搜索

[12000] 2017-11-12_第三届上海市大学生网络安全大赛彼岸花战队Writeup

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-11-12_第三届上海市大学生网络安全大赛彼岸花战队Writeup 第 三 届 上 海 市 大 学 生 网 络 安 全 大 赛 彼 岸 花 战 队 W r i t e u p 幽 夜 寒 香   F r e e B u f   2 0 1 7 - 1 1 - 1 2 我 在 等 风 也 等 你 ， 一 个 半 文 艺 少 年   w i n g W E B w e b 1 i d = 1 这 里 这 个 参 数 下 意 识 是 有 注 入 的 ， 我 折 腾 一 会 儿 后 发 现 过 滤 了 很 多 东 西 ， ’ , = . g r o u p _ c o n c a t ( ) , u a d a t e x m l ( ) , u n i o n 我 就 只 测 试 了 这 几 个 ， 没 得 办 法 ， 炸 裂 。 Q A Q 。 主 要 是 你 把 = 号 过 滤 掉 这 就 恶 心 了 。 又 折 腾 一 会 儿 ， 用 到 了 上 次 在 c o s 的 圈 子 里 分 享 的 报 错 注 入 ， 这 很 o k 。
E x t r a c t V a l u e 这 个 函 数 原 理 我 就 不 说 了 ， 懒 。 那 下 面 就 好 办 了 ， 写 个 p y 爆 表 名 。 有 f 1 4 g 表 ， 那 么 肯 定 有 f 1 4 g 这 个 列 但 是 返 回 来 的 长 度 有 限 制 ， 无 法 看 到 全 部 的 f l a g 是 不 是 少 了 个 } , B i n g o , 这 里 做 了 限 制 。 其 实 我 一 开 始 是 这 么 干 的 。
是 我 想 太 多 ， 然 后 我 用 m i d 函 数 k o 掉 了 。 w e b 2 这 题 没 啥 意 思 ， 坑 了 我 半 天 ， 原 意 应 该 是 考 g i t 泄 露 ， 但 是 直 接 在 a c t i o n 那 里 传 参 f l a g 就 行 了 。
w e b 3 E m m m ， 打 开 连 接 ， 悄 悄 咪 咪 地 掏 出 的 扫 描 器 ， 我 不 会 说 是 7 k b 表 哥 的 ， 哈 哈 。 有 一 个 r o b o t s . t x t ， 还 有 a d m i n . p h p , f i l e . p h p , i n d e x . p h p 访 问 r o b o t s . t x t ， 有 一 个 c o d e . z i p 下 载 打 开 后 发 现 是 用 p h p j m 加 密 的 。 这 里 我 要 自 黑 下 ， 我 还 是 太 年 轻 ， 在 网 上 找 了 半 小 时 解 密 网 站 后 ， 都 T M 要 钱 。 我 只 好 花 九 块 钱 去 解 密 了 ， 其 实 v i r i n k 给 我 一 个 脚 本 的 ， 但 是 我 编 译 失 败 ， 时 间 紧 急 ， 只 能 花 钱 了 。 九 块 钱 ， 一 个 手 抓 饼 和 一 瓶 真 果 粒 啊 ， 呜 呜 呜 呜 呜 ~ 后 面 才 知 道 p 牛 博 客 有 解 密 的 方 法 ， 次 奥 。 先 看 i n d e x . p h p
思 路 就 是 爆 破 随 机 数 种 子 先 进 入 后 台 ， 再 p h p 伪 协 议 读 f l a g , 爆 破 脚 本 ： 将 得 到 的 p r i v a t e 传 进 去 ， 进 后 台 出 现   N o   A u t h , 看 下 源 码
利 用 弱 类 型 绕 过 后 源 代 码 有 这 个 ， 看 看 f i l e . p h p 源 码 : E m m m ， 继 续 绕 正 则 ， p o s t 提 交 源 码 里 给 的 a u t h
得 到 f l a g M I S C 流 量 分 析 流 量 分 析 打 开 流 量 包 , 发 现 F T P 获 取 了 s s l 解 密 文 件 k e y . l o g 和 f l a g . z i p ， f l a g . z i p 需 要 密 码 。 这 里 是 有 两 个 f l a g . z i p ， 一 个 假 一 个 真 ， 假 的 让 你 关 注 加 密 的 数 据 包 ， 找 到 解 真 的 数 据 包 的 密 码 。 。 然 后 导 入 w i r e s h a r k ， 将 s s l 解 密 。 可 能 有 很 多 人 不 知 道 怎 么 解 密 s s l ， 看 链 接 ： h t t p s : / / w w w . t r u s t w a v e . c o m / R e s o u r c e s / S p i d e r L a b s - B l o g / H o w - T o - D e c r y p t - R u b y - S S L - C o m m u n i c a t i o n s - w i t h - W i r e s h a r k / 解 密 后 得 到 一 个 好 听 M P 3 这 个 M P 3 后 面 有 杂 音 ， 那 就 这 里 面 有 东 西 了 。 