DUBHE – Harmoc 's blog

Security notes

黄鹤杯-可信计算C…

2019年9月22日2019年9月22日
by harmoc

前言

19号本着武汉旅游团的定位去打了黄鹤杯，赛前折腾了一天可信计算的框架，然后打比赛一点没用到。QAQ
还是稍微记录一下这几天学到的一些东西。

CUBE环境搭建

本来以为是题目核心但比赛当天基本没怎么用到的迷惑框架。但其实还感觉这东西蛮有意思的。主办方给的文件里有三个东西需要起。

cube-1.3
cube-logintest
cube-tcm

分别是本体、基本业务逻辑测试、可信密码模块模拟器，起就依照文档按图索骥就完事了。

事后就想谈谈可信计算的一些个人观感：私以为，这个东西和态势感知类似，都是那种一眼看上去没什么用，仔细想想还挺有用，但再深究一下确实没有那么有用的东西。的确，让可以运行的程序都必须是安全的，这看上去很美。但白名单的思想毕竟有它局限性，将防御的视角收窄的确会安全一些，但一定会看不见很多美妙的东西。
不过，它和态势感知也都是高技术的产物，起码是个尝试，这种尝试多起来之后，总能找到一个极为优秀的解。

题型随感

这场比赛有六道传统CTF题，Crypto、Web、PWN各二；三道云安全相关题，解出Crypto、Web、PWN的题获得对应分类之上的云安全题解题资格。但遗憾的是，Web和PWN的云安全题直到最后也没有放出来。

Web

主办方给出的文档里有题目的大概方向。如是：

现场看时，Web1名为Smarty，是一个get ip的页面，有两个页面链接在首页列出:

x.x.x.x/api
x.x.x.x/xff

而后抓包后加xff头会发现xff头存在SSTI，这时才明白smarty是啥意思。。。测试几个payload后会发现{php}标签被过滤，然后S酱一通file_get_content、file_put_content，读文件写马一气呵成。发现有disable_function，蚁剑插件绕过之，出。

在这里，发现自己看东西要比sissel慢很多，很多点我慢慢也能看出来，但s酱基本秒出。Orzzzz之余，确实感觉自己经验尚浅，要多看题和看站。。。

第二题要背上黑锅，在ssrf可以RCE之后，把s酱误导向了提权，没有注意到flag本就是644，可以直接读，哭笑不得中下班QAQ

旁观HZ疯狂解出Crypto

HZ大佬巧用git history，连a三题，3000分的密码学云安全全场最后一人解出，HZ牛逼！
这个思路一定得记住，确实巧妙，其他队赛后过来问到真相都快哭了。我今后就是第一HZ吹。

后记

拿到了天枢历史上最高的一次奖金，沉甸甸的压力与高悬的达摩克利斯之剑。

Security notes

CyBRICS-C…

2019年7月25日2019年7月29日
by harmoc

前言

因为前段时期的戒严，VPS 跪了一段时间，Blog也没更过。。。感觉咸鱼了一整个暑假课阶段，还好在末尾打的CyBRICS CTF 还挺开心。记录一下部分题目Write UP，队友巨佬们tql.

顺便纪念一下第一天晚上短暂的第一2333：

Tone

视频里重点在电话按键音用au一个个对着表分析的

分析出来是这个数222666227774447777777733222777668866666255533355524
但是记录的时候忘记了记录间隔，又重新看了一遍间隔QAQ
加上间隔的因素，由于只有1-9的数字，所以考虑多次击键密码（SMS模式ABC）
最终 => cybrics{secrettonalflag}

(其实后来发现有错误，真实的是
222999227774442227777777733222777338866666255533355524
但我们连猜带蒙也出来了2333)

Bitkoff Bank

这题其实有点意思，大家注册时候第一反应的admin admin账户是共通的，所以存在不用做题直接摘桃子的可能23333
最后我们用的是BTC和美元的互转来增加总额，跑了大概一个小时出了，但同样有趣的是，有的人这么做是总额减少的。。。有待继续研究。

Battleships

我们果然是非常规队伍，这道题竟然是硬解解出来的。Battleships是一种海战棋，就是你打我一炮，我打你一炮那种，问题是对方打我们一打就是15炮，所以直接做很困难。
但困难不会针对我们的大佬，经大佬判断17乘17的棋盘其实是有一定的机会赢的！！！然后就真赢了！！！！
zmy大佬好像是用的正规解法，也就是存档改档读档的方法出的。回头看看他们Write up到底咋回事。

Sender

拿到手是这么个txt：

220 ugm.cybrics.net ESMTP Postfix (Ubuntu)
EHLO localhost
250-ugm.cybrics.net
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-AUTH PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
AUTH LOGIN
334 VXNlcm5hbWU6
ZmF3a2Vz
334 UGFzc3dvcmQ6 # Username
Q29tYmluNHQxb25YWFk= # Password
235 2.7.0 Authentication successful
MAIL FROM: fawkes@ugm.cybrics.net
250 2.1.0 Ok
RCPT TO: area51@af.mil
250 2.1.5 Ok
DATA
354 End data with .
From: fawkes fawkes@ugm.cybrics.net
To: Area51 area51@af.mil
Subject: add - archive pw
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
MIME-Version: 1.0

=62=74=77=2E=0A=0A=70=61=73=73=77=6F=72=64 =66=6F=72 =74=68=65 =61=72=63=
=68=69=76=65 =77=69=74=68 =66=6C=61=67=3A =63=72=61=63=6B=30=57=65=73=74=
=6F=6E=38=38=76=65=72=74=65=62=72=61=0A=0A=63=68=65=65=72=73=21=0A
.
250 2.0.0 Ok: queued as C4D593E8B6
QUIT
221 2.0.0 Bye

显然，是道邮件相关的题。把里面base64部分解码，能得到：

334 Username:fawkes

334 Password:Combin4t1onXXY

邮件内容16进制解码可得：

btw.
password for the archive with flag: crack0Weston88vertebra
cheers!

扫一下ugm.cybrics.net能110端口即POP3开着，先用base64解出的账号密码进行验证，而后就是拉取信息了，里面是个压缩包。拿到之后用邮件内容的password解之。即得Flag。

Paranoid

这题是个取证题，题目给了个数据包。导出HTTP的部分之后，搜了一下文件中的敏感字段，比如Password、KEY。

这里比较坑的一点就是，在查找Password时会有一个假密码，但仔细分析会发现这个密码后面同时有一个password_confirm字段，显然，这是攻击者尝试注册时候的包。最后查KEY的时候发现

WLAN_AP_WEP_KEY1=Xi1nvy5KGSgI2&

以它作为WEP密钥，会在数据包内发现更多的请求。

如法炮制，继续查找，会发现一个新的可疑字段，即：

WLAN_AP_WPA_PSK=2_RGR_xO-uiJFiAxdA33-PsdanuK&

这就是WPA的解密密钥，二次解密后，即可直接查到flag。

做了一半的题，被卡在了视频大小限制，第二天的解题混乱中不了了之了。

根据我们逸飞大佬在群里的发言(解这道题用了Pr、Ae、Au、小丸工具箱)，他应该是在视频上加了绿点，然后转化，压缩。（大佬太巨了，什么都会

但今天看Nu1L公布的WP，发现了他们的操作感觉也不错，他们加的字幕！！！（我怎么就想不到.jpg 加字幕大小肯定不大呀
然后 @Telescopy转化下交上就完事了。

标签： <span>DUBHE</span>