搜索

[27711] 2019-11-07_OGeek线上CTF挑战赛杂项题详细WriteUp（完结篇）

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-19
2019-11-07_OGeek线上CTF挑战赛杂项题详细WriteUp（完结篇） O G e e k 线 上 C T F 挑 战 赛 杂 项 题 详 细 W r i t e   U p （ 完 结 篇 ） 原 创   O S R C   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 1 - 0 7 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 M I S C - 2 0 1 9 使 用 L S B S t e g 来 获 得 隐 写 的 字 符 串 ： 在 线 D e c o d e 这 个 b a s e 6 4 字 符 串 ， 得 到 A s c i i 8 5 编 码 的 字 符 串 ， 再 进 行 D e c o d e ， 得 到 f l a g 。 M i s c - P y B o x 设 置 默 认 s h e l l   为 b a s h   题 目 是 一 个 黑 盒 P y S a n d b o x   ， 由 于 代 码 是   s o c k e t   写 的 ， 不 对 输 出 进 行 转 发 ， 因 此 是 个 纯 黑 盒 的 P y S a n d b o x . 题 目 环 境 保 留 了 s l e e p 功 能 ， 通 过 一 些 常 用 的 p a y l o a d   +   s l e e p   可 以 进 行 判 断 是 否 成 功 执 行 命 令 。 最 后 可 以 用   c u t   +   s l e e p   进 行 盲 注 读 f l a g p a y l o a d   如 下 ： m i s c - u p g r a d e 通 过 查 看 s . p y 与 逆 向 u p g 可 以 发 现 在 通 过 p o w 上 传 文 件 后 ， 将 会 验 证 固 件 格 式 与 签 名 ， 通 过 后 进 行 解 压 并 执 行 d o _ u p g r a d e . s h 。 其 中 固 件 分 为 四 部 分 ： 固 件 头 、 t a r . g z 压 缩 包 、 压 缩 包 文 件 签 名 、 压 缩 包 中 d o _ u p g r a d e . s h 文 件 签 名 。 根 据 逆 向 u p g 与 观 察 f i r m w a r e . u p g 文 件 可 以 分 析 出 大 致 结 构 头 四 字 节 为 m a g i c   n u m b e r ， 随 后 八 个 字 节 是 包 含 的 文 件 个 数 。 然 后 是 三 个 文 件 h e a d e r ， 每 个 h e a d e r 的 头 两 字 节 为 其 余 部 分 的 x o r   k e y ， 同 时 这 两 字 节 是 文 件 h a s h 的 末 尾 两 字 节 。 文 件 h e a d e r 中 包 含 t y p e 指 定 压 缩 包 / 签 名 文 件 ， 长 度 与 文 件 中 偏 移 。 在 签 名 验 证 代 码 中 可 以 发 现 将 压 缩 包 中 所 有 文 件 的 文 件 名 与 固 定 字 符 串 和 内 容 拼 接 后 s h a 2 5 6 并 与 其 他 进 行 异 或 ， 最 终 结 果 与 t y p e 为 2 的 签 名 文 件 进 行 对 比 ， 同 时 如 果 遇 到 d o _ u p g r a d e . s h 文 件 则 s h a 2 5 6 后 与 t y p e 为 3 的 签 名 文 件 进 行 对 比 。 s u d o   d p k g - r e c o n f i g u r e   d a s h       选 N O _ _ i m p o r t _ _ . _ _ g e t a t t r i b u t e _ _ ( ' _ _ c l o ' + ' s u r e _ _ ' ) [ 0 ] . c e l l _ c o n t e n t s ( ' o ' + ' s ' ) . _ _ g e t a t t r i b u t e _ _ ( ' s y ' + ' s t e m ' ) ( " [   ` c u t   - b   1   f l a g `   = =   ' a '   ]   | |   s l e e p   5 " ) s o c k e t   r e a d f l a g   f o r k i m p o r t _ _ . _ _ g e t a t t r i b u t e _ _ ( ' _ _ c l o ' + ' s u r e _ _ ' ) [ 0 ] . c e l l _ c o n t e n t s ( ' o ' + ' s ' ) . _ _ g e t a t t r i b u t e _ _ ( ' s y ' + ' s t e m ' ) ( " [   ` c u t   - b   1   / h o m e / f l a g `   = =   ' a '   ]   | |   s l e e p   5 " )
构 造 特 殊 的 t a r 文 件 ， 使 两 个 文 件 名 称 和 内 容 完 全 相 同 ， 并 且 能 够 覆 盖 d o _ u p g r a d e . s h ， 如 e / . . / d o _ u p g r a d e . s h ， 在 解 压 时 会 忽 略 . . / 导 致 覆 盖 d o _ u p g r a d e . s h ， 在 e / . . / d o _ u p g r a d e . s h 中 写 入 反 弹 s h e l l ， 打 包 压 缩 后 使 用 从 示 例 末 尾 提 取 的 两 个 签 名 文 件 按 照 固 件 格 式 打 包 好 ， 上 传 ， 得 到 s h e l l 。 p a c k . c 为 打 包 代 码 ， x . t a r . g z 为 构 造 压 缩 包 ， o u t . u p g 为 打 包 结 果 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理