hackergame 2019
签到题
首先打开网页看到叫我提交token,发现提交button是不可用的,所以查看前端代码,修改button模块的属性把disable改为able然后输入token即可得到flag: flag{Welcome_to_Hackergame_2019_ef71c55f9a}
白与夜
打开网页得到一段对话和图片,根据提示flag就在图片里,所以就是图片隐写题目,把图片保存到本地,结合“人家明明是白猫”使用stegsolve打开,通过通道分离,得到一个flag:flag{4_B14CK_C4T}
信息安全2077
打开后居然是一个倒计时,题目很明确要我去读flag.txt文件,我一开始想要直接访问flag.txt可惜没有成功,所以我用burpsuit抓了个包,发现有个定义时间的文件头,既然时间没到就把它改到了吧,我直接对文件头进行更改,把2019年改为了2077年,重发,得到了flag:flag{Welc0me_to_competit1on_in_2077}
宇宙终极问题
问题是x3+y2+z^3=42
所以我们需要构造一个合理的x、y、z
实在是构造不了,所以Google了一下
三立方数之和的维基百科里有这样的内容
输入x、y、z的值,得到flag:
x:-80538738812075974
y:80435758145817515
z:12602123297335631
flag{W0W_you_kn0w_the_Answer_t0_l1f3_Un1v3r5e_&_Everyth1ng_e4209f4543}
接下来有好多未知数了,random prime(2^256)生成2-256之间的伪随机数。后面我就真的不会了。。。。。
网页读取器
打开网站根据提示,我尝试了一下输入url,他告知我不在白名单,果然是开不了,下载他的源码文件查看。
发现白名单和一些要求:
例如:http://
开头,主机名必须为example.com
or www.example.com
接着往下看
我们得知他会在最后一位不是/
和最后一位不是:
时,把@后的内容当作hostname,加上我们知道了whitelist是"example.com"
和 "www.example.com"
所以我们可以构造一个@example.com的payload
加上题目上有有提示我们答案在http://web/flag里所以构造
http://web/flag@example.com
提交后主机名没有问题,状态404
所以注释后文既http://web/flag#@example.com
提交得到flag: flag{UrL_1S_n0t_SO_easy}
Happy LUG
这题让我实在是摸不着头脑
正则验证器
下载源文件,进行代码分析,见我做的注释:
接下来有一个re.compile()函数,将一个字符串编译成 pattern object,用于匹配或搜索。
用r的规则去s中做匹配,成功就输出匹配成功(英语),失败就是匹配失败了
还有是使用signal.signal()函数来预设(register)信号处理函数,
只要SIGALRM信号出现,就执行flag函数
看到signal.alarm(30)应该是要我构造一个需要执行很多次,非常耗费时间的payload。
RegEx: (a+)+p
-womGgjr1-1582644025893)]
看到signal.alarm(30)应该是要我构造一个需要执行很多次,非常耗费时间的payload。
RegEx: (a+)+p
String:aaaaaaaaaaaaaaaaaaaaaaax