个新题，随便选了个misc的做了一下。虽然有些坑，但还是比较不错的一道题。

题面：

隐藏在数据包中的秘密
解题链接： http://ctf5.shiyanbar.com/misc/LOL/LOL.pcapng

题解：

数据包，基本上都是可以导出些什么东西，然后进行接下来的求解。这道题也不例外。

导出http的文件，有两个upload.php比较可疑，进入其中可以观察到，一个是上传了lol.zip一个是lol.docx。

前者是正确方向，后者是错误的。

打开lol.zip文件，发现是加密的。正常思维首先会以为密码在另一个文件里面，对，没错，我就是这么掉进坑的。

word文档其本质就是一个压缩包。所以可以把docx文件以压缩包形式打开，最终在document.xml里可以找到一副图片和一句话，大意就是这里风景很美好，但不是想要的。现在看来，这就是说这个方向是错误的，当时没有想到，还做了很久的图片隐写。。。。

zip文件用winhex看一下，会发现头上的加密位是未加密的状态，那么肯定就是在文件目录区所修改的伪加密了。

果不其然，在文件目录区修改伪加密位即可解压文件。

发现是4个16进制文本，扔到解密站看看，看到了png文件头，那大致就明白了，winhex做成png文件即可。

会发现是4个二位码的四个部分，ps拼接之，扫码，得flag。

主要是想看看我老婆

另：
附上伪加密知识点：

一个 ZIP 文件由三个部分组成：

压缩源文件数据区+压缩源文件目录区+压缩源文件目录结束标志

压缩源文件数据区：
50 4B 03 04：这是头文件标记（0x04034b50）
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
00 00：扩展记录长度
压缩源文件目录区：
50 4B 01 02：目录中文件文件头标记(0x02014b50)
3F 00：压缩使用的 pkware 版本
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密，这个更改这里进行伪加密，改为09 00打开就会提示有密码了）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
24 00：扩展字段长度
00 00：文件注释长度
00 00：磁盘开始号
00 00：内部文件属性
20 00 00 00：外部文件属性
00 00 00 00：局部头部偏移量
压缩源文件目录结束标志：
50 4B 05 06：目录结束标记
00 00：当前磁盘编号
00 00：目录区开始磁盘编号
01 00：本磁盘上纪录总数
01 00：目录区中纪录总数
59 00 00 00：目录区尺寸大小
3E 00 00 00：目录区对第一张磁盘的偏移量
00 00：ZIP 文件注释长度

加密标记位尾部奇数则加密，偶数则不加密。

LCTF2017—…

2017年11月21日2018年6月4日
by harmoc

这次CTF做的可以说很憋屈了。唉，辛辛苦苦两天，愣是没做出来一道题，最后全靠学弟做出来一道逆向才避免了光头的尴尬。
、
Web弱鸡也就做做Web、MISC，以后再学学可能做做Crypto。
太菜了。

MISC-拿去当壁纸吧朋友

题目给了一篇论文
《Keyless dynamic optimal multi-bit image steganography using energetic pixels》Goutam Paul著

Google了一下，发现有一个Github项目叫BusySteg。
down下来之后，看了一下，要安opencv，然后cmake编译运行即可。

然后我就死在了安opencv的过程中。
看过Write up之后，发现。。。我果然好菜。。QAQ

Web-签到题

我没做出来签到题，所以这次比赛算没打的。。。。。
QAQ

题目是一道test.php

稍微扫了一下，发现网站参数就这么一个。www.baidu.com

然后一想，肯定是用协议做文章，很自然的想到file协议，而后。。。我就陷入了试127.0.0.1 、localhost的误区。
也曾想到网站后加子目录，但始终没想明白为何wp里payload会是file://www.baidu.com/etc/flag?
尤其是那个etc。

现在算是明白了，问了出题人，说随便放的，因为都会去试etc/passwd文件。。。。。然后就有线索了，这个文件的最后会有路径。。。我怎么就没想着试试。。。。。

Web-Simple blog

扫一下目录知道了存在login.php、admin.php两个文件，访问admin.php发现有权限控制，login.php是登录界面。
还扫到了弱口令，账号密码admin,可以进admin.php

