这题嘛。虽然名字叫fuzzing,但和fuzz似乎没什么关系。。
题目首页面就是一句话:show me your key
源码也没什么东西,索性我就直接get和post传值一下试试
结果post随便传个值及就出来了
这里说md5加密后的key是那一段字符串,直接丢到一些md5解密网上,解不开,这下我就纳闷了,查了资料才知道:md5理论上是不能破解的,因为md5采用的是不可逆算法。
有的网站上提供MD5解密,是因为有大量的存储空间来保存源码和加密后的密码,当解密时就是一个查询的过程,稍微复杂点的查询就无法完成。
我也不会写解密的脚本,就直接拿bp爆破了(反正也就三位数。。。。)
后面查了其他大佬的wp,这里贴一份python脚本把
#!/bin/bash
import hashlib
def md5(data):
m = hashlib.md5()
m.update(data)
a = m.hexdigest()
return a
a = 'ichunqiu'
b = 'abcdefghijklmnopqrstuvwxyz1234567890'
for i in b:
for j in b:
for k in b:
if md5(a+i+j+k)=='1b4167610ba3f2ac426a68488dbd89be':
print a+i+j+k
输入正确的key后,提示我们进入下一个文件
打开后,给了我们一串密文,和一段代码
密文是:d647uXoFi+9RvH80F5AryIOfbhBjfctpJ4ozBvXBbN2zoVAZoLjb7oOTZCnZGHfCIJfaD1iOFmxaM2x7kfQOdncJnaqc5oI(每个人的不太一样)
打开x0.txt,得到代码:
function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {
$ckey_length = 4;
$key = md5($key ? $key : UC_KEY);
$keya = md5(substr($key, 0, 16));
$keyb = md5(substr($key, 16, 16));
$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length) : substr(md5(microtime()), -$ckey_length)) : '';
$cryptkey = $keya . md5($keya . $keyc);
$key_length = strlen($cryptkey);
$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0) . substr(md5($string . $keyb), 0, 16) . $string;
$string_length = strlen($string);
$result = '';
$box = range(0, 255);
$rndkey = array();
for ($i = 0; $i <= 255; $i++) {
$rndkey[$i] = ord($cryptkey[$i % $key_length]);
}
for ($j = $i = 0; $i < 256; $i++) {
$j = ($j + $box[$i] + $rndkey[$i]) % 256;
$tmp = $box[$i];
$box[$i] = $box[$j];
$box[$j] = $tmp;
}
for ($a = $j = $i = 0; $i < $string_length; $i++) {
$a = ($a + 1) % 256;
$j = ($j + $box[$a]) % 256;
$tmp = $box[$a];
$box[$a] = $box[$j];
$box[$j] = $tmp;
$result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
}
if ($operation == 'DECODE') {
if ((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $keyb), 0, 16)) {
return substr($result, 26);
} else {
return '';
}
} else {
return $keyc . str_replace('=', '', base64_encode($result));
}
}
许多同学这时候估计会较劲脑汁的代码审计,但实际上重头到尾仔细看一看,这是段代码里没有涉及到flag,再加上之前给了段密文,所以这一段代码不是加密就是解密过程。
我们把这段copy下来,开头加上<?php
,末尾加?>
,中间加一个输出函数,得到flag
总结:这题比较绕,最后的代码也容易混淆判断,不过总的做下来还是比较流畅的