观 察 频 谱 K e y : A a a A a a a A A a a a A A a a a a a a A A A A A a a a a a a a ! 这 个 就 是 密 码 了 。 C l e m e n c y E m m m ， 这 题 辛 苦 队 友 了 ， 为 你 俩 打 c a l l 。 查 询 得 知 这 个 词 是 D E F   C O N   C T F 2 0 1 7 上 拿 出 来 的 新 的 架 构 程 序 ， 特 点 有 一 字 节 9 位 、 中 端 序 存 储 等 在 官 方 链 接   h t t p s : / / b l o g . l e g i t b s . n e t / 2 0 1 7 / 0 7 / t h e - c l e m e n c y - a r c h i t e c t u r e . h t m l   下 到 官 方 给 出 的 调 试 器 ， 通 过 它 可 以 运 行 题 目 文 件 c l e m e n c y . b i n ， g i t h u b 上 有 很 多 I D A 的 反 汇 编 脚 本 ， 我 用 的 这 个   h t t p s : / / g i t h u b . c o m / c s e a g l e / i d a _ c l e m e n c y 将 脚 本 放 入 文 件 夹 下 ， 重 新 打 开 进 行 反 汇 编 即 可 。 注 意 处 理 器 要 选 择 提 供 的 C l e m e n c y ， 而 不 是 默 认 的 M e t a P C 。 然 后 就 可 以 得 到 反 汇 编 的 程 序 了 ： 刚 才 的 下 载 链 接 里 有 官 方 文 档 ， 讲 解 各 个 命 令 、 和 通 讯 等 等 模 拟 器 在 l i n u x 下 使 用 ， - d 可 以 调 试 ， 调 试 状 态 下 输 入 ? 可 以 得 到 各 个 操 作 的 指 令 ， 与 g d b 基 本 类 似 ： 直 接 运 行 提 示 需 要 f l a g 文 件 ， 于 是 在 同 目 录 下 创 建 f l a g 文 件 ， 向 其 中 写 入 内 容 模 拟 器 自 动 将 其 作 为 输 入 接 收 ， 送 入 c l e m e n c y 程 序
t 单 步 运 行 ， 逐 步 跟 踪 可 以 发 现 ， 程 序 中 对 输 入 没 有 进 行 任 何 操 作 ， 而 是 直 接 在 5 b 0 6 处 将 输 入 转 存 入 D a t a S e n t ， 发 送 区 调 试 器 跟 踪 可 以 看 到 地 址 ： R 0 2 就 是 D a t a S e n t ， 字 节 方 式 可 以 看 到 内 容 不 变 最 前 面 那 一 段 乱 码 就 是 输 出 内 容 但 是 模 拟 器 输 出 的 却 并 不 是 f l a g 文 件 中 的 内 容 问 题 在 于 字 节 转 换 ， 可 以 看 到 ， 字 节 方 式 存 储 都 是 0 3 1 ， 在 原 来 的 8 位 字 节 前 补 了 一 个 0 d t 可 以 看 到 c l e m e n c y 的 内 存 ： 就 是 将 3 1 转 成 二 进 制 后 前 补 0 ， 成 为 c l e m e n c y 的 一 个 字 节 （ 9 位 ） ， 然 后 按 照 中 端 序 存 储 方 式 （ 9 - 1 8 ， 0 - 9 ， 1 8 - 2 7 ） 存 储 ： 这 样 子 生 成 c l e m e n c y 下 的 3 个 字 节 ， 作 为 x 8 6 架 构 下 则 是 3 个 字 节 + 3 位 ， 最 后 一 个 比 特 不 变 ， 第 二 个 比 特 最 后 补 上 了 一 个 0 ， 第 一 个 比 特 最 后 则 补 上 了 两 个 0 十 六 进 制 表 示 时 由 于 每 个 字 符 表 示 8 位 ， 所 以 最 左 边 还 多 出 了 3 位 ， 由 第 一 比 特 的 高 位 决 定 值 是 0 或 1 按 照 这 个 思 路 可 以 得 到 c l e m e n c y 的 内 存 表 示 ， 然 后 输 出 的 时 候 将 它 们 化 成 二 进 制 ， 每 8 位 做 一 个 b y t e 进 行 c h r ( ) 说 到 底 就 是 每 个 比 特 前 补 0 ， 然 后 重 新 分 组 输 出 逆 向 脚 本 就 简 单 多 了 ， 直 接 每 9 位 读 一 次 ， 刨 掉 第 一 位 然 后 转 字 符 即 可 ： 得 到 f l a g 醒 来 看 到 大 佬 的 W P 就 傻 了 其 实 g i t h u b 上 的 I D A 脚 本 里 面 为 了 反 汇 编 所 以 已 经 做 了 c l e m e n c y 的 字 节 和 端 序 转 换 ， 因 此 用 I D A 直 接 打 开 f l a g . e n c 就 能 得 到 f l a g … … 杂 项 题 硬 生 生 被 做 成 了 逆 向 题 O T Z 不 过 话 是 这 么 说 ， 如 果 给 出 的 b i n 里 对 输 入 进 行 了 变 换 ， 这 种 方 法 就 解 不 出 f l a