这里，wp里说，可以通过login.php和admin.php的备份文件即.php.swp获得备份文件。
以此获得源码。
显然，我没找到。。。。

login.php源码：

function get_identity(){
    global $id;
    $token = get_random_token();
    $c = openssl_encrypt($id, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $token);
    $_SESSION['id'] = base64_encode($c);
    setcookie("token", base64_encode($token));
    if($id==='admin'){
        $_SESSION['isadmin'] = 1;
    }else{
        $_SESSION['isadmin'] = 0;
    }
}

function test_identity(){
    if (isset($_SESSION['id'])) {
        $c = base64_decode($_SESSION['id']);
        $token = base64_decode($_COOKIE["token"]);
        if($u = openssl_decrypt($c, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $token)){
            if ($u === 'admin') {
                $_SESSION['isadmin'] = 1;
                return 1;
            }
        }else{
            die("Error!");
        } 
    }
    return 0;
}

可以看到在session中也做了身份验证，但是由于加密模式是aes-128-cbc，且$token在cookie里，可控，所以这里可以进行Pading Oracle Attack，通过修改$token可以把$_SESSION['isadmin']改为1，如此，即可登入admin.php。
学习了，Pading Oracle Attack。出题大佬的blog此文：http://f1sh.site/2017/08/04/%E5%88%9D%E5%AD%A6padding-oracle-attack/

admin.php源码：

if(isset($_GET['id'])){
    $id = mysql_real_escape_string($_GET['id']);
    if(isset($_GET['title'])){
        $title = mysql_real_escape_string($_GET['title']);
        $title = sprintf("AND title='%s'", $title);
    }else{
        $title = '';
    }
    $sql = sprintf("SELECT * FROM article WHERE id='%s' $title", $id);
    $result = mysql_query($sql,$con);
    $row = mysql_fetch_array($result);
    if(isset($row['title'])&&isset($row['content'])){
        echo "<h1>".$row['title']."</h1><br>".$row['content'];
        die();
    }else{
        die("This article does not exist.");
    }

wp说此处可以利用PHP格式化字符串的漏洞。在PHP的sprintf这个函数中%\会被当成一个格式化字符串。

%\会被认为是个tan 90'的格式化字符串，输出空，so，可以传入title=%' or 1#，转义，拼接

sprintf("SELECT * FROM article WHERE id='%s' AND title='%\' or 1#'", $id);

这样%就会吃掉后面的\组成一个格式化字符串，单引号就成功逃逸了出来。

娘希匹，想不到，真的想不到。。。。

只是这样的话还是会报错参数不足，因为这条代码里有两个格式化字符串但是只有一个参数。不过PHP的格式化字符串还有另一种表示方法%1$s，其中%后面的数字就表示引用第几个参数，$后面是格式化字符串的类型。
传入title=%1$' or 1#时：

sprintf("SELECT * FROM article WHERE id='%s' AND title='%1$\' or 1#'", $id);

最终payload：

?id=0&title=%251%24'%20union%20select%201%2C2%2C3%23

注入时也有一个小坑，key这个表名是MYSQL保留字，我们把它当做表名带入查询时必须用反引号包起来。

第六届山东省网安竞…

2017年11月9日2018年6月4日
by harmoc

1.小明的密码

97年出生的小明用自己的生日作为自己网站的密码，现在，得到一串被篡改过一个字符的字符串，你能解出小明的生日吗？
0175501585710a89h5a60dc9ed2f88d7

其实很简单的题，比赛时候就看出来思路，可惜python没写好，hashlib用的不行。没做出来。

思路：
测试97年所有的日期的hash即可，然后与之对比。
重点在hashlib库的使用如事前encode等问题。
还有if s[:10] in md5:这种比较方式应用。

#python 3.6.3
import hashlib

s = '0175501585710a89h5a60dc9ed2f88d7'

for i in range(1,32):
    for j in range(1,13):
        date = '1997{1}{0}'.format(i, j)
        m = hashlib.md5()
        m.update(date.encode("utf8"))
        md5 = m.hexdigest()
        print ("loading")
        if s[:10] in md5:
            print (md5)
            print (date)

2.仿射加密

已知仿射加密变换为c=（11m+7） mod26，试对密文dikxourxd解密。

和上一题一样，个人问题在于python编写能力不足。
或者说当时被卡题心态有些崩了，只想着用手算了。

算法思想不难，也就是暴力解出。把每个字母作为m试一次然后把c和密文对比即可，取其相对应字母，连起即明文。

#python2.7
a = 'dikxourxd'
a1=[]
for i in a:
    a2 = ord(i)-97
    a1.append(a2)
print a1
for i in a1:
    for j in range(0,26):
        c = (11*j+7)%26
        if(c==i):
            print chr(j+97)

3.人生苦短

这道题就开始真正的摸不着思路了。
看过WP才清楚原来提示中的pyhton和Linux是整合文件用这个的意思。

思路：
1.导出http包
2.发现几个flag文件
3.用cat或者Python整合文件
4.解包(此处考察了伪加密，但在kali下可直接解压)

要点：
Wireshark导出http包部分的使用，或者说wireshark的使用。（确实得好好看一下wireshark的相关详细姿势了，每次都是做到新题才知道一种新用法。）

cat命令或python来整合文件。

4.Web漏洞

黑客利用漏洞从Web系统中窃取了什么机密信息？

当时查flag字段，看出是注入，没看出是猜解。

思路：
打开查看是Apache日志，查找flag关键词，发现是通过延时盲注读取了flag表的内容。写代码解决问题。
urldecode之后，可发现对每个
字符猜解的最后一个数据包当中用!=做判断。利用正则过滤出正确猜解的字符的ascii。第一条为查询数据的条数，后面为flag表的内容。

代码如下：

import urllib
import re
flag = ''
flag_list = []
with open('access.log', 'r') as file:
        #print file.read()
        line_lists = file.readlines()
        #print len(line_lists)
        flag_lines = []
        for i in line_lists:
                if 'flag' in i:
                        flag_lines.append(i)
#print len(flag_lines)
for i in flag_lines:
        s = i.split(" ")[6]
        s=urllib.unquote(s)
        if '!=' in s :
                print s
                p = re.compile(r'!=[1-9]\d*')
                flag = flag + chr(int(p.findall(s)[0].replace('!=','')))

print flag

没什么别的可说的，当时做不出来是对SQL注入理解不行。
这道题的题点应该就是Sqli机制和正则匹配了。

5.Gakki

这道题出的太脑洞了。没遇见过这类题就很难做出来。

题点是文件头数据块IHDR：
包含有PNG文件中存储的图像数据的基本信息，并要作为第一个数据块出现在PNG数据流中，且一个PNG数据流中只能有一个文件头数据块。
文件头数据由13字节组成，结构如下：

本题中 IHDR位原本是0000061E 0000031E
看详细信息里应当是1566×798，相应的16进制就应该是
0000061E 0000051E

修改后，图片显示flag。

真的想不到。
以后就能想到了。

6.神奇的图片

这个题当时竟然都没看一下。今天做了一下。
给了两个图片一个xor.png，一个flag.png，看到xor文件名知道是异或运算。

def xor(str1, str2):
        return ''.join(chr(ord(x) ^ ord(y)) for x, y in zip(str1,str2))


for i in range(20):
        #png_1 = open(sys.argv[1], "rb").read(i)
        png_1 = open("xor.png", "rb").read(i)
        png_2 = open("flag.png", "rb").read(i)
        key = xor(png_1, png_2)

        print key

实验吧-密码-数码…

2017年11月3日
by harmoc

flag已给出，请以十六进制表示

这道题对于做我单片机出身的我本应非常简单，但是！
我竟然弄反了二进制位顺序！！！！！！！

a-h是1到8位二进制这没错，a是最低位...最低位...最低位...

我愧对我的大一....