g 了 嘛 ， 所 以 逆 b i n 还 是 挺 有 必 要 的 R e v e r s e C r a c k m e 查 壳 发 现 有 N s P a c k ， 百 度 下 来 脱 壳 机 搞 定 I D A 反 编 译 看 到 算 法 将 两 个 数 组 D u m p 下 来 写 脚 本 可 得 ： J u c k c o d e 反 编 译 不 全 ， 在 O D 中 运 行 跟 踪 发 现 有 大 量 花 指 令 阻 碍 F 5 于 是 一 步 一 步 跟 先 打 开 ” f l a g ” 文 件 ， 失 败 则 报 错 ， 于 是 创 建 一 个 文 件 给 他 接 着 在 s u b _ 4 0 1 3 5 0 函 数 中 进 行 了 大 量 运 算 ， 后 来 看 结 果 发 现 是 b 6 4 再 往 下 看 ， 发 现 进 行 了 四 次 b 6 4 + 略 微 处 理 的 操 作 观 察 s u b _ 4 0 1 3 5 0 的 c a l l 可 以 发 现 四 次 调 用 b 6 4 的 地 址 ： B 6 4 的 调 用 向 上 翻 一 点 就 能 找 到 ， 分 别 是 + 0 x 4 0 、 < < 7 和 - 0 x 9 e 得 到 4 个 字 符 串 以 后 ： 将 它 们 进 行 了 拼 接 ： 然 后 对 它 进 行 b 6 4 d e c o d e 以 后 ， 通 过 s p r i n t f ( “ % x ” ) 以 十 六 进 制 形 式 写 入 字 符 串 ， 最 后 每 个 字 符 + 0 x 1 0 后 输 出 加 密 看 起 来 很 复 杂 ， 解 密 就 很 简 单 了 ， 因 为 得 到 - 0 x 1 0 再 b 6 4 e n c o d e 以 后 的 合 成 字 符 串 只 要 提 取 其 中 一 个 就 可 以 解 出 明 文 了 。 于 是 写 出 逆 变 换 脚 本 ：
P w n p 2 0 0 和 p w n a b l d e . k r 上 的 U A F 一 题 很 像 ， 放 一 个 分 析 很 详 细 的 网 址 ： h t t p : / / b l o g . c s d n . n e t / q q _ 2 0 3 0 7 9 8 7 / a r t i c l e / d e t a i l s / 5 1 5 1 1 2 3 0 P y t h o n 脚 本 截 图 ： F L A G ： f l a g { d 4 1 d 8 c d 9 8 f 0 0 b 2 0 4 e 9 8 0 0 9 9 8 e c f 8 4 2 7 e } C R Y P T O C l a s s i c a l L d   h c r a k e w c f a x r ,   f   h o f j j l h f o   h l a x u c   l j   f   k r a u   e v   h l a x u c   k x f k   z f j   t j u i   x l j k e c l h f o o r   g t k   d e z   x f j   v f o o u d ,   v e c   k x u   p e j k   a f c k , l d k e   i l j t j u .   L d   h e d k c f j k   k e   p e i u c d   h c r a k e w c f a x l h   f o w e c l k x p j ,   p e j k   h o f j j l h f o   h l a x u c j   h f d   g u   a c f h k l h f o o r   h e p a t k u i   f d i   j e o y u i g r   x f d i .   X e z u y u c ,   O r m k O 3 v y d J C o e 2 q y N L m c N 2 q l p J X n M 3 S x M 2 X k e 3 q 9   k x u r   f c u   f o j e   t j t f o o r   y u c r   j l p a o u   k e   g c u f n   z l k x p e i u c d   k u h x d e o e w r .   K x u   k u c p   l d h o t i u j   k x u   j l p a o u   j r j k u p j   t j u i   j l d h u   W c u u n   f d i   C e p f d   k l p u j ,   k x u   u o f g e c f k u   C u d f l j j f d h u h l a x u c j ,   Z e c o i   Z f c   L L   h c r a k e w c f a x r   j t h x   f j   k x u   U d l w p f   p f h x l d u   f d i   g u r e d i .   F   b t l h n   g c e z d   v e q   m t p a   e y u c   k x u   o f s r   i e w . 简 单 替 换 密 码 ， 这 个 网 址 解 一 下 h t t p s : / / q u i p q i u p . c o m / 0   - 2 . 6 6 0   I n   c r y p t o g r a p h y ,   a   c l a s s i c a l   c i p h e r   i s   a   t y p e   o f   c i p h e r   t h a t   w a s   u s e d   h i s t o r i c a l l y   b u t   n o w   h a s   f a l l e n ,   f o r   t h e   m o s t p a r t ,   i n t o   d i s u s e .   I n   c o n t r a s t   t o   m o d e r n   c r y p t o g r a p h i c   a l g o r i t h m s ,   m o s t   c l a s s i c a l   c i p h e r s   c a n   b e   p r a c t i c a l l y   c o m p u t e d   a n d s o l v e d   b y   h a n d .   H o w e v e r ,   L y ? t L 3 f v n S R l o 2 ? v ? I ? r ? 2 ? i m S H ? ? 3 ? h ? 2 H t o 3 ? 9   t h e y   a r e   a l s o   u s u a l l y   v e r y   s i m p l e   t o   b r e a ? w i t h   m o d e r n   t e c h n o l o g y .   T h e   t e r m   i n c l u d e s   t h e   s i m p l e   s y s t e m s   u s e d   s i n c e   G r e e ?   a n d   R o m a n   t i m e s ,   t h e   e l a b o r a t e R e n a i s s a n c e   c i p h e r s ,   W o r l d   W a r   I I   c r y p t o g r a p h y   s u c h   a s   t h e   E n i g m a   m a c h i n e   a n d   b e y o n d .   A   ? u i c ?   b r o w n   f o ?   ? u m p o v e r   t h e   l a ? y   d o g . 中 间 有 ? ， 手 动 替 换 一 下 ， 得 到 中 间 的 密 文 L y j t L 3 f v n S R l o 2 x v K I j r K 2 x i m S H k J 3 Z h J 2 H t o 3 x 9 根 据 上 面 那 段 话 的 意 思 ， 推 测 有 多 种 加 密 混 合 ， 且 含 有 凯 撒 加 密 ， 尝 试 后 得 到 f l a g F L A G ： f l a g { c l a s s i c a l _ c i p h e r _ s o _ e a s y } r r r s a （ （ 3 0 0 p t ） ） E m m m ， 这 题 赛 后 知 道 是 一 个 朋 友 出 的 ， 可 把 我 队 友 累 坏 了 ， 喵 喵 喵 。 首 先 是 m d 5 扩 展 攻 击 拿 到 d 和 e ， m d 5 扩 展 攻 击 可 以 用 h a s h p u m p 使 用 方 法 参 考 猫 神 的 B l o g : h t t p : / / w w w . c n b l o g s . c o m / p c a t / p / 5 4 7 8 5 0 9 . h t m l 因 为 有 0 0 ， 用 p w n t o o l s 发 送 一 下
这 里 我 们 得 到 了 一 个 失 效 的 d 和 e ， 和 新 的 e ， 加 上 一 个 没 变 的 n ， 注 意 这 里 重 新 生 成 密 钥 的 时 候 没 有 改 变 n 的 值 ， 于 是 我 们 可 以 算 出 p 和 q ， 可 以 看 这 个 网 址 ： h t t p s : / / w w w . 4 0 h u o . c n / b l o g / g e t - p q - f r o m - n e d . h t m l 求 出 此 时 的 然 后 用 这 个 d 去 解 密 附 ： 差 一 题 A K 的 队 伍 的 W P   h t t p : / / p a n . b a i d u . c o m / s / 1 b p u D E 8 3   密 码 ： w i n g *   本 文 作 者 ： 幽 夜 寒 香 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理