实验吧-Web安全…

2017年10月29日2017年10月29日
by harmoc

PHP代码审计
hint：sha1函数你有认真了解过吗？听说也有人用md5碰撞o(╯□╰)o解题链接： http://ctf5.shiyanbar.com/web/false.php

打开后：

<?php
if (isset($_GET['name']) and isset($_GET['password'])) {
    if ($_GET['name'] == $_GET['password'])
        echo '<p>Your password can not be your name!</p>';
    else if (sha1($_GET['name']) === sha1($_GET['password']))
      die('Flag: '.$flag);
    else
        echo '<p>Invalid password.</p>';
}
else{
    echo '<p>Login first!</p>';
?>

审阅代码后可知题目需求name和password须不同，sha1()后结果须相同，如此方可获得Flag。

同时，看hint了解到和MD5碰撞相关。

那么，应当是sha1碰撞无疑了。搜索相关信息后了解到，google曾关于sha1碰撞放出两个pdf：

点击以访问 shattered-1.pdf

点击以访问 shattered-2.pdf

两个SHA1值相同而不一样(SHA256的值不通)的pdf文件.
那么，就是使用这两个pdf文件写入两个变量从而通过此题目了。具体操作就是把这两个pdf文件URLencode，然后构造http请求，发包查看回显即可。
此处参考此文：http://blog.csdn.net/caiqiiqi/article/details/68953730
详细的讲了两个PDF比较和用urllib urlencode的过程。

另外拓展一下，md5类似的：
字符串 240610708跟QNKCDZO所有类似的字符串得到的md5如果是0e打头的，一些语言（PHP）会做隐式转换，当做int类型计算，得到的结果是 0，最后导致0==0，判定为true

实验吧-安全杂项-…

2017年10月27日2017年11月10日
by harmoc

题目：猫流大大发现一个女神，你能告诉我女神的名字么（名字即是flag）

14年HCTF的题，解压后会有一个nvshen.txt文件，里面是base64编码，自然很容易想到base64转图片。扔在线工具里试试却没出来。
后来用的Pyhton base64库转的图片。

open('nvshen.png','wb').write(base64.decodestring(open('nvshen.txt','rb').read()))

经过此题，知道了此类题目直接扔在线转图片是无法转出来的，得加：data:image/jpg;base64,作为前缀才能解析成功。。。
and用python base64库转图片的方法。

实验吧-貌似有点难…

2017年10月26日
by harmoc

做完Web前端黑客揭秘的笔记之后，沉迷于去年选的XSS检测的项目，这两天写爬虫写到出生入死（误）。。。
11.4要有网安省赛了，这几天做做CTF找找题感。

话不多说，进入正题：

与题目名相反，这题非常简单。

基础的代码审计，阅读后便知需伪造IP访问。

我用的是火狐的Modify Headers插件，参数如下：

伪造后即可得Flag。SimCTF{daima_shengji}

看write up列表里的表哥里有用chorme插件的，有直接改包的。

改包的方式：
直接在header里面加上client_ip 1.1.1.1

南邮Writeup…

2017年9月10日2018年6月4日
by harmoc

PHP decode

见到的一个类似编码的shell，请解码

基本没怎么用过PHP，但代码大致能看懂。这段代码经过gzinflate和base64_decode加密。

另：此加密形式如此eval(gzinflate(base64_decode('加密代码')));

简单的这种加密把eval换成echo即可破解，本题亦如是。

此类加密破解参考https://www.waitalone.cn/eval-gzinflate-base64_decode-decryption.html

分类： <span>Write up</span>

Web-Cookie Duty

Web-Git Gud

Git Gud

Crypto-The Never Ending Crypto

Challenge:

Crypto-Transporter

Challenge:

VM-Gateway

VM-Leap of Faith

题面：

题解：

一个 ZIP 文件由三个部分组成：

加密标记位尾部奇数则加密，偶数则不加密。

MISC-拿去当壁纸吧朋友

Web-签到题

Web-Simple blog

1.小明的密码

2.仿射加密

3.人生苦短

4.Web漏洞

5.Gakki

6.神奇的图片

COOKIE

200

PHP decode